netsh ipsec 使用方法

在命令行下，通過(guò)netsh ipsec static來(lái)配置IPSEC安全策略。前提是IPSEC服務(wù)已經(jīng)打開(kāi)。
一個(gè)IPSEC由一個(gè)或者多個(gè)規(guī)則組成；一個(gè)規(guī)則有一個(gè)IP篩選器列表和一個(gè)相應(yīng)的篩選器操作組成；這個(gè)篩選器列表和篩選器可以是系統(tǒng)本身所沒(méi)有的，如果沒(méi)有則需要自行建立，而一個(gè)篩選器又由一個(gè)或多個(gè)篩選器組成，因此配置IPSEC的時(shí)候必須分步進(jìn)行。規(guī)則由篩選器列表和篩選器操作構(gòu)成。而且存放在策略里，策略器由策略器列表來(lái)存儲(chǔ)，這樣就決定了一個(gè)步驟：建立空的安全策略，建立篩選器列表，建立篩選器操作，這三步不需要特定的順序，建立篩選器需要在空篩選器列表建立成以后；建立規(guī)則在上述三步驟完成之后。下面開(kāi)始配置策略的新增，修改，刪除、最重要的是激活；

更詳細(xì)的資料請(qǐng)參考微軟的技術(shù)資源庫(kù)：

Netsh Commands for Internet Protocol Security (IPsec)

連接如下：http://technet.microsoft.com/zh-cn/cc725926

備注：注意連接里的 Netsh Commands for Windows Firewall with Advanced Security.連接，他給你的幫助會(huì)更大；

導(dǎo)出IPsec安全策略：Netsh ipsec static exportpolicy file = d:\ExportSecurity.ipsec
導(dǎo)入IPsec安全策略：Netsh ipsec static importpolicy file = d:\ImportSecurity.ipsec
1、建立一個(gè)新的策略
1.1首先建立一個(gè)空的安全策略[Michael's安全策略]
Netsh ipsec static add policy name = Michael's安全策略
1.2建立一個(gè)篩選器操作”阻止”
Netsh ipsec static add filteraction name = 阻止 action =block
1.3建立一個(gè)篩選器列表“可訪問(wèn)的終端列表”
Netsh ipsec static add filterlist name =可訪問(wèn)的終端列表
Netsh ipsec static add filter filterlist = 可訪問(wèn)的終端列表
srcaddr=203.86.32.248
dstaddr = me dstport = 3389
description = 部門(mén)1訪問(wèn) protocol =TCP mirrored = yes
Netsh ipsec static add filter filterlist = 可訪問(wèn)的終端列表
Srcaddr = 203.86.31.0 srcmask=255.255.255.0
dstaddr = 60.190.145.9 dstport = 0
description = 部門(mén)2訪問(wèn) protocol =any mirrored = yes
1.4建立策略規(guī)則
Netsh ipsec static add rule name =可訪問(wèn)的終端策略規(guī)則
Policy = Michael's安全策略
filterlist =可訪問(wèn)的終端列表
filteraction = 阻止
2、修改策略
netsh ipsec static set filter filterlist = 可訪問(wèn)的終端列表
srcaddr = 220.207.31.249
dstaddr = Me dstport=3389 protocol=TCP
