Local IPSec Policy Active:'IPSec tunnel with {tunnel endpoint}' IP Security Policy Path: SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\ipsecPolicy{-longnumber-} There are two filters From NetA to NetB Filter ID:{-long number-} Policy ID:{-long number-} IPSEC_POLICY PolicyId = {-long number-} Flags:0x0 Tunnel Addr: 0.0.0.0 PHASE 2 OFFERS Count = 1 Offer #0: ESP[ DES MD5 HMAC] Rekey:0 seconds / 0 bytes. AUTHENTICATION INFO Count = 1 Method = Preshared key:-actual key- Src Addr:NetA Src Mask:-subnet mask- Dest Addr:NetB Dest Mask:-subnet mask- Tunnel Addr:3rdExtIP Src Port:0 Dest Port: 0 Protocol:0 TunnelFilter:Yes Flags :Outbound From NetB to NetA Filter ID:{-long number-} Policy ID:{-long number-} IPSEC_POLICY PolicyId = {-long number-} Flags:0x0 Tunnel Addr: 0.0.0.0 PHASE 2 OFFERS Count = 1 Offer #0: ESP[ DES MD5 HMAC] Rekey:0 seconds / 0 bytes. AUTHENTICATION INFO Count = 1 Method = Preshared key:-actual key- Src Addr:NetB Src Mask:-subnet mask- Dest Addr:NetA Dest Mask:-subnet mask- Tunnel Addr:W2KextIP Src Port:0 Dest Port: 0 Protocol:0 TunnelFilter:Yes Flags:Inbound返回页首 配置路由和远程访问筛选如果您要阻止源或目标地址与 NetA 或 NetB 不匹配的通信流，则在“路由和远程访问 MMC”中为外部接口创建一个输出筛选器，它将保留从 NetA 到 NetB 的数据包，但丢弃所有其他通信流。另外再创建一个输入筛选器，它将保留从 NetB 到 NetA 的数据包，但丢弃所有其他通信流。您还必须允许发往/来自 WIN2003extIP 和 3rdExtIP 的通信流，以允许在创建隧道时执行 IKE 协商。“路由和远程访问”筛选是在 IPSec 之上执行的。您不必特别允许 IPSec 协议，因为它从不到达 IP 数据包筛选器层。以下示例是 Windows Server 2003 TCP/IP 结构非常简单的表现形式：
应用程序层
传输层 (TCP|UDP|ICMP|RAW)
---- 网络层开始 ----
IP 数据包筛选器（执行“NAT/路由和远程访问”筛选）
IPSec（实现 IPSec 筛选器）
碎片处理/重新汇编
---- 网络层结束 ------
NDIS 接口
数据链接层
物理层要在“路由和远程访问”服务中配置筛选器，请加载“路由和远程访问 MMC”并执行以下步骤：
1.
在“路由和远程访问”下展开服务器树，展开“IP 路由”子树，然后单击“常规”。
2.
右键单击“WIN2003extIP”，然后单击“属性”。
3.
单击“出站筛选器”，然后单击“新建”。
4.
单击“源网络”和“目标网络”复选框，将其选中。
5.
在“源网络”框中，键入 NetA 的“IP 地址”和“子网掩码”。
6.
在“目标网络”框中，键入 NetB 的“IP 地址”和“子网掩码”。
7.
保留协议的现有设置“任何”，然后单击“确定”。
8.
单击“新建”，然后单击“源网络”和“目标网络”复选框，将其选中。
9.
在“源网络”框中，键入 WIN2003extIP 的“IP 地址”和“子网掩码”。
10.
在“目标网络”框中，键入 3rdExtIP 的“IP 地址”和“子网掩码”（对 IKE 协商使用子网掩码 255.255.255.255）。
11.
保留协议的现有设置“任何”，然后单击“确定”。
12.
单击“丢弃所有的数据包，满足下面条件的除外”复选框，将其选中，然后单击“确定”。
13.
单击“输入筛选器”，单击“添加”，然后单击“源网络”和“目标网络”复选框，将其选中。
14.
在“源网络”框中，键入 NetB 的“IP 地址”和“子网掩码”。
15.
在“目标网络”框中，键入 NetA 的“IP 地址”和“子网掩码”。
16.
保留协议的现有设置“任何”，然后单击“确定”。
17.
单击“新建”，然后单击“源网络”和“目标网络”复选框，将其选中。
18.
在“源网络”框中，键入 3rdExtIP 的“IP 地址”和“子网掩码”。
19.
在“目标网络”框中，键入 WIN2003extIP 的“IP 地址”和“子网掩码”（对 IKE 协商使用子网掩码 255.255.255.255）。
20.
