信息安全 - 依赖 IPSec IP 过滤有哪些风险？ - 吾爱随笔录

当使用 Windows IPSec 进行 IP 过滤时，无论何时添加过滤器，您都需要有一个“镜像”规则（通过选中“镜像。匹配数据包...”复选框）。

因为 IPSec 过滤不是有状态的，如果您没有启用此选项，那么您将无法进行双向通信。从这篇文章中，我引用：

如果你不反映你的规则，那么你就不能双向交流。IPsec 不像防火墙那样“有状态” - 如果您有一个从 A 到 B 的规则而没有 B 到 A 组件，那么 A 上的 IPsec 将丢弃来自 B 的所有流量，即使它是对由发送的请求的响应答：这是使 IPsec 难以有效用作防火墙的部分原因。

如果我有一条规则说：

允许从远程主机 172.16.3.200 上的任何端口到我的 IP 地址到端口 5666 的入站连接

这将被实施为：

netsh ipsec 静态添加过滤器 filterlist="NAGIOS NSClient"
      srcaddr=172.16.3.200 srcport=0
      dstaddr=ME dstport=5666
      镜像=是
      描述="入站"
      协议=TCP

“镜像”规则会是：

允许从我的 IP 地址从端口 5666 到远程主机 172.16.3.200 上的任何端口的出站连接

对于不需要的流量，这种配置有哪些安全风险？