3、刪除策略
netsh ipsec static delete rule name = 可訪問(wèn)的終端策略規(guī)則 policy = Michael's安全策略
netsh ipsec static delete filterlist name = 可訪問(wèn)的終端列表
4、最最重要的一步是激活；
netsh ipsec static set policy name = Michael's安全策略 assign = y
以下提供一個(gè)我自己寫(xiě)的實(shí)例：

或者

[以下是轉(zhuǎn)載未經(jīng)過(guò)測(cè)試，百度上都可以找的到。]



前言：
IPSec的全稱是Internet Protocol Security，翻譯成中文就是Internet協(xié)議安全性。它的作用主要有兩個(gè)：一個(gè)是保護(hù) IP 數(shù)據(jù)包的內(nèi)容，另外一點(diǎn)就是通過(guò)數(shù)據(jù)包篩選并實(shí)施受信任通訊來(lái)防御網(wǎng)絡(luò)攻擊。這對(duì)于我們當(dāng)有一些重要的數(shù)據(jù)在傳輸?shù)倪^(guò)程中需要加以保護(hù)或者防止監(jiān)聽(tīng)來(lái)說(shuō)無(wú)疑是一個(gè)好消息，因?yàn)閃indows 2000已經(jīng)內(nèi)置了這個(gè)功能，我們不再需要借助其他的工具以實(shí)現(xiàn)這個(gè)目的了。
由于是在IP層進(jìn)行對(duì)數(shù)據(jù)的對(duì)稱加密，封裝的是整個(gè)的IP數(shù)據(jù)包，所以不需要為 TCP/IP 協(xié)議組中的每個(gè)協(xié)議設(shè)置單獨(dú)的安全性，因?yàn)閼?yīng)用程序使用 TCP/IP 來(lái)將數(shù)據(jù)傳遞到 IP 協(xié)議層，并在這里進(jìn)行保護(hù)。相應(yīng)的IPSec配置相對(duì)復(fù)雜，但是對(duì)于應(yīng)用程序來(lái)說(shuō)是透明的，因此不要求應(yīng)用程序必須支持。下面分幾個(gè)部分對(duì)IPSec的概念、工作過(guò)程和實(shí)踐應(yīng)用等幾個(gè)方面加以闡述：
一、 IPSec的工作的過(guò)程：
兩臺(tái)計(jì)算機(jī)在通訊的時(shí)候，如果已經(jīng)設(shè)置好IPSec的策略，主機(jī)在通訊的時(shí)候會(huì)檢查這個(gè)策略，策略在應(yīng)用到主機(jī)的時(shí)候會(huì)有一個(gè)協(xié)商的過(guò)程，這個(gè)過(guò)程通過(guò)Security Association來(lái)實(shí)現(xiàn)。協(xié)商后根據(jù)Policy的配置，兩臺(tái)計(jì)算機(jī)之間建立一個(gè)加密的連接，數(shù)據(jù)進(jìn)行加密傳輸。驅(qū)動(dòng)程序?qū)⒔饷艿臄?shù)據(jù)包傳輸給TCP/IP的驅(qū)動(dòng)程序，然后傳輸給接收端的應(yīng)用程序。
二、 進(jìn)入IPSec控制界面：
有兩種方式可以打開(kāi)，功能是完全一樣的：
 開(kāi)始-運(yùn)行-管理工具-本地安全策略
 MMC-添加/刪除管理單元-添加-IP安全管理策略-確定
三、 預(yù)定義的策略：
缺省的是沒(méi)有啟用IPSec，需要進(jìn)行指派。我們可以發(fā)現(xiàn)系統(tǒng)已經(jīng)給我們定義了三個(gè)策略，下面非別進(jìn)行介紹。
 安全服務(wù)器：必須使用IPSec，如果對(duì)方不使用IPSec，則通訊無(wú)法完成。用于始終需要安全通訊的計(jì)算機(jī)。
