之前在使用金盾防火墙屏蔽黑客的恶意扫描中，告诉大家怎么样用金盾防火墙屏蔽黑客的恶意扫描，这样的操作方式可以最大限度的屏蔽黑客的恶意扫描，但是有一个问题，就是需要手工操作。对于大部分时间，服务器都是处于无人工操作状态的，所以需要用一种方法，可以在没有人工操作的状态下也能很好的屏蔽黑客恶意扫描才能很好的起到保护服务器安全的作用。

今天就告诉大家怎么样用金盾防火墙的TCP端口保护来对端口进行保护，一劳永逸杜绝黑客的恶意扫描。

首先，通过金盾防火墙的“功能选择”菜单，选择“TCP端口保护”，会出现以下窗口：

就用我设置的这个3389端口的保护规则入手，跟大家介绍一下TCP端口保护的具体使用。

1. 开放端口范围，这里写的就是你要进行保护的端口的范围，从哪个端口开始到哪个端口结束，比如135-445，就分别在两个输入框中输入135和445，这样135-445之间的各个端口，都会受到这个规则的保护；如果只有一个端口需要保护，比如上图中，只需要写入3389这样一个端口号就可以了。
2. 连接攻击检测，这里可以设置一个数值，比如5。当一台计算机连接到这个端口的连接数量达到这里设置的数值，就会触发金盾防火墙防护模块的攻击检测规则，如果攻击检测规则检测是被攻击，则会自动屏蔽相关IP一段时间。
3. 连接数量限制，这个地方是对同一台计算机，连接到我们服务器上对应端口的最大连接数进行限制，如果超出这里设置的最大连接数，就会把多出的连接抛弃。我们这里要防范黑客对服务器的3389端口进行扫描，而3389正常我们连接的时候，一个IP只需要对应一个连接数就可以了，所以这里设置了5已经完全可以满足正常的连接了。
4. 攻击检测权重，一般可为空，攻击检测权重设置分为踢出权重和探测权重两项设置。踢出权重，指当服务器主动将某地址踢出后，防火墙会进行记录达到一定数值后进行屏蔽。探测权重，指客户端访问连接为空连接时，当达到设置值时进行屏蔽；具体的设置请根据相关情况咨询金盾售后客服，我这里不需要设置这个参数。
5. 协议类型选择，可由此选择接受或禁止某个端口的特定协议，协议类型包括：FTP、SSH、SMTP、HTTP、POP3、SSL/TLS、MSTS、RADMIN、MirGame、BlueskyVoice、AlphaDigit。其中比较常用的是FTP（对应21端口），HTTP（对应80端口），MSTS（对应3389端口），其他协议与端口请根据实际情况设置。
6. 防护标志，目前防护标志有四种，超时连接; 超出屏蔽；延时提交；接受协议，一般都是按照上图中我的设置那样。下面是对四个标志的介绍：

   超时连接：设置超时连接标志后，此端口建立的连接如果持续一段时间保持空闲，则该连接将被重置以释放资源。此种策略对于某些应用可能造成连接数据中断的情况，此时应把相应端口设为禁止屏蔽；

   延时提交：设置此选项的端口，防火墙将无限缓存该连接，除非客户端有数据发送，或者该连接被防火墙重置；

   超时屏蔽：设置超时屏蔽标志后，客户端在此端口进行的访问如果无法通过防火墙的验证模块，则此客户端将被加入黑名单而屏蔽；

   接受协议：设置接受协议表示该端口接受该项协议。

7. 防护模块，端口防护模块插件是针对特殊应用而开发的防护手段，对3389端口的保护只需要选择default模块就可以了，端口防护包括：

   default：该防护策略为所有端口默认的防护措施，不对应用做特殊处理，具有最好的兼容性；

   WEB Service Protection：该策略是金盾防火墙独有的、适用于Web服务的一种防护策略，是针对目前愈演愈烈的CC-HTTP Proxy类攻击而开发的。应用此种策略的端口，防火墙将对进入的HTTP请求进行验证操作，确保该请求来自正常的客户浏览行为，而非正常的访问行为（如通过代理进行攻击等）将被加入黑名单进行屏蔽。防火墙的动态验证模块，只对设置了WebCC保护模式的主机采用该验证策略，没有设置该保护模式的主机不受影响；

   Game Service Protection：该保护策略是金盾防火墙独有的、适用于游戏服务的一种防护策略，是针对目前流行的代理型攻击器、木马型攻击器、BotNet等而开发的。应用此种策略的端口，防火墙将对连入的客户端进入频率限制及验证操作，确保该客户端的行为属于正常的客户端行为，而非正常的访问行为（如通过代理进行攻击等）将被加入黑名单进行屏蔽。防火墙的频率保护模块，只对设置了GameCC保护模式的主机采用该限制及验证策略，没有设置该保护模式的主机不受影响。

   Misc Service Protection：该保护策略集成了FTP、SMTP、POP3协议的防护，因针对不同服务防护方式不同，建议由售后中心技术支持进行此项设置。

8. 一组用于控制防火墙具体的防护模式及策略的参数，其设置比较固定，详细请咨询金盾售后技术。这里我们不需要对此项进行设置。

这样设置之后，就不需要一直人工去对黑客针对3389端口的扫描进行操作了，黑客最多只能对服务器3389端口产生5个连接，已经达不到批量扫描的目的了。