必须使用netsh ipsec static逐层构建IPsec策略：先创建主策略（mmsec格式为“加密-完整性-DH组”，DH组写1）、再建同名筛选器列表、添加mirrored=yes双向筛选器、配置qmsec含方括号的筛选器操作，最后通过rule绑定并assign=yes激活。
要在Windows上通过命令行精确控制IPsec策略的创建、筛选器绑定与激活流程，避免图形界面配置中易遗漏的主模式生存时间或镜像筛选器设置，必须使用netsh ipsec static子命令逐层构建。
创建IPsec主策略
打开管理员权限的CMD或PowerShell，执行以下命令创建名为“winvsr”的主模式策略：
netsh ipsec static add policy winvsr mmsec="DES-MD5-1" mmlifetime=1440
这一步必须指定mmsec参数格式为“加密-完整性-DH组”，【DH组必须写成数字1而非Group1，否则命令报错且不提示具体原因】。mmlifetime单位是分钟，设为1440即24小时，过短会导致频繁重协商中断连接。
定义IP流量筛选器列表
执行命令新建一个空筛选器列表：
netsh ipsec static add filterlist winvsr
该列表本身不含任何地址规则，仅作为后续IP筛选器的容器。名称必须与策略名一致，否则后续绑定失败。
添加双向IP筛选器
在winvsr筛选器列表中添加一条覆盖两端通信的筛选器：
netsh ipsec static add filter filterlist=winvsr srcaddr=10.24.1.2 dstaddr=10.24.1.1 mirrored=yes
mirrored=yes是关键开关——它自动为反向流量（10.24.1.1→10.24.1.2）生成镜像条目，省去手动添加第二条筛选器。若漏掉此参数，只有一半流量受保护。
配置快速模式安全操作
创建名为winvsr的筛选器操作，指定ESP封装及算法：
netsh ipsec static add filteraction name=winvsr action=negotiate qmsec="ESP[MD5,DES]"
注意qmsec值必须用方括号包裹算法，且顺序固定为“完整性,加密”。此处未启用PFS（完美前向保密），因H3C VSR默认不支持GRP2以上DH组。
绑定策略、筛选器与操作
① 将筛选器列表winvsr与筛选器操作winvsr关联成规则：
netsh ipsec static add rule name=winvsr policy=winvsr filterlist=winvsr filteraction=winvsr
② 激活策略使规则生效：
netsh ipsec static set policy name=winvsr assign=yes
assign=yes是最终生效指令，此前所有步骤均为数据库写入，不执行此步策略处于未分配状态，IPsec不会拦截或保护任何流量。