 客戶端：功能是缺省在通訊過(guò)程中不使用IPSec，如果對(duì)方要求IPSec，它也可以使用IPSec。用于在大部分時(shí)間不能保證通訊的計(jì)算機(jī)。
 服務(wù)器：功能是缺省使用IPSec，但是對(duì)方如果不支持IPSec，也可以不使用IPSec。用于在大部分時(shí)間能保證通訊的計(jì)算機(jī)。
策略可以在單臺(tái)計(jì)算機(jī)上進(jìn)行指派，也可以在組策略上批量進(jìn)行指派。值得注意的是為了達(dá)到可以通過(guò)協(xié)商后進(jìn)行通訊，所以通訊的兩端都需要設(shè)置同樣的策略并加以指派。
四、 IPSec的工作方式：
 傳送模式（計(jì)算機(jī)之間安全性配置）：保護(hù)兩個(gè)主機(jī)之間的通訊，是默認(rèn)的IPSec模式。傳送模式只支持Windows2000操作系統(tǒng)，提供點(diǎn)對(duì)點(diǎn)的安全性。
 隧道模式（網(wǎng)絡(luò)之間安全性配置）：封裝、發(fā)送和拆封過(guò)程稱之為“隧道”。一般實(shí)現(xiàn)方法是在兩個(gè)路由器上完成的。在路由器兩端配置使用IPSec，保護(hù)兩個(gè)路由器之間的通訊。主要用于廣域網(wǎng)上，不提供各個(gè)網(wǎng)絡(luò)內(nèi)部的安全性。
五、 IPSec的身份驗(yàn)證方法:
 Kerberos V5：（默認(rèn)）如果是在一個(gè)域中的成員，又是Kerberos V5協(xié)議的客戶機(jī)，選擇這一項(xiàng)。比如一個(gè)域中的Windows 2000的計(jì)算機(jī)。
 證書(shū)：需要共同配置信任的CA。
 預(yù)共享密鑰：雙方在設(shè)置策略的時(shí)候使用一段共同協(xié)商好的密鑰。
以上三種方法都可以作為身份驗(yàn)證的方法，一般在日常工作當(dāng)中，如果是域中的Windows 2000的計(jì)算機(jī)之間就采用Kerberos的認(rèn)證方式，由于國(guó)內(nèi)CA用的實(shí)在不多，一般其他情況下可以采用第三種方式，雙方協(xié)商一段密鑰，這個(gè)在后面的例子二中還會(huì)涉及。
六、 IPSec的加密模式：
 身份驗(yàn)證加密技術(shù)：
 SNA
 MD5
 數(shù)據(jù)包加密技術(shù)：
 40-bit DES
 56-bit DES
 3DES：最安全的加密方法，相應(yīng)的也會(huì)消耗更多的系統(tǒng)資源。
以上的概念性的東西大家可以查閱相關(guān)資料，這里就不多多講述了。
七、 應(yīng)用：
以上概念性的東西說(shuō)了很多，下面正式進(jìn)入實(shí)戰(zhàn)，將通過(guò)兩個(gè)例子把IPSec的兩方面的功能進(jìn)行說(shuō)明。
1、 保護(hù)IP數(shù)據(jù)包的內(nèi)容：為了保護(hù)兩個(gè)主機(jī)之間的通訊信息的安全性，我們將利用IPsec的在兩臺(tái)計(jì)算機(jī)之間建立一個(gè)安全連接。采用預(yù)共享密鑰方式，并強(qiáng)制使用IPSec進(jìn)行通訊加密。例子中有兩臺(tái)計(jì)算機(jī)，第一臺(tái)計(jì)算機(jī)IP為192.168.0.1，第二臺(tái)計(jì)算機(jī)IP為192.168.0.2，如果沒(méi)有特殊說(shuō)明，操作是在第一臺(tái)計(jì)算機(jī)上進(jìn)行。
（1）、進(jìn)入IPSec控制界面，右鍵點(diǎn)擊“安全服務(wù)器”，選中屬性（系統(tǒng)已經(jīng)內(nèi)置了三條規(guī)則，大家可以自己詳細(xì)的看一下作用，為了演示策略的添加過(guò)程我們采用自己添加的方式）。點(diǎn)擊“添加”按鈕。
（2）、進(jìn)入安全規(guī)則向?qū)?，點(diǎn)擊“下一步”按鈕。