保留协议的现有设置“任何”，然后单击“确定”。
21.
单击“丢弃所有的数据包，满足下面条件的除外”复选框，将其选中，然后单击“确定”。
注意：如果“路由和远程访问”服务器具有多个连接到 Internet 的接口，或者如果您有多个 IPSec 隧道，请为每个 Internet 接口的每条 IPSec 隧道（每个源和目标 IP 子网）创建“路由和远程访问”免除筛选器。返回页首
在路由和远程访问中配置静态路由Windows Server 2003 网关在其 NetB 路由表中必须有一个路由。要配置此路由，请在“路由和远程访问 MMC”中添加静态路由。如果 Windows Server 2003 网关是一个多主网关，即在同一外部网络（或两个或更多个可到达目标隧道 IP 3rdExtIP 的网络）上有两个或更多个网络适配器，则存在以下可能性：
•
出站隧道通信流占用一个接口，在另一不同的接口上接收入站隧道通信流。即使您使用 IPSec 卸载网络适配器，在不同接口（即：不是发送出站隧道通信流的接口）上接收时，也不允许接收网络适配器处理硬件中的加密，因为只有出站接口才能卸载“安全关联”(SA)。
•
出站隧道通信流占用的接口不同于具有隧道终结点 IP 地址的接口。隧道传输数据包的源 IP 是出站接口上的源 IP。如果此 IP 不是隧道另一端期望的源 IP，将无法建立隧道（或者，如果隧道已建立，这些数据包会被隧道的远程终结点丢弃）。为避免在不正确的接口发送出站隧道通信流，请定义一个静态路由，将发往 NetB 的通信流绑定到相应的外部接口：
1.
在“路由和远程访问 MMC”中，展开服务器树，展开“IP 路由”子树，右键单击“静态路由”，然后单击“新建静态路由”。
2.
在“接口”框中，单击“WIN2003extIP”（如果始终要将此接口用于出站隧道通信流）。
3.
键入 NetB 的“目标网络”和“网络掩码”。
4.
在“网关”框中，键入 3rdextip。
5.
将“跃点数”值的设置保留为它的默认值 (“1”)，然后单击“确定”。
注意：为了解决在不正确的接口上接收入站隧道通信流这一问题，请不要使用路由协议公布该接口的 IP 地址。并且，按照本文“配置路由和远程访问筛选”部分的说明，在“路由和远程访问”服务中配置筛选器，以丢弃发往 NetA 或 WIN2003extIP 的数据包。返回页首
测试 IPSec 隧道您可以这样来启动隧道：从 NetA 上的计算机向 NetB 上的计算机（或从 NetB 向 NetA）发出 ping 命令。如果您正确地创建了筛选器并指派了正确的策略，这两个网关将建立一条 IPSec 隧道，以便通过 ping 命令以加密格式发送 ICMP 通信流。即使 ping 命令能够执行，您也应当确认 ICMP 通信流在这两个网关之间是否以加密格式发送。您可以使用以下工具实现这一点。
返回页首
启用登录事件和对象访问审核这样可以在安全日志中记录事件，让您知道是否尝试进行了 IKE 安全关联协商以及协商是否成功。
1.
使用“组策略 MMC”管理单元，依次展开“本地计算机策略”、“计算机配置”、“Windows 设置”、“安全设置”、“本地策略”，然后单击“审核策略”。
2.
启用“审核登录事件”和“审核对象访问”的“成功”及“失败”审核。
注意：如果 Windows Server 2003 网关是域的成员，并且您使用域策略进行审核，那么域策略将取代本地策略。在此情况下，请修改域策略。返回页首
IP 安全监视器“IP 安全监视器”控制台显示 IPSec 统计数据和活动的安全关联 (SA)。在尝试使用 ping 命令建立隧道后，您可以查看是否创建了 SA（如果隧道创建成功，则会显示 SA）。如果 ping 命令执行成功但没有出现 SA，则表明 ICMP 通信流不受 IPSec 保护。如果您看到一个以前不存在的“软关联”，则表明 IPSec 同意此通信流以“明文”形式传送（不加密）。 有关“软关联”的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
234580 "Soft Associations" Between IPSec-Enabled and Non-IPSec-Enabled Computers
注意：在 Microsoft Windows XP 和 Windows Server 2003 系列中，“IP 安全监视器”是以 Microsoft Management Console (MMC) 控制台的方式实现的。要添加“IP 安全监视器”管理单元，请按照下列步骤操作：
1.
