应用场景

为了提高服务器的安全性，只允许某些IP可以远程连接服务器；方法有很多，这里介绍使用IPSec的方式实现该需求。如下以Windows2008系统，进行介绍，其他操作系统类似。
 
需要进一步说明，使用IPSec的方法兼容Windows 2003系统的配置，对于Windows 2008 以后的系统，推荐使用Windows高级防火墙中新建策略，仅仅允许指定网段、或者IP的客户来访问。

配置步骤  

总的规则是，需要添加一条禁止所有的IP远程连接我的3389端口，添加一条允许某个IP远程连接我的3389端口

1. 【开始】--【运行】-----输入【gpedit.msc】--【回车】       打开组策略

2.【windows设置】--【安全设置】--【IP安全策略】

2. 空白处右键选择创建IP安全策略，此处名称可自主命名，然后【下一步】

3. 不用勾选【激活默认响应规则】，然后点击【下一步】

4. 选择编辑属性点击【完成】

5. 下面弹框不要勾选【使用“添加向导”】，点击图中的【添加】

6.  此处的名称可以自定义，我们先添加一条禁止所有ip远程连接本服务器的规则，不用勾选【使用添加向导】，点击【添加】

7. 因为我们先添加一条禁止所有ip连接本服务器3389端口的规则，所以【源地址】选择【任何IP地址】，【目标地址】选择【我的IP地址】，【镜像】不要勾选，然后选择【协议】

8. 【选择协议类型】--【TCP】，【设置IP协议端口】--【从任意端口】--【到此端口】--【3389】，点击【确定】

9. 选择【筛选器操作】，不用勾选【使用“添加向导”】--【添加】

10.【安全方法】--【阻止】--【确定】

11. 选择好刚刚创建的新筛选器操作，点击【确定】

12. 到此，禁止所有IP远程连接本服务器3389的策略已经添加完毕，然后添加允许的IP，不选择【使用“添加向导”】，点击【添加】

13.  点击【添加】

14. 方法与之前添加拒绝任何IP连接本服务器3389端口一样，中间只是把下图的【源地址】选择为【一个特定的IP地址或子网】，【ip地址或子网】填写要允许的地址信息，如我本地的公网IP是  221.216.144.83，切记此处一定要填写准确自己的IP地址，以免添加错误导致自己也无法远程连接，【目标地址】选择【我的IP地址】，不要勾选【镜像】，点击确定

15. 【安全方法】选择【许可】，点击【确定】

16  全部添加完毕，查看没有问题后，右键选择创建好的策略，选择分配，即可生效。