關於 Windows 篩選平台

  • 發行項

Windows 篩選平台 () 是一種網路流量處理平臺，其設計目的是取代 Windows XP 和 Windows Server 2003 網路流量篩選介面。 其包含一組連結至網路堆疊，以及協調網路堆疊互動的篩選引擎。

一元組元件

篩選引擎

裝載于核心模式和使用者模式的核心多層篩選基礎結構，會取代 Windows XP 和 Windows Server 2003 網路子系統中的多個篩選模組。

  • 透過填充碼可以提供的任何資料欄位，篩選系統中任何層級的網路流量。
  • 在分類期間叫用圖說文字來實作「圖說文字」篩選。
  • 將「允許」或「封鎖」動作傳回叫用該填充碼以強制執行。
  • 提供不同原則來源之間的仲裁。 例如，當應用程式設定為保護與其相關的任何網路流量時，會決定優先順序，但本機防火牆已設定為防止應用程式安全流量。

基底篩選引擎 (BFE)

控制 Windows 篩選平台作業的服務。 它會執行下列工作。

  • 接受平臺的篩選和其他組態設定。
  • 報告系統的目前狀態，包括統計資料。
  • 強制執行安全性模型，以接受平臺中的組態。 例如，本機系統管理員可以新增篩選，但其他使用者只能檢視它們。
  • 將組態設定管取至系統中的其他模組。 例如，IPsec 交涉原則會移至 IKE/AuthIP 金鑰處理模組，篩選準則會移至篩選引擎。

墊片

位於網路堆疊與篩選引擎之間的核心模式元件。 填充碼會根據篩選引擎進行分類來做出篩選決策。 以下是可用的填充碼清單。

  • 應用層強制 (ALE) 填充碼。
  • 傳輸層模組填充碼。
  • 網路層模組填充碼。
  • 網際網路控制訊息通訊協定 (ICMP) 錯誤填充碼。
  • 捨棄填充碼。
  • 資料流程填充碼。

圖說文字

驅動程式公開的函式集，並用於特製化篩選。 除了「允許」和「封鎖」的基本動作之外，圖說文字還可以修改及保護輸入和輸出網路流量。 如需圖說文字的詳細資訊，請參閱 Windows 驅動程式套件 (WDK) 檔中的 Windows 篩選平台圖說文字驅動程式 主題。 其提供內建圖說文字，可完成下列工作。

  • 執行 IPsec 處理。
  • 調整具狀態篩選行為。
  • 執行隱形模式篩選 (未要求封包的無訊息卸載) 。
  • 控制 TCP chimney 卸載。
  • 與 Teredo 服務互動。


篩選引擎可讓協力廠商圖說文字在其每個核心模式層註冊。

應用程式程式設計介面

可供開發人員建置和管理網路篩選應用程式的一組資料類型和函式。 這些資料類型和函式會分組成多個 API 集合。

其功能

  • 提供封包篩選基礎結構，其中獨立軟體廠商 (ISV) 可以外掛程式特製化篩選模組。
  • 適用于 IPv4 和 IPv6。
  • 允許資料篩選、修改和重新插入。
  • 同時執行封包和資料流程處理。
  • 除了每個網路介面或每個埠之外，允許每個應用程式、每個使用者和每個連線啟用封包篩選。
  • 提供開機時間安全性，直到基礎篩選引擎 (BFE) 可以啟動為止。
  • 啟用具狀態連線篩選。
  • 處理預先和後置 IPsec 加密的資料。
  • 允許整合 IPsec 和防火牆篩選原則。
  • 提供原則管理基礎結構，以判斷何時應啟用特定篩選。 這包括針對不同廠商所提供的多個篩選準則進行衝突的需求。
  • 處理大部分的封包重新組譯和狀態追蹤。
  • 包含一般使用者通知系統，通知訂閱者對篩選系統的變更。
  • 實作報告系統狀態的列舉函式。
  • 使用 net 事件來記錄 IPsec 錯誤和封包捨棄。
  • 支援網路診斷架構 (NDF) 協助程式類別。
  • 支援 Winsock API 的安全 通訊端延伸模組 ，可讓網路應用程式藉由設定其流量來保護其流量。
  • 在應用層強制執行 (ALE) 層時，只處理連線中的第一個封包，以最少影響網路效能。
  • 整合硬體卸載，其中核心模式圖說文字模塊可以使用硬體來執行特定的封包檢查。

新式計畫架構

一次次計劃性作業

應用層強制執行 (ALE)

IPsec 組態

][計畫組態]

其監視

計劃性 API