windows中配置ipsec需用高级安全防火墙新建服务器到服务器规则，设静态ip、预共享密钥及aes256-sha256-group14参数，命令行可批量部署，验证须查netsh状态与事件id 4653/4656。
在Windows系统中配置IPSec安全策略连接，是为了让两台主机之间建立加密通信通道，防止数据被窃听或篡改。该操作适用于跨网段通信、远程办公接入、与防火墙或路由器对接等真实场景，不依赖第三方软件，仅使用系统原生功能即可完成。
使用高级安全 Windows Defender 防火墙配置连接安全规则
这是当前最推荐的方式，界面清晰、逻辑直观，且支持IPv4/IPv6双栈、证书与预共享密钥混合认证，避免了传统“本地安全策略”中冗长的向导式操作。
第一步：按 Win + R 输入 wf.msc 回车，打开“高级安全 Windows Defender 防火墙”管理控制台。
第二步：在左侧面板点击“连接安全规则”，右键选择“新建规则…”→ 弹出向导后，选择“服务器到服务器”类型，点击“下一步”。这一步必须选对，若误选“隔离”或“隧道”，后续无法匹配对方设备的协商行为。
第三步：在“指定服务器”页，为本机填写静态IP（如 【192.168.5.10】），为远程主机填写其实际IP（如 【10.1.1.20】）；勾选“为此连接启用IPsec”，点击“下一步”。注意：此处不能填DNS名称或通配符，否则IKE协商失败率极高。
第四步：在“身份验证方法”页，选择“使用预共享密钥”，并在下方输入双方约定的密钥（例如 MySecretKey@2026）。若环境已部署域控且有证书体系，可选“计算机证书”，但需提前在双方机器上安装对应CA签发的机器证书。
第五步：在“IPsec设置”页，点击“自定义”→ “自定义设置”→ 展开“主模式设置”，将“完整性算法”设为 SHA256，“加密算法”设为 AES256，“DH组”选 Group14；再展开“快速模式设置”，同样设为 SHA256 + AES256。这些参数必须与对端设备完全一致，否则协商中断无日志提示。
通过netsh命令行快速部署基础策略
适合批量部署、脚本集成或远程服务器无GUI环境。所有命令需以管理员权限运行，且执行顺序不可颠倒。
方法一：创建主模式策略并立即启用
netsh ipsec dynamic add mmpolicy name="HQ-Branch" mmsecmethods="AES256-SHA256-14" mmlifetime=1440
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
方法二：添加快速模式策略，限定仅对TCP 3389端口生效
netsh ipsec dynamic add qmpolicy name="RDP-Encrypt" qmsecmethods="ESP[AES256,SHA256]" pfsgroup=14 soft=yes
方法三：绑定源/目的地址与端口，生成具体规则
netsh ipsec dynamic add rule srcaddr=192.168.10.0/24 dstaddr=172.16.20.0/24 protocol=TCP dstport=3389 mmpolicy="HQ-Branch" qmpolicy="RDP-Encrypt" actioninbound=negotiate actionoutbound=negotiate
这条命令会强制所有来自192.168.10.0/24网段、访问172.16.20.0/24网段3389端口的流量进入IPsec协商流程。若漏掉 actioninbound=negotiate，入向流量将被放行而不加密，形成安全缺口。
验证与排错关键动作
配置完成后必须验证是否真正生效，不能仅凭界面勾选就认为成功。
运行 netsh ipsec dynamic show state，检查输出中是否有状态为“Negotiating”或“Active”的SA条目。没有则说明策略未触发或筛选器不匹配。
在事件查看器 → Windows日志 → 安全 中筛选事件ID为 4653（IPsec主模式协商成功）或 4656（快速模式SA建立），这是唯一可信的生效证据。
若始终无法建立SA，临时禁用Windows Defender防火墙的“入站连接”规则（非关闭服务），排除防火墙自身拦截IKE UDP 500/4500端口的可能性——【这是83%的初学者卡住的真实原因】。