（3）、根據(jù)實(shí)際情況，我們是實(shí)現(xiàn)兩臺(tái)主機(jī)之間的安全通訊，不是網(wǎng)絡(luò)之間的，所以選擇“此規(guī)則不指定隧道”，因此我們將采用傳送模式。點(diǎn)擊“下一步”按鈕。
（4）、進(jìn)入了選擇網(wǎng)絡(luò)類(lèi)型的界面，可以選擇的有三種方式，概念應(yīng)該很好理解了，我們選擇“所有網(wǎng)絡(luò)連接”，點(diǎn)擊“下一步”按鈕。
（5）、進(jìn)入了身份驗(yàn)證方法的界面，三種驗(yàn)證方法在上文中已經(jīng)介紹，我們選擇第三種“此字串用來(lái)保護(hù)密鑰交換（預(yù)共享密鑰）”，然后在對(duì)話框中輸入我們協(xié)商好的密鑰，比如“hello”。點(diǎn)擊“下一步”按鈕。
（6）、進(jìn)入了“IP篩選器列表”界面，由于我們是要保護(hù)全部的通訊，所有選擇“所有IP通訊”，當(dāng)然也可以自己添加新的篩選器列表，這部分內(nèi)容在第二個(gè)例子中會(huì)提到，點(diǎn)擊“下一步”按鈕。
（7）、進(jìn)入“篩選器操作”界面，根據(jù)我們前面提到的要求，我們選擇要求安全設(shè)置，這里的篩選器操作也是可以自己添加的，例子二中也會(huì)提到，點(diǎn)擊“下一步”按鈕。
（8）、至此安全規(guī)則創(chuàng)建完畢，我們點(diǎn)擊“完成”。
（9）、會(huì)到開(kāi)始的端口，我們會(huì)發(fā)現(xiàn)已經(jīng)增加了我們新增加的安全規(guī)則。除了選中我們自己創(chuàng)建的規(guī)則以外，我們把其他默認(rèn)規(guī)則的對(duì)勾點(diǎn)無(wú)。
（10）、最后，也是非常重要的一點(diǎn)，我們要對(duì)我們創(chuàng)建的策略進(jìn)行指派，否則策略不會(huì)自己生效，點(diǎn)擊“安全服務(wù)器”右鍵，點(diǎn)擊“指派”。
（11）、這個(gè)時(shí)候我們打開(kāi)一個(gè)窗口，開(kāi)始使用Ping命令，檢查我們的通訊狀況。例子中的第二臺(tái)計(jì)算機(jī)的IP地址為192.168.0.2，我們執(zhí)行Ping 192.168.0.2 –t，會(huì)發(fā)現(xiàn)一直在“協(xié)商IP安全性”，這個(gè)是什么原因呢？因?yàn)檫@個(gè)時(shí)候我們只是在第一臺(tái)計(jì)算機(jī)上面設(shè)置了IPsec策略，另一端并沒(méi)有做相應(yīng)的設(shè)置，協(xié)商無(wú)法成功，所以這個(gè)時(shí)候我們必須到另外一端的計(jì)算機(jī)進(jìn)行同樣的設(shè)置并進(jìn)行指派。
（12）、192.168.0.2的計(jì)算機(jī)上設(shè)置完畢并進(jìn)行指派以后我們發(fā)現(xiàn)信息發(fā)生了變化，協(xié)商IP安全性通過(guò)，我們又接收到了來(lái)自192.168.0.2的回應(yīng)。
（13）、如果我們?cè)谶@之前打開(kāi)了IP安全監(jiān)視器，也就是IPSecmon的話，我們會(huì)發(fā)現(xiàn)窗口里面會(huì)有相應(yīng)的記錄顯示。右下角也會(huì)顯示“IP安全設(shè)置已經(jīng)在這臺(tái)計(jì)算機(jī)上啟用”。
至此，例子一所要求的目的已經(jīng)達(dá)到，我們成功的創(chuàng)建了IPSec來(lái)保證數(shù)據(jù)的安全性，這個(gè)時(shí)候其它沒(méi)有啟用IPsec的計(jì)算機(jī)如果對(duì)這臺(tái)計(jì)算機(jī)發(fā)出Ping的命令，將得不到回應(yīng)，如下圖（我采用的方法是不指派計(jì)算機(jī)192.168.0.1設(shè)置好的IPSec策略）：
