<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

 

 

 

 

 

　 IPSec 本身没有为策略定义标准，策略的定义和表示由具体实施方案解决，以下对 IPSec 策略的介绍以 Windows 2000 为例。

　　在 Windows 2000 中， IPSec 策略包括一系列规则（规则规定哪些数据流可以接受，哪些数据流不能接受）和过滤器（过滤器规定数据流的源和目标地址），以便提供一定程度的安全级别。在 Windows 2000 的 IPSec 实现中，既有多种预置策略可供用户选择，也可以让用户根据企业安全需求自行创建策略。 IPSec 策略的实施有两种基本方法，一是在本地计算机上指定策略，二是使用 Windows 2000 " 组策略 " 对象，由其来实施策略。 IPSec 策略可适用于单机、域、路由器、网站或各种自定义组织单元等多种场合。

　　一、规则

　　规则规定 IPSec 策略何时以及如何保护 IP 通信。根据 IP 数据流的类型、源和目的地址，规则应该具有触发和控制安全通信的能力。每一条规则包含一张 IP 过滤器列表和与之相匹配的安全设置，这些安全设置有： 1 ）过滤器动作 2 ）认证方法 3 ） IP 隧道设置 4 ）连接类型。

　　一个 IPSec 策略包含一至多条规则，这些规则可以同时处于激活状态。例如，用户为某网站路由器指定安全策略，但对经过该路由器的 Intranet 和 Internet 通信有不同的安全要求，那么，这个策略就可以包含多条规则，分别对应于 Intranet 和 Internet 的不同场景。 IPSec 实现中针对各种基于客户机和服务器的通信提供了许多预置规则，用户可根据实际需求使用或修改。

　　二、过滤器和过滤器动作

　　规则具有根据 IP 数据流的类型以及源和目的地址为通信触发安全协商的能力，这一过程也称为 IP 包过滤。应用包过滤技术，可以精确地定义哪些 IP 数据流需要受保护，哪些数据流需要被拦截，哪些则可以绕过 IPSec 应用（即无须受保护）。

　　一个过滤器由以下几个参数决定： IP 包的源和目的地址；包所使用的传输协议类型； TCP 和 UDP 协议的源和目的端口号。一个过滤器对应于一种特定类型的数据流。 过滤器动作为需要受保护的 IP 通信设置安全需求，这些安全需求包括安全算法，安全协议和使用的密钥属性等等。

　　除了为需要受保护的 IP 通信设置过滤器动作外，还可以将过滤器动作配置成：

　　 · 绕过策略，即某些 IP 通信可以绕过 IPSec ，不受其安全保护。这类通信主要有以下三种情况： 1 ）远程主机无法启用 IPSec ， 2 ）非敏感数据流无须受保护， 3 ）数据流本身自带安全措施（例如使用 Kerberos v5 、 SSL 或 PPTP 协议）。
　　 · 拦截策略，用于拦截来自特定地址的通信。

　　三、连接类型

　　每一条规则都需要指明连接类型，用以规定 IPSec 策略的适用范围：如拨号适配器或网卡等。规则的连接属性决定该规则将应用于单种连接还是多种连接。例如，用户可以指明某条安全需求特别高的规则，只应用于拨号连接，而不应用于 LAN 连接。

　　四、认证

　　一条规则可以指定多种认证方法。 IPSec 支持的认证方法主要有：

　　 ·Kerberos v5 ： Windows 2000 的缺省认证协议。该认证方法适用于任何运行 Kerberos v5 协议的客户机（无论该客户机是否基于 Windows ）。
　　 · 公钥证书认证：该认证方法适用于 Internet 访问、远程访问、基于 L2TP 的通信或不运行 Kerberos v5 协议的主机，要求至少配置一个受信赖的认证中心 CA 。 Windows 2000 的 IKE 可以和 Microsoft 、 Entrust 和 VeriSign 等多家公司提供的认证系统相兼容，但不推荐使用预置共享密钥认证，因为该认证方法不受 IPSec 策略保护，为避免使用预置共享密钥认证可能带来的风险，一般建议使用 Kerberos v5 认证或公钥证书认证。