windows2003系統(tǒng)的防火墻功能較弱，關(guān)鍵是無法使用命令進(jìn)行配置，這對批量部署會造成很大的工作量，因此使用ipsec進(jìn)行訪問控制

　　在windows2003下是可以通過命令 netsh ipsec進(jìn)行操作

　　命令的語法：http://technet.microsoft.com/zh-cn/library/cc739550(v=ws.10).aspx#BKMK_add_rule

　　1、刪除所有安全策略

　　netsh ipsec static del all

　　2、建立策略test

　　netsh ipsec static add policy name=test

　　3、建立一個篩選器操作，可以理解為動作，匹配規(guī)則后執(zhí)行的操作，類似Linux的iptables中的ACCEPT和DROP

　　建立拒絕操作

　　netsh ipsec static add filteraction name=block action=block

　　建立接受操作

　　netsh ipsec static add filteraction name=permit action=permit

　　4、添加篩選器列表，用于拒絕操作，類似iptables的默認(rèn)規(guī)則

　　netsh ipsec static add filterlist name=deny_all

　　添加篩選器，拒絕所有的連接

　　netsh ipsec static add filter filterlist=deny_all srcaddr=Any dstaddr=Me

　　5、將創(chuàng)建的拒絕所有請求的篩選器和篩選器操作添加到策略test

　　netsh ipsec static add rule name=deny_all policy=test filterlist=deny_all filteraction=block

　　6、建立服務(wù)器本身對外訪問的策略

　　建立篩選器列表server_access

　　netsh ipsec static add filterlist name=server_access

　　在篩選器列表server_access中添加一個篩選器，允許本機的任意端口到任意地址的，協(xié)議端口根據(jù)需要自己添加

　　netsh ipsec static add filter filterlist=server_access srcaddr=Me dstaddr=any protocol=tcp dstport=80

　　在策略test中應(yīng)用篩選器server_access，并且對匹配篩選器的數(shù)據(jù)包執(zhí)行允許操作

　　netsh ipsec static add rule name=server_access policy=test filterlist=server_access filteraction=permit

　　7、建立web服務(wù)器訪問策略

　　建立篩選器列表web

　　netsh ipsec static add filterlist name=web

　　在篩選器列表web上添加篩選器，允許外部任意地址對本機的80端口的訪問

　　netsh ipsec static add filter filterlist=web srcaddr=any dstaddr=Me dstport=80

　　在策略test中應(yīng)用篩選器列表web

　　netsh ipsec static add rule name=web policy=test filterlist=web filteraction=permit

　　8、建立ftp服務(wù)器訪問策略

　　netsh ipsec static add filterlist name=ftp

　　netsh ipsec static add filter filterlist=ftp srcaddr=any dstaddr=Me dstport=21

　　為ftp服務(wù)器添加被動端口，這里這添加三個作為測試

　　netsh ipsec static add filter filterlist=ftp srcaddr=any dstaddr=Me dstport=65530

　　netsh ipsec static add filter filterlist=ftp srcaddr=any dstaddr=Me dstport=65531

　　netsh ipsec static add filter filterlist=ftp srcaddr=any dstaddr=Me dstport=65532

　　netsh ipsec static add rule name=ftp policy=test filterlist=ftp fileraction=permit