你是要擋 LAN 還是 WAN ？一般 Server 放在防火牆後方，WAN 的封包根本過不來。
在 Windows OS 上阻擋 ICMP Timestamp 回應的問題
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(134.4, 30%, 23%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EA%3C/text%3E%3C/svg%3E)
小美 王
0
信譽點數
我正在研究如何修復 ICMP timestamp 這個弱點。雖然這個弱點並不是可以直接利用的，但基於安全考量，我仍然希望能修復它。我的方法是透過本機防火牆阻擋 ICMP 封包，但在多次嘗試後，問題依然存在。
我已經聯繫 Nessus 原廠並依照他們的建議進行測試，但仍無法找出問題根源。我和原廠都認為這可能是 Windows OS 本身的問題。
我在 Windows 11 上進行測試，但我們公司所有的 Windows Server 也都有相同的問題。我想知道是否有人有解決方法或替代方案。
測試方法與結果
封鎖 ICMP all types → 目標主機仍然會回應。
在同一網段進行 ping 測試 → 確認沒有中間設備代為回應。
確認沒有多張網卡或虛擬機服務。
確認沒有使用 IPsec 服務。
確認沒有透過全域規則設定主機防火牆。
停用網路介面卡上的所有非 Windows 元件並重新啟動主機。
檢查 IPsecExemptions 設定。
停用 Winmartix 與防毒軟體 → 主機仍然會回應。
啟用 安全模式(含網路) → 主機仍然會回應。
問題
是否有辦法在 Windows OS 上完全阻擋 ICMP timestamp 回應，還是這其實是作業系統本身的固有行為？
Windows 商務版 | Windows 365 企業版
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(310.4, 53%, 40%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EA%3C/text%3E%3C/svg%3E)
熱情熄 心冷 5,655 信譽點數2026-01-13T12:23:31.5966667+00:00 -
小美 王 0 信譽點數
2026-01-13T12:29:35.02+00:00 我要擋LAN，前面的大德有建議透過防火牆，但我們家長官是希望內網同網域的都不會回應type13，所以會優先從主機上做調整，但主機調整的過程不是很順利，跟nessus原廠討論了一個月，透過錯誤排除，判斷問題出在windows os本身上
-
熱情熄 心冷 5,655 信譽點數
2026-01-14T11:44:48.25+00:00 一般會直接用防火牆切不同網段阻擋，不會直接關設備 ICMP，這涉及了平常維護。
你可以參考 Win11 防火牆進階設定的 ICMP 部分，微軟是先開發 Windows Client 給大家使用到穩定後，才改參數轉成 Server ，所以規則是相通的，Windows Client 預設是擋 ICMP 封包。
-
小美 王 0 信譽點數
2026-01-14T11:58:09.32+00:00 我們的目標是擋icmp type 13的封包，並沒有要針對type8進行阻擋，之所以會擋整個icmp是想測試是不是有更高的規則阻擋，還是只有擋type 13的不生效而已
登入以提供註解 -
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(64, 81%, 16%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ECT%3C/text%3E%3C/svg%3E)
Chen Tran 13,550 信譽點數 獨立顧問2026-01-13T11:48:01.1766667+00:00 你好
感谢您在Microsoft Windows论坛上提问。
根据问题描述。好吧！对这一症状的合理解释是，ICMP时间戳回复处理是在作系统网络栈（内核）中实现的。回复可以在用户模式防火墙表面下生成。这就是为什么仅仅“阻止用户空间应用中的ICMP”或使用模糊/错误的防火墙规则有时无效，像Nessus这样的扫描器仍然能收到回复。
建议的缓解方法是封锁边界（边缘）设备。如果你在互联网/不受信网络和这些主机之间有任何边界防火墙/路由器/网状防火墙，可以添加ACL，在那里丢弃ICMP类型13（时间戳请求）和类型14（时间戳回复）。
有一篇文章提到，可以通过将注册表键 DisableICMPTimestamp 设置为 1 来解决类似问题
希望以上 信息对你有帮助！如果是的话。免费感受点“已接受”，帮助社区中也有同样问题的其他人。
-
小美 王 0 信譽點數
2026-01-13T11:54:52.93+00:00 您好:
感謝你的回覆，我曾透過改變DisableICMPTimestamp 來嘗試解決，但還是不行，我們有先透過在邊界設備設置規則，但我們希望同網段之間也能阻擋此回覆
-
Chen Tran 13,550 信譽點數 獨立顧問
2026-01-13T12:04:48.69+00:00 你好
感谢你的额外信息！
或者，你可以尝试用命令行创建一个专门针对ICMP Type 13（时间戳请求）的规则。如果你阻止了“All ICMP”但失败了，可以尝试这个特定规则，直接针对协议ID，通过在提升的PowerShell或命令提示符中执行该命令。 netsh advfirewall firewall add rule name=“Block ICMP Timestamp Type 13” dir=in action=block protocol=icmpv4：13，any
请注意：确保删除或禁用你之前创建的所有“全部屏蔽”规则以避免冲突，并确保没有带有“覆盖”属性的 ICMP “允许”规则。
希望提供****的信息对你有帮助！如果是的话。免费感受点“已接受”，帮助社区中也有同样问题的其他人。
-
小美 王 0 信譽點數
2026-01-13T12:09:16.16+00:00 您好
該命令我嘗試過了，但仍然無效，我一開始是針對type13進行阻擋，後面發現還是有回應，我與Nessus原廠討論後，我們將icmp 全部block掉，結果神奇的是還是有回應，甚至ping也會通...
登入以提供註解 -