傳輸模式
傳輸模式 IPsec 原則案例需要所有相符流量的 IPsec 傳輸模式保護。 在 IKE 或 AuthIP 交涉成功完成之前，會捨棄任何相符的純文字流量。 如果交涉失敗，則對應 IP 位址的連線仍會中斷。
可能的傳輸模式案例範例是「使用 IPsec 傳輸模式保護 ICMP 以外的所有單播資料流量」。
若要以程式設計方式實作此範例，請使用下列的一組設定。
新增下列其中一個或兩個 MM 原則提供者內容。
- 針對 IKE，類型 為 FWPM_IPSEC_IKE_MM_CONTEXT的原則提供者內容。
- 針對 AuthIP，類型 為 FWPM_IPSEC_AUTHIP_MM_CONTEXT的原則提供者內容。
注意
一般金鑰處理模組將會交涉，並套用對應的 MM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的金鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 值 篩選準則 空白。 所有流量都會符合篩選準則。 providerCoNtextKey 步驟 1 中新增之 MM 提供者內容的 GUID。 新增下列一或兩個 QM 傳輸模式原則提供者內容。
- 針對 IKE，類型 為 FWPM_IPSEC_IKE_QM_TRANSPORT_CONTEXT的原則提供者內容。
- 針對 AuthIP，類型 為 FWPM_IPSEC_AUTHIP_QM_TRANSPORT_CONTEXT的原則提供者內容。 此內容可以選擇性地包含 AuthIP 擴充模式 (EM) 交涉原則。
注意
一般金鑰處理模組將會交涉，並套用對應的 QM 原則。 如果支援 IKE 和 AuthIP，則 AuthIP 是慣用的金鑰模組。
針對步驟 1 中新增的每個內容，新增具有下列屬性的篩選。
Filter 屬性 值 篩選準則 空白。 所有流量都會符合篩選準則。 providerCoNtextKey 步驟 1 中新增的 QM 提供者內容的 GUID。 新增具有下列屬性的篩選。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4|6} 藉由新增具有下列屬性的篩選，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE篩選準則 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選準則 IPPROTO_ICMP{V6}這些常數定義于 winsock2.h 中。 action.type FWP_ACTION_PERMIT weight FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS 新增具有下列屬性的篩選。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast action.type FWP_ACTION_CALLOUT_TERMINATING action.calloutKey FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4|6} 藉由新增具有下列屬性的篩選，以豁免 IPsec 的 ICMP 流量。
Filter 屬性 值 FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE 篩選準則 NlatUnicast FWPM_CONDITION_IP_PROTOCOL 篩選準則 IPPROTO_ICMP{V6}這些常數定義于 winsock2.h 中。 action.type FWP_ACTION_PERMIT weight FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS
在FWPM_LAYER_IKEEXT_V{4|6} 設定 MM 交涉原則
在FWPM_LAYER_IPSEC_V{4|6} 設定 QM 和 EM 交涉原則
在 FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸入
在 FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} 設定每個封包篩選規則的輸出