界限模式中的交涉探索傳輸模式
界限模式 IPsec 原則案例中的交涉探索傳輸模式會要求所有相符流量的 IPsec 傳輸模式保護。 如果 IKE/AuthIP 交涉失敗，則允許輸入和輸出連線回復為純文字 。
此 IPsec 原則通常用於支援 IPsec 和非 IPsec 機器存取的機器上。
潛在交涉探索傳輸模式案例的範例是「保護所有單播資料流量，但 ICMP 除外，使用 IPsec 傳輸模式，並在界限模式中啟用交涉探索」。
若要以程式設計方式實作此範例，請使用下列的一組設定。
新增下列其中一個或兩個 MM 原則提供者內容。
- 針對 IKE，類型為 FWPM_IPSEC_IKE_MM_CONTEXT 的原則提供者內容。
- 針對 AuthIP，類型為 FWPM_IPSEC_AUTHIP_MM_CONTEXT 的原則提供者內容。
注意
一般金鑰處理模組將會交涉，並套用對應的 MM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的金鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 值 篩選準則 空白。 所有流量都會符合篩選準則。 providerCoNtextKey 步驟 1 中新增之 MM 提供者內容的 GUID。 新增下列一或兩個 QM 傳輸模式原則提供者內容，並設定 IPSEC_POLICY_FLAG_ND_BOUNDARY 旗標。
- 針對 IKE，類型 為 FWPM_IPSEC_IKE_QM_TRANSPORT_CONTEXT的原則提供者內容。
- 針對 AuthIP，類型 為 FWPM_IPSEC_AUTHIP_QM_TRANSPORT_CONTEXT的原則提供者內容。 此內容可以選擇性地包含 AuthIP 擴充模式 (EM) 交涉原則。
注意
一般金鑰處理模組將會交涉，並套用對應的 QM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的金鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 值 篩選準則 空白。 所有流量都會符合篩選準則。 providerCoNtextKey 步驟 1 中新增的 QM 提供者內容的 GUID。 新增具有下列屬性的篩選。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4|6} rawCoNtext FWPM_CONTEXT_IPSEC_INBOUND_PERSIST_CONNECTION_SECURITY 藉由新增具有下列屬性的篩選，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選準則 **IPPROTO_ICMP{V6}**這些常數定義于 winsock2.h 中。 action.type FWP_ACTION_PERMIT weight FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS 新增具有下列屬性的篩選。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4|6} rawCoNtext FWPM_CONTEXT_IPSEC_OUTBOUND_NEGOTIATE_DISCOVER 藉由新增具有下列屬性的篩選，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選準則 **IPPROTO_ICMP{V6}**這些常數定義于 winsock2.h 中。 action.type FWP_ACTION_PERMIT weight FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS
在FWPM_LAYER_IKEEXT_V{4|6} 設定 MM 交涉原則
在FWPM_LAYER_IPSEC_V{4|6} 設定 QM 和 EM 交涉原則
在 FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸入
在 FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸出
注意
相對於交涉探索傳輸模式，對於界限模式原則中的交涉探索傳輸模式，不需要在 FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V{4|6} 層新增篩選，因為此原則允許輸入未受保護的純文字連線。