IPSec策略实现3389端口精准访问控制

问题解构与方案推演

用户的核心需求是：为Windows远程桌面（默认端口3389）配置一个基于源IP地址的访问控制列表（ACL），仅允许特定IP地址发起连接，以提升安全性。

标准防火墙规则可以基于IP地址进行过滤，但IPSec策略提供了更强大的安全特性：

网络层（IP层）加密与认证：IPSec工作在IP层，可以对整个TCP连接（包括RDP协议本身）进行加密和完整性校验，安全性高于仅基于端口和IP的访问控制。
集成化的策略管理：通过Windows内置的"本地安全策略"或"组策略"进行集中管理，便于部署和审计。
精细化的流量筛选：可以定义非常精确的IP筛选器，包括协议（TCP/UDP）、源/目标端口、源/目标IP地址。

因此，解决方案的核心是：在目标主机上创建并分配一个IPSec安全策略，该策略包含两条规则：

规则1（允许特定IP）：允许来自特定源IP地址的TCP流量访问本机的3389端口，并要求进行IPSec安全协商（加密和认证）。
规则2（阻止其他IP）：阻止所有其他来源的TCP流量访问本机的3389端口。

以下是具体的操作步骤，结合了命令行和图形界面两种方式，并提供了PowerShell脚本以实现自动化。

详细配置步骤

第一步：在目标主机上创建IPSec策略

方法A：使用图形界面（本地安全策略）

此方法在中有详细图示，以下是关键步骤的文本摘要和补充说明：

按 Win + R，输入 secpol.msc 打开"本地安全策略"。
导航至 安全设置 -> IP安全策略，在本地计算机。
在右侧窗格右键，选择 创建 IP 安全策略 。
按向导操作，为策略命名（如"RDP_IP_Restriction"），在"安全通讯请求"页面取消勾选"激活默认响应规则"。
完成向导后，确保勾选"编辑属性"，进入策略属性窗口。

方法B：使用PowerShell脚本（推荐，便于自动化部署）

以下脚本整合了创建IP筛选器列表、筛选器操作和IPSec策略的核心步骤，并标注了关键参数。

powershell 复制代码

# 创建IPSec策略：限制RDP访问的PowerShell脚本 
# 管理员权限运行此脚本

# 1. 定义变量
$PolicyName = "RDP_IP_Restriction"
$AllowedIP = "192.168.1.100" # 请替换为允许访问的客户端IP地址
$RDPPort = "3389"

# 2. 创建"允许特定IP"的IP筛选器列表和筛选器
$FilterListNameAllow = "Allow_Specific_IP"
$FilterAllow = New-NetIPsecFilter -DisplayName "Allow $AllowedIP to RDP" `
    -LocalPort $RDPPort `
    -RemoteAddress $AllowedIP `
    -Protocol TCP `
    -PolicyStore PersistentStore

# 3. 创建"阻止其他IP"的IP筛选器列表和筛选器
$FilterListNameBlock = "Block_Other_IP"
$FilterBlock = New-NetIPsecFilter -DisplayName "Block Others to RDP" `
    -LocalPort $RDPPort `
    -RemoteAddress Any `
    -Protocol TCP `
    -PolicyStore PersistentStore

# 4. 创建协商安全（要求加密和认证）的筛选器操作
$QMPFS = New-NetIPsecQuickModeCryptoProposal -Encryption AES256 -Authentication HMACSHA256
$AuthSet = New-NetIPsecPhase1AuthSet -DisplayName "PreSharedKeyAuth" -PreSharedKey "YourStrongP@ssw0rd!" # 请使用强密码 
$FilterActionNegotiate = New-NetIPsecRule -DisplayName "Require Encryption for RDP" `
    -InboundSecurity Require `
    -OutboundSecurity Request `
    -Phase1AuthSet $AuthSet.Name `
    -QuickModeCryptoSet $QMPFS `
    -PolicyStore PersistentStore

# 5. 创建阻止操作的筛选器操作（无需加密，直接丢弃）
$FilterActionBlock = New-NetIPsecRule -DisplayName "Block RDP" `
    -Action Block `
    -PolicyStore PersistentStore

# 6. 创建主IPSec规则并关联筛选器和操作
# 6.1 允许规则
$RuleAllow = New-NetIPsecRule -DisplayName "Allow Rule for $AllowedIP" `
    -Filters $FilterAllow `
    -Phase1AuthSet $AuthSet.Name `
    -QuickModeCryptoSet $QMPFS `
    -InboundSecurity Require `
    -OutboundSecurity Request `
    -PolicyStore PersistentStore

# 6.2 阻止规则（此规则优先级低于允许规则，因为更通用）
$RuleBlock = New-NetIPsecRule -DisplayName "Block Rule for RDP" `
    -Filters $FilterBlock `
    -Action Block `
    -PolicyStore PersistentStore

# 7. 创建并分配IPSec策略（将上述规则组织起来）
# 注意：此步骤在PowerShell NetSecurity模块中通常通过直接创建规则实现，策略是逻辑容器。
# 规则创建后即生效。若要集中管理，可使用 `-PolicyStore Domain\PolicyName` 关联到组策略。