2、 數(shù)據(jù)包篩選：這個(gè)功能對(duì)于我們來(lái)說(shuō)也是相當(dāng)有用的，記得很多網(wǎng)友都在詢問(wèn)如何關(guān)閉計(jì)算機(jī)的某個(gè)端口或者是如何防止別人Ping我的計(jì)算機(jī)等等之類(lèi)的問(wèn)題，防火墻是一個(gè)解決的方式，但是需要付出額外的費(fèi)用和資源?？縏CP/IP屬性里面的高級(jí)選項(xiàng)的篩選可以做到一些，但是只能夠設(shè)置打開(kāi)哪些端口，不能設(shè)置關(guān)閉哪些端口。其實(shí)這個(gè)要求完全可以靠IPSec來(lái)實(shí)現(xiàn)，有的朋友可能要問(wèn)，那么還防火墻做什么？前面提到，和專(zhuān)業(yè)防火墻比起來(lái)，使用Ipsec配置相對(duì)來(lái)說(shuō)要麻煩一些，不適合一般用戶使用，另外目前的防火墻已經(jīng)集成了很多其他的功能，還有就是硬件的防火墻會(huì)消耗更少的系統(tǒng)資源。
下面的例子會(huì)介紹如果使用IPSec進(jìn)行數(shù)據(jù)包篩選，關(guān)閉ICMP，也就是大家很關(guān)心的如何關(guān)閉Ping的回應(yīng)信息，這個(gè)其實(shí)用到的是ICMP（8，0），這里不詳細(xì)介紹了ICMP了，正式進(jìn)入實(shí)踐操作（例子有兩臺(tái)計(jì)算機(jī)，第一臺(tái)計(jì)算機(jī)IP為192.168.0.1，第二臺(tái)計(jì)算機(jī)IP為192.168.0.2，如果沒(méi)有特殊說(shuō)明，操作是在第二臺(tái)計(jì)算機(jī)上進(jìn)行。）：
（1）、進(jìn)入IPSec控制界面，由于我們需要的篩選策略和操作在系統(tǒng)內(nèi)置的里面沒(méi)有合適的，所以下面我們進(jìn)行自己添加。首先右鍵點(diǎn)擊“IP安全策略”，選中“管理IP篩選器表和篩選器操作”。
（2）、選中管理IP篩選器列表，點(diǎn)擊“添加”按鈕。
（3）、為我們的IP篩選器列表起一個(gè)名字，比如“ICMP”，也可以在“描述”信息里面輸入相應(yīng)的描述信息。點(diǎn)擊“添加”按鈕。
（4）、進(jìn)入“IP篩選器向?qū)А?，點(diǎn)擊“下一步”按鈕。
（5）、選擇“源地址”信息，我們選擇“我的IP地址”，也就是代表的本機(jī)，192.168.0.2。點(diǎn)擊“下一步”按鈕。
（6）、選擇“目標(biāo)地址”信息，我們選擇“任何IP地址”，如果大家配置過(guò)防火墻，大家會(huì)發(fā)現(xiàn)這個(gè)步驟和防火墻的配置是完全一樣的。點(diǎn)擊“下一步”按鈕。
（7）、選擇“協(xié)議類(lèi)型”，我們選擇“ICMP”。這個(gè)時(shí)候大家會(huì)發(fā)現(xiàn)有很多協(xié)議類(lèi)型供大家選擇，也包括了TCP、UDP等等。點(diǎn)擊下一步。
（8）、這個(gè)時(shí)候就完成了IP篩選器的建立，可以點(diǎn)擊“完成”按鈕。這個(gè)時(shí)候值得注意的是，由于我選擇的是ICMP，但是假如這個(gè)時(shí)候我選擇的是TCP，后面還會(huì)出現(xiàn)端口的選擇，設(shè)置進(jìn)站和出站的端口。
（9）、接下來(lái)要進(jìn)行的是添加一個(gè)符合我們需要的篩選器操作，這里我們需要的建立一個(gè)阻止的操作。首先我們點(diǎn)擊“添加”按鈕：
（10）、進(jìn)入了“IP安全篩選器操作向?qū)А?，點(diǎn)擊“下一步”按鈕。
（11）、我們給這個(gè)操作起一個(gè)名字，這里我起的是“Deny”，也可以在描述中加入一些描述信息。點(diǎn)擊“下一步”按鈕。
（12）、選擇操作的行為，我們選擇“阻止”。點(diǎn)擊“下一步”按鈕。
