Windows 2000 中配置 IPSec 隧道模式完整指南

適用場景

IPSec 隧道模式主要用於：

• 與不支援 L2TP/IPSec 或 PPTP 的第三方閘道器/路由器互通。
• 雙端點擁有靜態 IP 的閘道器對閘道器連線。
• 特殊案例：閘道器對內部伺服器建立隧道保護內部路徑。

不支援：用戶端遠端存取 VPN（需 L2TP/IPSec）、協定/連接埠特定隧道。

網路拓撲範例

NetA - Win2K閘道器 --- Internet --- 第三方閘道器 - NetB
W2KintIP  W2KextIP        3rdExtIP  3rdIntIP

• NetA：Win2K 閘道器內部網段
• W2KintIP：Win2K 內部介面 IP
• W2KextIP：Win2K 外部介面 IP
• 3rdExtIP：第三方閘道器外部 IP
• 3rdIntIP：第三方閘道器內部 IP
• NetB：第三方閘道器內部網段

配置步驟總覽

1. 建立本機 IPSec 原則（非網域環境）或指派至 OU 群組原則（網域環境）。
2. 建立兩個篩選器清單：NetA→NetB（隧道1）、NetB→NetA（隧道2）。
3. 設定篩選器動作：要求安全性（ESP 加密/認證）、隧道端點 IP。
4. 建立兩條規則，各綁定一個篩選器清單與篩選器動作。
5. 指派並啟用原則。
6. 配置 RRAS 篩選器防止隧道外流量洩漏。

詳細操作：建立 IPSec 原則

1. 執行 secpol.msc 開啟「IP 安全性原則管理」嵌入式管理單元。
2. 右鍵「本機電腦的 IP 安全性原則」→「建立 IP 安全性原則」。
3. 命名（如「與第三方閘道器 IPSec 隧道」），取消勾選「啟用預設回應規則」。
4. 完成並勾選「編輯屬性」。

建立篩選器清單：NetA → NetB

1. 在原則屬性中，取消「使用新增精靈」，點選「新增」建立規則。
2. 「IP 篩選器清單」分頁 → 「新增」 → 命名 → 取消精靈 → 「新增」篩選器。
3. 來源位址：「特定 IP 子網路」→ 填入 NetA 網段與子網路遮罩。
4. 目的地位址：「特定 IP 子網路」→ 填入 NetB 網段與子網路遮罩。
5. 取消勾選「鏡像」（關鍵：隧道需單向篩選器）。
6. 協定分頁：設為「任何」（隧道不支援協定/連接埠特定）。
7. 完成並關閉。

建立篩選器清單：NetB → NetA

同上，但來源/目的地互換（來源 NetB，目的地 NetA）。

設定篩選器動作（隧道端點）

1. 在規則精靈「篩選器動作」分頁 → 「新增」 → 命名 → 下一步。
2. 選擇「協商安全性」→ 「自訂」→ 設定：
   • 完整性演算法：SHA1（或 MD5）。
   • 加密演算法：3DES（或 AES）。
   • 勾選「工作階段金鑰完美前向保密 (PFS)」。
3. 「通道設定」：勾選「使用通道模式」，輸入隧道端點 IP：
   • 規則1（NetA→NetB）：本機端點 = W2KextIP，遠端端點 = 3rdExtIP。
   • 規則2（NetB→NetA）：本機端點 = W2KextIP，遠端端點 = 3rdExtIP。
4. 完成動作建立，套用至對應規則。

RRAS 輸入/輸出篩選器防洩漏

在「路由與遠端存取」管理主控台，對外部介面設定輸入/輸出篩選器，僅允許：

• IKE (UDP 500)
• ESP (協定 50)
• AH (協定 51，若使用)
• 內部網段間路由流量

拒絕所有其他外部介面流量，確保資料必須經過 IPSec 隧道。

驗證與監控

• 使用 ipsecmon.exe 監控主控台觀察安全性關聯 (SA) 建立狀態。
• 檢視事件檢視器「系統日誌」中 PolicyAgent 來源事件。
• 以 Ping/Traceroute 驗證網路連通性。

總結

Windows 2000 IPSec 隧道模式配置核心在於：建立雙向單向篩選器、設定對稱隧道端點、配置 RRAS 篩選器防洩漏。嚴格遵循靜態 IP 需求與協定限制，可與主流第三方 VPN 閘道器實現互通。