使用windows的IP安全策略可以为我们机器起一个功能弱但是够用的防火墙，特别是在装机过程中，不需借助其他软件就很好地保护了系统。我的装机过程一般是先拔网线，安装系统，然后起IP安全策略或者iptables，接着开始打补丁。
一般能用脚本的我都推荐使用脚本，脚本是可重用的，而且编辑脚本比用gui方便。本文将给出在win2k和win2k3下的2个IP安全策略脚本模版，命令可多次运行，会自动替换为最新的。模版里面的^类似linux下的\，用来告诉cmd.exe下面是和上面同一行。
由于winxp sp2已经内建了防火墙，所以IP安全策略用处不是太大，如果你想知道winxp下命令行添加安全策略的方法，可自行查资料。
win2k下的ip安全策略添加需要用到ipsecpol这个程序，在windows的resource kit里有，包括一个exe和2个dll。我在这里不解释他的使用方法，你可以ipsecpol/? > ipsecpolhelp.txt察看。这是我自己使用的脚本。
rem 首先限制所有
ipsecpol -w REG -p "Haishion" -r "Block All IP" -f *+0 -n BLOCK
rem 开放某些机器的无限制访问，比如你的工作用机
ipsecpol -w REG -p "Haishion" -r "Allow IP" -f ^
210.34.0.1+0 ^
210.34.0.2+0 ^
-n PASS
rem 开放服务器端口，比如http 80，ftp 20，21
ipsecpol -w REG -p "Haishion" -r "Open Port" -f ^
*+0:20:TCP ^
*+0:21:TCP ^
*+0:80:TCP ^
-n PASS
rem 开放某些特定的ip可以访问特定的端口
ipsecpol -w REG -p "Haishion" -r "Allow IP Port" -f ^
0+*:53:UDP ^
0+*:80:TCP ^
210.34.0.3+0:8080:TCP ^
-n PASS
rem 指派
ipsecpol -w REG -p "Haishion" -x
win2k3自带了命令行添加的功能，就是netsh ipsec，以下是我使用的脚本，你可能可以直接写成netsh脚本文件而不是bat文件。
REM =================开始咯================
netsh ipsec static ^
delete policy name=Haishion
netsh ipsec static ^
add policy name=Haishion
REM 添加2个动作，禁止和允许
netsh ipsec static ^
add filteraction name=Perm action=permit
netsh ipsec static ^
add filteraction name=Block action=block
REM 首先干掉所有访问
netsh ipsec static ^
add filterlist name=AllAccess
netsh ipsec static ^
add filter filterlist=AllAccess srcaddr=Me dstaddr=Any
netsh ipsec static ^
add rule name=BlockAllAccess policy=Haishion filterlist=AllAccess filteraction=Block
REM 开放某些IP无限制访问
netsh ipsec static ^
add filterlist name=UnLimitedIP
netsh ipsec static ^
add filter filterlist=UnLimitedIP srcaddr=210.34.0.1 dstaddr=Me
netsh ipsec static ^
add filter filterlist=UnLimitedIP srcaddr=210.34.0.2 dstaddr=Me
netsh ipsec static ^
add rule name=AllowUnLimitedIP policy=Haishion filterlist=UnLimitedIP filteraction=Permit
REM 开放某些端口
netsh ipsec static ^
add filterlist name=OpenSomePort
netsh ipsec static ^
add filter filterlist=OpenSomePort srcaddr=Any dstaddr=Me dstport=20 protocol=TCP
netsh ipsec static ^
add filter filterlist=OpenSomePort srcaddr=Any dstaddr=Me dstport=21 protocol=TCP
netsh ipsec static ^
add filter filterlist=OpenSomePort srcaddr=Any dstaddr=Me dstport=80 protocol=TCP
netsh ipsec static ^
add rule name=AllowOpenSomePort policy=Haishion filterlist=OpenSomePort filteraction=Permit
REM 开放某些ip可以访问某些端口
netsh ipsec static ^
add filterlist name=SomeIPSomePort
netsh ipsec static ^
add filter filterlist=SomeIPSomePort srcaddr=Me dstaddr=Any dstport=53 protocol=UDP
netsh ipsec static ^
add filter filterlist=SomeIPSomePort srcaddr=Me dstaddr=Any dstport=80 protocol=TCP
netsh ipsec static ^
add filter filterlist=SomeIPSomePort srcaddr=210.34.0.3 dstaddr=Me dstport=8080 protocol=TCP
netsh ipsec static ^
add rule name=AllowSomeIPSomePort policy=Haishion filterlist=SomeIPSomePort filteraction=Permit
