配置计算机的IPsec SA设置,以便它们与机器的安全等级完全匹配。设置方法因计算机操作系统而异。此处所示的示例步骤是在选择验证和低等级的加密时使用Windows 7。
在[开始]菜单中,单击[控制面板],再单击[系统和安全],然后单击[管理工具]。
在Windows 8下,将鼠标指针悬停在屏幕的顶部或右下角,然后依次单击[设置]、[控制面板]、[系统和安全],最后单击[管理工具]。
双击[本地安全策略]。
如果出现“用户帐户控制”对话框,请单击[是]。
双击[IP安全策略,在本地计算机]。
在“操作”菜单中,单击[创建IP安全策略]。
出现IP安全策略向导。
单击[下一步]。
在“名称”中输入安全策略名称,然后单击[下一步]。
清除“激活默认响应规则”复选框,然后单击[下一步]。
选中“编辑属性”,然后单击[完成]。
在“常规”选项卡中,单击[设置]。
在“身份验证和生成新密钥间隔”中,输入在“加密密钥自动交换设置阶段1”中指定的机器上的相同有效期(分钟),然后单击[方法]。
检查“安全方法优先顺序”中的散列算法(“完整性”)、加密算法(“加密”)和“Diffie-Hellman组”设置是否全部与机器上的“加密密钥自动交换设置阶段1”中指定的设置一致。
如果没有显示设置,单击[添加]。
单击[确定]两次。
在“规则”选项卡中单击[添加]。
出现安全规则向导。
单击[下一步]。
选择“此规则不指定通道”,然后单击[下一步]。
选择IPsec的网络类型,然后单击[下一步]。
在IP筛选器列表中单击[添加]。
在[名称]中,输入IP筛选器名称,然后单击[添加]。
出现IP筛选器向导。
单击[下一步]。
如果需要,请输入IP筛选器说明,然后单击[下一步]。
在“源地址”中选择“我的IP地址”,然后单击[下一步]。
在“目标地址”中选择“一个特定的IP地址或子网”,输入机器的IP地址,然后单击[下一步]。
选择IPsec的协议类型,然后单击[下一步]。
如果选择“TCP”或“UDP”,请同时指定源和目标端口,然后单击[下一步]。
单击[完成]。
单击[确定]。
选择刚创建的IP筛选器,然后单击[下一步]。
单击[添加]。
此时会出现筛选器操作向导。
单击[下一步]。
在[名称]中,输入IP筛选器操作名称,然后单击[下一步]。
选择“协商安全”,然后单击[下一步]。
选择“如果无法建立安全的连接,则允许无安全性的通讯。”,然后单击[下一步]。
选择“自定义”,然后单击[设置]。
在“完整性算法”中,选择在“加密密钥自动交换设置阶段2”中指定的机器上的验证算法。
在“加密算法”中,选择在“加密密钥自动交换设置阶段2”中指定的机器上的加密算法。
在会话密钥设置中,选择“生成新密钥间隔”,然后输入在机器的“加密密钥自动交换设置阶段2”中指定的有效期(秒)。
单击[确定]。
单击[下一步]。
单击[完成]。
选择刚创建的筛选器操作,然后单击[下一步]。
如果您将“加密密钥自动交换设置”设置为“验证和高等级的加密”,请选择刚创建的IP筛选器操作,单击[编辑],然后选中筛选器上“使用会话密钥完美转发密文(PFS)”的属性对话框。如果在Windows中使用PFS,则阶段2中使用的PFS组号将在阶段1从Diffie-Hellman组号自动议定(在步骤11中设置)。因此,如果您更改了本机上自动设置中指定的安全级别,并且出现了“用户设定”,必须在本机上设置相同的“阶段1 Diffie-Hellman组”和“阶段2 PFS”组号以便建立IPsec传输。
选择验证方法,然后单击[下一步]。
如果在机器上的“加密密钥自动交换设置”中选择“证书”作为验证方法,请指定设备证书。 如果选择“PSK”,请输入在机器上指定的相同PSK文本和预共享密钥。
单击[完成]。
如果您正使用IPv6,则必须从步骤13开始重复这一过程,并添加ICMPv6为例外。
执行到步骤23时,请选择[58]作为“其他”目标协议类型的协议编号,然后将[协商安全]设置为[允许]。
单击[确定]。
新的IP安全策略(IPsec设置)即被指定。
选择刚创建的安全策略,右键单击,然后单击[分配]。
将启用计算机的IPsec设置。
要禁用计算机的IPsec设置,请选择安全策略,右键单击,然后单击[取消分配]。