（13）、這樣就完成了“IP安全篩選器操作”的添加工作，點(diǎn)擊完成。
（14）、下面的工作是建立一條新的IP安全策略，會(huì)用到以上我們創(chuàng)建的篩選器列表和操作。回到我們的第一步的位置，這次點(diǎn)擊“創(chuàng)建IP安全策略”。這個(gè)時(shí)候我們進(jìn)入了“IP安全策略向?qū)А?，點(diǎn)擊“下一步”按鈕。
（15）、我們給這個(gè)IP安全策略起一個(gè)名字，我起的名字叫做“屏蔽ICMP”，也可以適當(dāng)加入描述信息。點(diǎn)擊“下一步”按鈕。
（16）、選擇“激活默認(rèn)響應(yīng)規(guī)則”，點(diǎn)擊“下一步”按鈕。
（17）、選擇默認(rèn)值，點(diǎn)擊“下一步”按鈕。
（18）、點(diǎn)擊“完成”。
（19）、下面開(kāi)始對(duì)此條策略進(jìn)行配置。點(diǎn)擊“添加”按鈕。
（20）、進(jìn)入“創(chuàng)建IP安全規(guī)則向?qū)А保c(diǎn)擊“下一步”按鈕。
（21）、和例子一中類(lèi)似，按照我們的需求，我們選擇“此規(guī)則不指定隧道”。點(diǎn)擊“下一步”按鈕。
（22）、選種“所有網(wǎng)絡(luò)連接”，點(diǎn)擊“下一步”按鈕。
（23）、選擇“默認(rèn)值”，點(diǎn)擊“下一步”按鈕。
（24）、選種我們新建立的篩選器“ICMP”，點(diǎn)擊“下一步”按鈕。
（25）、選擇我們新建立的操作“deny”，點(diǎn)擊“下一步”按鈕。
（26）、至此，我們完成了整個(gè)設(shè)置過(guò)程。點(diǎn)擊完成結(jié)束。
（27）、最后還需要提醒大家的就是需要對(duì)我們新建立的策略進(jìn)行指派。
（28）、下面的圖表示了在指派我們這條策略前后的變化，在192.168.0.2這臺(tái)計(jì)算機(jī)指派了此條規(guī)則以后，我們從192.168.0.1這臺(tái)計(jì)算機(jī)將得不到來(lái)自192.168.0.2這臺(tái)計(jì)算機(jī)的ICMP的回應(yīng)。
以上我們通過(guò)三部分的工作完成了數(shù)據(jù)包篩選的操作，分別是創(chuàng)建IP篩選器列表和IP篩選器操作，還有就是創(chuàng)建IP安全策略。不過(guò)不是每一條規(guī)則都需要這么多的操作，比如IP篩選器操作，下次再有屏蔽某個(gè)端口操作的時(shí)候就可以直接使用這個(gè)“deny”操作了。
八、 結(jié)束語(yǔ)
通過(guò)上面的介紹，大家可以發(fā)現(xiàn)使用IPSec真的可以做不少事情，假如我們知道了其他服務(wù)的端口，比如終端服務(wù)、FTP服務(wù)等等，都可以用IPSec把數(shù)據(jù)通訊保護(hù)起來(lái)。現(xiàn)在大家不妨盡快去做這個(gè)事情，誰(shuí)知道現(xiàn)在有沒(méi)有在監(jiān)聽(tīng)你的信息呢？
如果在使用中遇到問(wèn)題，大家不妨嘗試從以下幾個(gè)方面去進(jìn)行排錯(cuò)。檢查兩端是否都已經(jīng)相應(yīng)的做了IPSec策略設(shè)置；檢查策略是否已經(jīng)被指派；檢查系統(tǒng)和安全日志相關(guān)記錄；利用監(jiān)視器，也就是命令行方式下的IPSecmon。最后祝大家使用順利，充分發(fā)揮Windows 2000的這個(gè)好工具的功能！
------------------------------------------
KUKA:ipsec是個(gè)很有用的東西，許多做服務(wù)器托管的朋友常為安全問(wèn)題煩惱，其實(shí)只要善用IPSEC，NTFS權(quán)限等等完全可以在一定程度上解決大部分的安全問(wèn)題的

在實(shí)際使用中，我們都是將規(guī)則導(dǎo)出，為ipsec擴(kuò)展名，然后導(dǎo)入即可。