保证加密

保证加密 IPsec 策略方案要求对所有匹配流量进行 IPsec 加密。 必须结合其中一个传输模式策略选项指定此策略。

保证加密通常用于根据每个应用程序加密敏感流量。

可能的有保证加密方案的示例是“保护除 ICMP 以外的所有单播数据流量，使用 IPsec 传输模式启用协商发现，并要求对所有对应于 TCP 本地端口 5555 的单播流量进行有保证的加密。

若要以编程方式实现此示例，请使用以下 WFP 配置。

FWPM_LAYER_IKEEXT_V{4|6} 设置 MM 协商策略

1. 添加以下一个或两个 MM 策略提供程序上下文。

   • 对于 IKE，FWPM_IPSEC_IKE_MM_CONTEXT类型的策略提供程序上下文。
   • 对于 AuthIP，FWPM_IPSEC_AUTHIP_MM_CONTEXT类型的策略提供程序上下文。

   注意

   将协商通用密钥模块，并应用相应的 MM 策略。 如果支持 IKE 和 AuthIP，则 AuthIP 是首选密钥模块。

2. 对于步骤 1 中添加的每个上下文，添加具有以下属性的筛选器。

   Filter 属性	价值
   筛选条件	空。 所有流量都将与筛选器匹配。
   providerContextKey	步骤 1 中添加的 MM 提供程序上下文的 GUID。

at FWPM_LAYER_IPSEC_V{4|6} 设置 QM 和 EM 协商策略

1. 添加以下 QM 传输模式策略提供程序上下文中的一个或两个，并设置 IPSEC_POLICY_FLAG_ND_SECURE 标志。

   • 对于 IKE，类型为 FWPM_IPSEC_IKE_QM_TRANSPORT_CONTEXT的策略提供程序上下文。
   • 对于 AuthIP，类型为 FWPM_IPSEC_AUTHIP_QM_TRANSPORT_CONTEXT的策略提供程序上下文。 此上下文可以选择包含 AuthIP 扩展模式 （EM） 协商策略。

   注意

   将协商通用密钥模块，并应用相应的 QM 策略。 如果支持 IKE 和 AuthIP，则 AuthIP 是首选密钥模块。

2. 对于步骤 1 中添加的每个上下文，添加具有以下属性的筛选器。

   Filter 属性	价值
   筛选条件	空。 所有流量都将与筛选器匹配。
   providerContextKey	步骤 1 中添加的 QM 提供程序上下文的 GUID。

FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} 设置入站每数据包筛选规则

1. 添加具有以下属性的筛选器。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE筛选条件	NlatUnicast
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4|6}
   rawContext	FWPM_CONTEXT_IPSEC_INBOUND_PERSIST_CONNECTION_SECURITY

2. 通过添加具有以下属性的筛选器来免除 IPsec 的 ICMP 流量。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL 筛选条件	**IPPROTO_ICMP{V6}**这些常量是在 winsock2.h 中定义的。
   action.type	FWP_ACTION_PERMIT
   权重	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

at FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} 设置出站每数据包筛选规则

1. 添加具有以下属性的筛选器。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4|6}
   rawContext	FWPM_CONTEXT_IPSEC_OUTBOUND_NEGOTIATE_DISCOVER

2. 通过添加具有以下属性的筛选器来免除 IPsec 的 ICMP 流量。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL 筛选条件	**IPPROTO_ICMP{V6}**这些常量是在 winsock2.h 中定义的。
   action.type	FWP_ACTION_PERMIT
   权重	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V{4|6} 设置入站每连接筛选规则

1. 添加具有以下属性的筛选器。 仅当入站连接尝试受 IPsec 保护时，此筛选器才允许入站连接尝试。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_INBOUND_INITIATE_SECURE_V{4|6}

2. 通过添加具有以下属性的筛选器来免除 IPsec 的 ICMP 流量。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL 筛选条件	**IPPROTO_ICMP{V6}**这些常量是在 winsock2.h 中定义的。
   action.type	FWP_ACTION_PERMIT
   权重	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

3. 添加具有以下属性的筛选器。 此筛选器仅允许加密到 TCP 端口 5555 的入站连接。

   Filter 属性	价值
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL 筛选条件	IPPROTO_TCPwinsock2.h 中定义了此常量。
   FWPM_CONDITION_IP_LOCAL_PORT 筛选条件	5555
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_INBOUND_INITIATE_SECURE_V{4|6}
   rawContext	FWPM_CONTEXT_ALE_SET_CONNECTION_REQUIRE_IPSEC_ENCRYPTION

FWPM_LAYER_ALE_AUTH_CONNECT_V{4|6} 设置出站每连接筛选规则

• 添加具有以下属性的筛选器。 此筛选器仅允许来自 TCP 端口 5555 的出站连接（如果已加密）。

  Filter 属性	价值
  FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 筛选条件	NlatUnicast
  FWPM_CONDITION_IP_PROTOCOL 筛选条件	IPPROTO_TCPwinsock2.h 中定义了此常量。
  FWPM_CONDITION_IP_LOCAL_PORT 筛选条件	5555
  action.type	FWP_ACTION_CALLOUT_TERMINATING
  action.calloutKey	FWPM_CALLOUT_IPSEC_ALE_CONNECT_V{4|6}
  rawContext	FWPM_CONTEXT_ALE_SET_CONNECTION_REQUIRE_IPSEC_ENCRYPTION

相关主题

示例代码：使用传输模式

ALE 层

内置标注标识符

筛选条件

筛选层标识符

FWPM_ACTION0

FWPM_PROVIDER_CONTEXT_TYPE