windows-配置IP访问策略

通过windows组策略配置NTP时间同步

Windows系统中带有NTP服务器和客户端的程序，只需在Windows中简单配置即可实现电脑之间的时间同步。⽹上常见的配置NTP服务器的⽅法是修改系统注册表，这种⽅法是微软不推荐的。在实际使⽤中,通过修改注册表配置时间同步也的确存在问题，例如在强制关机或意外断电之后，系统不会⾃动执⾏时间同步，除⾮⼿动触发⼀次时间同步或正常关机重启⼀次才可以⾃动同步时间。微软推荐。

还原时间服务注册表

如果已经修改过时间服务注册表，可以通过以下步骤还原注册表，不需还原则可以跳过这⼀步骤。1）取消激活时间同步服务

打开控制⾯板 -> ⽇期和时间 -> Internet时间，点击更改设置，取消勾选与Internet时间服务器同步。

2）重新注册时间同步服务以管理员⾝份运⾏命令提⽰符。

输⼊以下命令，注销时间服务再重新注册时间服务，然后重启计算机。w32tm /unregisterw32tm /register

3）设置Windows Time服务为⾃动启动

按Win+R打开运⾏对话框，输⼊services.msc，在服务列表中找到Windows Time，设置为⾃动。

4）重新激活时间同步服务，并测试时间同步是否成功。

完成以上操作后，时间服务注册表已恢复到初始设置。

配置NTP时间同步服务器

1）打开组策略编辑器

打开运⾏对话框，输⼊gpedit.msc，打开组策略编辑器。

2）设置全局配置

找到“计算机配置 -> 管理模板 -> 系统 -> Windows 时间服务”，打开全局配置设置，设为“已启⽤”。设置AnnounceFlags的参数为5，标记该计算机为可靠时间服务器。

3）启⽤NTP时间同步服务器

找到“计算机配置 -> 管理模板 -> 系统 -> Windows 时间服务 -> 时间提供程序”，打开启⽤Windows NTP服务器，设置为已启⽤。

4）重启时间服务

按Win+R打开运⾏对话框，输⼊services.msc，在服务列表中找到Windows Time，右键点击，选择重新启动。

以封堵445端口为例

2.1.2、Windows系统IP策略优化

对于Windows系统，可以通过配置本地安全策略——IP安全策略，来优化对服务器的访问控制权限。

2.1.2.1、创建IP安全策略

控制面板——管理工具——本地安全策略——IP安全策略，右侧空白处点击右键，选择创建IP安全策略，点击下一步，输入策略名称及描述，点击下一步直到完成创建。

2.1.2.1、编辑IP安全策略属性

1、右键策略名称，点击属性进行策略配置，点击“添加”创建IP安全规则，点击下一步。

2、选择“此规则不指定隧道”，点击下一步，

3、选择网络类型，可根据需要进行网络类型选择，默认以“所有网络连接”进行配置。点击下一步 4、点击添加，用于添加445、3389端口访问匹配规则。

5、点击下一步，可选择添加描述，点击下一步。

6、选择IP流量源，可根据需要进行选择，如果是全局封堵，选择“任何IP地址”即可，如果是做访问白名单，选择“一个特定IP地址或子网”即可，以下以全局封堵445端口为例，选择“任何IP地址”，点击下一步。

7、选择协议类型，根据需要对协议类型进行选择，此次以选择TCP协议类型，下一步。

8、配置需要封堵的端口号，由于此次是用于禁止任意源端口访问到本机的445端口，因此勾选“从任意端口”，在“到此端口”处填入“445”即可。点击下一步，确认完成配置。

9、以上配置完后，右键已创建好的IP安全策略，点击属性，点击添加，下一步，直到出现IP筛选器列表。 10、在IP筛选器列表处，勾选之前已经建好的445端口匹配规则，点击下一步，进行筛选器动作配置。当需要添加其他端口时，在以下界面点击编辑，选择添加即可，添加端口步骤同上第5、6、7、8步骤。