Write-Host "IPSec规则已创建。请使用以下命令查看和测试："
Write-Host "查看规则: Get-NetIPsecRule -DisplayName '*RDP*'"
Write-Host "测试连接: 从客户端IP $AllowedIP 尝试RDP连接，应要求IPSec协商（可能表现为连接稍慢或需确认证书）。从其他IP尝试应直接失败。"

第二步：配置身份验证方法

在图形界面向导中，或在上述PowerShell脚本的 -Phase1AuthSet 参数中，需要指定身份验证方法。常见的有三种，其优缺点对比如下：

身份验证方法	优点	缺点	适用场景
预共享密钥	配置简单，无需额外基础设施。	密钥以明文存储在策略中，安全性相对较低，不适合大规模部署。	临时测试、小型环境或点对点连接。
Kerberos V5	利用现有域环境，无需额外配置密钥，安全性高。	要求所有计算机加入同一个Active Directory域。	企业域环境内部。
证书	安全性最高，适合非域环境或跨网络场景。	需要部署公钥基础设施（PKI）来颁发和管理证书，配置复杂。	高安全要求、跨互联网或混合云环境。

对于大多数限制特定IP访问的场景，预共享密钥 或Kerberos（如果是在域内） 是常用选择。在PowerShell脚本中，我们使用了预共享密钥示例。

第三步：分配（激活）策略

图形界面 ：在"本地安全策略"中，找到创建好的策略，右键单击并选择分配。策略分配后立即生效。
PowerShell ：使用 New-NetIPsecRule 创建的规则默认是启用的。若要禁用，使用 Disable-NetIPsecRule。

第四步：在客户端进行相应配置（如果要求IPSec加密）

如果目标主机的IPSec策略设置为"要求安全"（Require），那么客户端也必须配置完全相同的IPSec策略（包括预共享密钥或证书）才能成功建立连接。如果策略设置为"请求安全"（Request），则客户端不配置IPSec也能连接，但通信不加密。对于严格的访问控制，建议设置为"要求安全"。

客户端配置简化步骤：

同样使用 secpol.msc 创建IPSec策略。
创建IP筛选器时，源地址 设置为"我的IP地址"，目标地址设置为目标服务器的IP地址，协议和端口（3389）与服务器端匹配。
使用与服务器端相同的身份验证方法和密钥。
分配策略。

方案对比与最佳实践建议

方案	优势	劣势	推荐度
IPSec策略	提供网络层加密，不依赖应用层；与Windows集成好；可基于IP、协议、端口精细控制。	配置稍复杂；双向配置要求（如需加密）；可能影响网络性能。	⭐⭐⭐⭐ (适合需要加密或防火墙功能不足时)
Windows防火墙	配置简单直观；性能开销小；同样支持基于IP的入站规则。	功能相对基础；缺乏内置的强加密选项。	⭐⭐⭐⭐⭐ (优先选择，最简单直接)
修改RDP端口	通过隐蔽性提升安全（安全通过 obscurity），减少自动化扫描攻击。	不解决认证和加密问题；需要告知用户新端口。	⭐⭐⭐ (应作为辅助措施，与防火墙/IPSec结合)

最佳实践组合建议：

首要措施 ：优先使用 Windows 防火墙高级安全 创建入站规则。这是实现"仅允许特定IP访问3389"最直接、高效的方式。
- 打开"高级安全Windows防火墙"。
- 创建"入站规则"，规则类型"端口"，特定本地端口 3389。
- 操作"允许连接"，作用域中"远程IP地址"添加允许的IP地址范围。
- 配置文件根据网络类型选择。
增强措施 ：如果对通信机密性有更高要求，或防火墙功能受限，则采用 IPSec策略 提供强制性的端到端加密和认证。
辅助措施 ：考虑 修改默认的RDP端口 （如改为 3390等），以减少暴露和来自互联网的随机扫描攻击。
根本措施 ：启用 网络级别身份验证（NLA），并为管理员账户启用强密码甚至双因素认证（2FA），这是保护RDP的根本。

故障排除与验证

策略未生效 ：检查策略是否已"分配"。在secpol.msc或使用命令 Get-NetIPsecRule -PolicyStore PersistentStore | Where-Object {$_.Enabled -eq 'True'} 查看启用状态。
连接被阻止：检查IP筛选器中的IP地址、端口和协议设置是否正确。确保允许规则的优先级高于阻止规则（通常更具体的规则优先级更高）。
IPSec协商失败 ：检查两端（客户端和服务器）的身份验证方法（预共享密钥、证书）是否完全一致。使用 netsh ipsec dynamic show all 命令可以查看详细的IPSec安全关联（SA）状态。
端口冲突：确保没有其他防火墙软件（如第三方杀毒软件防火墙）的规则与IPSec策略冲突。
日志查看 ：在"事件查看器"中查看 Windows 日志 -> 安全 和 应用程序和服务日志 -> Microsoft -> Windows -> IPsec 下的日志，获取错误详细信息。

通过上述步骤，您可以构建一个基于IP地址的、可选的带有加密功能的远程桌面访问控制层，显著提升服务器的安全性。对于绝大多数仅需IP白名单的场景，Windows防火墙入站规则是首选方案；当需要叠加网络层加密时，再部署IPSec策略。

IPSec策略实现3389端口精准访问控制

问题解构与方案推演

详细配置步骤

方案对比与最佳实践建议

故障排除与验证

参考来源