windows下ipsec配置核心是精准定义“对谁、用什么方式加密”，需三步：明确流量范围（按ip段和协议限定）、创建筛选器列表与“require encryption”操作（aes-256+sha-256、dh group 14）、策略指派至ou并gpupdate验证。
windows 环境下的 ipsec 连接安全协议配置，核心在于明确通信目标、选择合适模式，并确保两端策略严格匹配。它不是“开个开关”就能用的功能，而是需要按逻辑分步落实的安全机制——重点不在工具多强大，而在每一步是否精准对应。
先确认你用的是哪种场景
IPsec 在 Windows 中不是万能套件，不同用途走不同路径：
- 保护两台主机间特定端口通信（如远程桌面 3389）：用本地安全策略（secpol.msc）或组策略（gpedit.msc），走传输模式，直接加密 TCP 流量；
- 建立跨网络的加密隧道（如员工连公司内网）：通常搭配 L2TP 使用，即 L2TP/IPsec，需额外配置注册表启用 NAT 穿越和弱加密支持；
- 批量管理域内上百台设备：必须用组策略（GPO），把 IPsec 策略作为计算机配置下发，避免逐台操作；
- 脚本化或自动化部署：可用 netsh ipsec dynamic 命令行，适合集成进部署流程，但调试难度略高。
关键配置项必须两端一致
IPsec 是双向协商机制，任意一端参数不匹配，连接就会失败或降级为明文。最常出错的三项是：
- 预共享密钥（PSK）：大小写、空格、特殊字符全部严格一致，建议用 ASCII 字符组合，避免中文或不可见字符；
- IP 地址方向：受控端（如服务器）筛选器设“源=任意，目标=本机”；发起端（如笔记本）则相反，“源=本机，目标=任意”，否则规则无法触发；
- 安全方法组合：默认使用 AES-128 + SHA1 可兼容性最好；若启用 AES-256 或 SHA256，需确认两端系统版本支持（Win10 1809+ / Win Server 2016+ 更稳妥）。
加密强度与实际可用性要平衡
Windows 默认支持多种加密套件，但不是越强越好：
- 启用了 “不允许不安全的通信” 后，一旦协商失败，连接直接被拒——这很安全，但也意味着配置错误时你会连不上自己服务器；
- L2TP/IPsec 场景下，若客户端在 NAT 后（如家用路由器），必须在注册表中启用 AssumeUDPEncapsulationContextOnSendRule = 2，否则 UDP 封装失败，提示“服务器未响应”；
- 老旧设备（如 Win7 或某些嵌入式终端）可能不支持 IKEv2，此时应退回到 IKEv1 + PSK 模式，并禁用 PFS（完美前向保密），否则协商卡在第一阶段。
验证是否真正生效
配完不能只看“已分配”，要实测加抓包：
- 连接成功后，在命令行运行 netsh ipsec dynamic show rule，查看当前激活的规则是否命中你的流量（src/dst/port 匹配）；
- 用 Wireshark 抓包，过滤 ip.proto == 50 or ip.proto == 51（ESP/AH 协议号），看到加密载荷说明 IPsec 已介入；
- 尝试从一台未配置策略的电脑连接同一端口，应被拒绝（除非防火墙放行但 IPsec 拒绝），这是策略起效的间接证据。