11、点击添加，用于添加筛选器动作

12、配置筛选器操作，点击下一步，填入名称，选择填入描述。

13、筛选器操作常规选项配置，由于此次操作用于阻止455端口通信，因此勾选阻止即可，点击下一步，确认完成。

1、Windows 7 IPv6的配置方法 1）安装IPv6协议：打开控制面板，依次进入“网络和Internet”- “网络连接” - 右

击“本地连接”，在弹出的属性对话框中点击安装，然后选择“协议”，点击添加，就可以

将IPv6安装到项目列表中。安装完成后如下图所示：

2）设置IPv6

地址：

打开控制面板，依次进入“网络和Internet”- “网络连接” - 右

击“本地连接”，在弹出的属性对话框中双击“Internet协议版本6（Tcp/IP），在其属性框中选择自动获取或手动获取，输入IPv6地址

“3FFE:FFFF:7654:FEDA:1245:BA98:3210:4562”（由于IPv6处于测试阶段，因此可以自由

输入确定其地址）

3）测试IPv6设置：按“Win+R”打开运行对话框。输入CMD，在弹出的MSDOS窗口中

输入“ipconfig

”命令来查看本地的所有IP地址配置情况

4）打开验证自己是否已经在使用IPv6。

首页可看到一只小乌龟，如果您看到小乌龟活蹦乱跳地在跳舞，则表明您正在使用IPv6访

问互联网。如果您已经确认安装启用了IPv6协议，但依然看不到小乌龟跳舞，说明您所在

的IP段不支持IPv6应用。

2、Windows 10 IPv6的配置方法

1）在Windows10系统桌面，依次点击“开始/Windows系统/控制面板”菜单项

2）在打开的Windows10控制面板窗口中，点击右上角的“查看方式”下拉菜单，在弹

出菜单中选择“大图标”菜单项。

3）这时会打开所有控制面板项窗口，点击窗口中的“网络和共享中心”图标。

4）在打开的网络和共享中心页面中，点击“以太网”快捷链接。

5）这时可以打开以太网属性窗口，点击窗口左下角的“属性”按钮。

6）这时会打开网卡的属性窗口，点击下面文本框中的IPv6一项，然后点击下面的“属

性”按钮。

7）接下来在打开的IPv6配置窗口中，设置IPv6地址就可以了。

Windows系统在IP安全策略中限制某个IP访问某个特定端⼝

Windows服务器的某些端⼝暴露在公⽹中具有很⼤风险，不想让任意IP可以访问这些端⼝，可以在防⽕墙或者IP安全策略中添加规则限制。

⽐如想禁⽌192.168.0.1（也可以是个⽹段:192.168.0.1/24）访问本机的3389端⼝，可以在IP安全策略中添加如下规则:1.控制⾯板-管理⼯具-本地安全策略-打开IP安全策略2.右键-管理IP筛选器列表和筛选器操作

3.在IP筛选器列表中点击添加，并取名

4.在该页⾯下继续点击添加，可以取消勾选使⽤"添加向导"，⽐较快速。

在源地址中选择“⼀个特定的IP地址”并输⼊你想屏蔽的IP，⽬的地址选“我的IP地址”，

点击确定，可以看到配置的此条规则的内容，包括源地址，⽬标地址，源端⼝，⽬标端⼝，协议等内容。

可以看到⽬前配置表⽰将192.168.0.1到"我的IP地址"的任何端⼝，任何协议都加⼊了筛选器。⽽我们想要的只是不让访问"我的IP地址"的3389端⼝，所以需要将协议及⽬标端⼝也明确。

点击刚才添加的规则-协议，可以看到默认的就是任何协议，根据实际端⼝⽤的协议进⾏选择，⽐如3389远程桌⾯⽤的tcp协议，选择tcp协议，并指定从任意端⼝到此端⼝3389。(只有选择了指定协议之后才能指定端⼝)(某些端⼝⽐如dns的53端⼝tcp及udp协议都使⽤，需要确认具体想屏蔽哪⼀个协议，如果不想让任意IP对dns进⾏查询，那需要屏蔽使⽤udp协议的53端⼝，如果选择错了存在的漏洞还是会探测出来)

5.继续点击确定，再点确定，回到了最开始的管理IP筛选器列表和筛选器操作，刚才添加的是管理IP筛选器列表，现在需要管理筛选器操作。

取消使⽤"添加向导"，点击添加。在安全⽅法中选择"阻⽌"，在常规中对此规则起名字。

点击"应⽤"，"确定"。6.此时在IP安装策略中还是不能看到刚才配置的新策略，和之前⼀样为空。需要继续设置。

右键-创建IP安全策略，命名为"限制特定IP访问3389"，下⼀步。