单击“开始”，单击“运行”，键入“MMC”，然后单击“确定”。
2.
单击“文件”，单击“添加/删除管理单元”，然后单击“添加”。
3.
单击“IP 安全监视器”，然后单击“添加”。
4.
单击“关闭”，然后单击“确定”。返回页首
网络监视器在尝试 ping 计算机时，您可以使用“网络监视器”捕获通过 WIN2003extIP 接口的通信流。如果您在捕获文件中能够看到这样的 ICMP 数据包：它们具有的源 IP 地址和目标 IP 地址对应于您发出 ping 命令的计算机和您 ping 的计算机的 IP 地址，则表明 IPSec 没有保护通信流。如果没有看到此类 ICMP 通信流，而是看到了 ISAKMP 和 ESP 数据包，则表明 IPSec 在保护通信流。如果您只使用“验证头”(AH) IPSec 协议，则会看到 ISAKMP 通信流后面跟着 ICMP 数据包。ISAKMP 数据包是实际发生的 IKE 协商，而 ESP 数据包是由 IPSec 协议加密的负载数据。
要安装“网络监视器”，请按照下列步骤操作：
1.
依次单击“开始”、“控制面板”、“添加或删除程序”、“添加/删除 Windows 组件”。
2.
在“Windows 组件”向导中，单击“管理和监视工具”，然后单击“详细信息”。
3.
在“管理和监视工具的子组件”中，单击“网络监视工具”复选框，将其选中，然后单击“确定”。
4.
如果提示您提供其他文件，则插入操作系统的安装 CD，或键入这些文件的网络路径。返回页首
实际测试
1.
在您尝试从一个子网上的某台计算机 ping 另一台计算机（NetA 或 NetB）之前，请先在命令提示符下键入 ipconfig。在 TCP/IP 堆栈中初始化的网络接口将显示出来。
2.
启动“IP 安全监视器”工具。
3.
启动“网络监视器”，然后在“捕获”菜单上，单击“网络”。单击 WIN2003extIP 接口，然后单击“确定”。
4.
尝试 ping 该计算机。在建立 IPSec 隧道的过程中，第一部分 ICMP 回应数据包可能会超时。如果 ping 命令不成功，请检查安全日志和系统日志。
5.
如果 ping 命令成功，则停止“网络监视器”捕获，然后看一看 ICMP 通信流是以“明文”形式发送的，还是只能看到 ISAKMP 和 IPSec 协议数据包。检查“IP 安全监视器”，查看是否使用您创建的 NetA 到 NetB 的筛选器创建了 SA。另外还要检查安全日志。您应当能够看到事件 ID 541（已建立 IKE 安全关联）。
6.
在命令提示符下再次键入 ipconfig，以验证在隧道使用期间没有其他 TCP/IP 接口。出现这种现象是因为 IPSec 在保护通过物理接口 (WIN2003extIP) 的通信流。
如果远程网关也是 Windows Server 2003 节点，请记住以下信息：
•
NetA 中客户端的默认网关是 WIN2003extIP。NetB 中客户端的默认网关是 3rdIntIP。
•
IPSec 隧道不更改 Windows Server 2003 网关中通信的路由方式。（该网关能够路由数据包是因为在“路由和远程访问”中启用了路由。实际的 LAN 或 WAN 接口跃点数仍在使用中。）返回页首
参考
有关“路由和远程访问”服务的更多信息，请参阅 Windows Server 2003 联机帮助。
要查看 Windows Server 2003 Resource Kit 及其他技术文档，请访问以下 Microsoft 网站：
http://www.microsoft.com/windowsserver2003/default.mspx有关 IETF 标准方面的信息，请访问以下网站：
•
IPSec
http://www.ietf.org/html.charters/ipsec-charter.html
•
L2TP
http://www.ietf.org/html.charters/pppext-charter.html
ftp://ftp.isi.edu/in-notes/rfc2661.txt
http://www.ietf.org/html.charters/l2tpext-charter.htmlMicrosoft 提供了第三方联系信息以便于您寻求技术支持。这些联系信息如有更改，恕不另行通知。Microsoft 不保证这些第三方联系信息的准确性。
这篇文章中的信息适用于:
•
Microsoft Windows Server 2003
•
Microsoft Windows Server 2003 Enterprise Edition
•
Microsoft Windows Server 2003 Datacenter Edition
•
Microsoft Windows Small Business Server 2003 Standard Edition
•
Microsoft Windows Small Business Server 2003 Premium Edition
返回页首
关键字：
kbhowtomaster KB816514
本文地址：http://com.8s8s.com/it/it34027.htm