边界模式下的协商发现传输模式

边界模式 IPsec 策略方案中的协商发现传输模式请求所有匹配流量的 IPsec 传输模式保护。如果 IKE/AuthIP 协商失败，则允许入站和出站连接回退到明文。

此 IPsec 策略通常用于支持 IPsec 的计算机和非 IPsec 计算机访问的计算机。

潜在协商发现传输模式方案的一个示例是“使用 IPsec 传输模式保护除 ICMP 之外的所有单播数据流量，并在边界模式下启用协商发现”。

若要以编程方式实现此示例，请使用以下 WFP 配置。

在 FWPM_LAYER_IKEEXT_V{4|6} 设置 MM 协商策略

Filter 属性	值
筛选条件	空白。所有流量都将与筛选器匹配。
providerContextKey	步骤 1 中添加的 MM 提供程序上下文的 GUID。

在 FWPM_LAYER_IPSEC_V{4|6} 设置 QM 和 EM 协商策略

Filter 属性	值
筛选条件	空白。所有流量都将与筛选器匹配。
providerContextKey	步骤 1 中添加的 QM 提供程序上下文的 GUID。

FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} 设置每个数据包的入站筛选规则

添加具有以下属性的筛选器。

Filter 属性	值
FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
action.type	FWP_ACTION_CALLOUT_TERMINATING
action.calloutKey	FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4\|6}
rawContext	FWPM_CONTEXT_IPSEC_INBOUND_PERSIST_CONNECTION_SECURITY

通过添加具有以下属性的筛选器，从 IPsec 中免除 ICMP 流量。

Filter 属性	值
FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
FWPM_CONDITION_IP_PROTOCOL 筛选条件	IPPROTO_ICMP{V6}这些常量在 winsock2.h 中定义。
action.type	FWP_ACTION_PERMIT
weight	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} 设置出站每数据包筛选规则

添加具有以下属性的筛选器。

Filter 属性	值
FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
action.type	FWP_ACTION_CALLOUT_TERMINATING
action.calloutKey	FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4\|6}
rawContext	FWPM_CONTEXT_IPSEC_OUTBOUND_NEGOTIATE_DISCOVER

通过添加具有以下属性的筛选器，从 IPsec 中免除 ICMP 流量。

Filter 属性	值
FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
FWPM_CONDITION_IP_PROTOCOL 筛选条件	IPPROTO_ICMP{V6}这些常量在 winsock2.h 中定义。
action.type	FWP_ACTION_PERMIT
weight	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

注意

与协商发现传输模式不同，对于边界模式策略中的协商发现传输模式，无需在 FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V{4|6} 层添加筛选器，因为此策略允许入站未受保护的明文连接。

反馈