界限模式中的交涉探索傳輸模式
界限模式 IPsec 原則案例中的交涉探索傳輸模式會要求所有相符流量的 IPsec 傳輸模式保護。 如果 IKE/AuthIP 交涉失敗，則允許輸入和輸出連線後援為純文字 。
此 IPsec 原則通常用於支援 IPsec 和非 IPsec 的機器上。
潛在交涉探索傳輸模式案例的範例是「保護所有單播數據流量，但ICMP除外，使用IPsec傳輸模式，並在界限模式中啟用交涉探索」。
若要以程式設計方式實作此範例，請使用下列 WFP 設定。
新增下列其中一個或兩個MM原則提供者內容。
- 針對 IKE，類型為 FWPM_IPSEC_IKE_MM_CONTEXT 的原則提供者內容。
- 針對 AuthIP，類型為 FWPM_IPSEC_AUTHIP_MM_CONTEXT 的原則提供者內容。
注意
將會交涉通用索引鍵模組，並套用對應的 MM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的密鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 價值 篩選條件 空。 所有流量都會符合篩選條件。 providerContextKey 步驟 1 中新增之 MM 提供者內容的 GUID。 新增下列一或兩個 QM 傳輸模式原則提供者內容，並設定 IPSEC_POLICY_FLAG_ND_BOUNDARY 旗標。
- 針對 IKE，類型為 FWPM_IPSEC_IKE_QM_TRANSPORT_CONTEXT的原則提供者內容。
- 針對 AuthIP，類型為 FWPM_IPSEC_AUTHIP_QM_TRANSPORT_CONTEXT的原則提供者內容。 此內容可以選擇性地包含 AuthIP 擴充模式 （EM） 交涉原則。
注意
將會交涉通用金鑰模組，並套用對應的 QM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的密鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 價值 篩選條件 空。 所有流量都會符合篩選條件。 providerContextKey 步驟 1 中新增之 QM 提供者內容的 GUID。 新增具有下列屬性的篩選。
Filter 屬性 價值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選條件 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4|6} rawContext FWPM_CONTEXT_IPSEC_INBOUND_PERSIST_CONNECTION_SECURITY 新增具有下列屬性的篩選條件，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 價值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選條件 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選條件 **IPPROTO_ICMP{V6}**這些常數定義於 winsock2.h 中。 action.type FWP_ACTION_PERMIT 權數 FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS 新增具有下列屬性的篩選。
Filter 屬性 價值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選條件 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4|6} rawContext FWPM_CONTEXT_IPSEC_OUTBOUND_NEGOTIATE_DISCOVER 新增具有下列屬性的篩選條件，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 價值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選條件 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選條件 **IPPROTO_ICMP{V6}**這些常數定義於 winsock2.h 中。 action.type FWP_ACTION_PERMIT 權數 FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS
FWPM_LAYER_IKEEXT_V{4|6} 設定 MM 交涉原則
FWPM_LAYER_IPSEC_V{4|6} 設定 QM 和 EM 交涉原則
FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸入
FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸出
注意
與交涉探索傳輸模式相反，針對界限模式原則中的交涉探索傳輸模式，不需要在 FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V{4|6} 層新增篩選，因為此原則允許輸入未受保護的純文本連線。