指定 IPSec 設定

網際網路通訊協定安全性（IPSec 或 IPsec）是為透過網路（包括網際網路）傳輸的資料加密的通訊協定組合。TLS 僅加密用於特定應用程式（如網路瀏覽器或電子郵件應用程式）的資料，IPSec 則加密整個 IP 封包或 IP 封包負載，提供更全面的安全系統。本機的 IPSec 在 IP 封包負載加密的傳輸模式下運作。透過此功能，本機能直接連接到相同虛擬私人網路 (VPN) 中的電腦。檢查系統要求（管理功能），並在電腦上設定必要組態，然後再設定本機。
將 IPSec 與 IP 位址篩選器一起使用
IP 位址篩選器設定的套用順序優先於 IPSec 策略。指定防火牆設定的 IP 位址

指定 IPSec 設定

使用 IPSec 進行加密通訊之前，需註冊安全策略 (SP)。安全策略包含下方所述的設定組。註冊策略後，請指定套用順序。
選擇器
選擇器定義要套用 IPSec 通訊的 IP 封包條件。可選條件包括本機與要通訊裝置的 IP 位址和連接埠號碼。
IKE
IKE 設定用於鍵値交換通訊協定的 IKEv1。請注意，說明因選擇的認證方法而異。
[預共用鍵值方法]
此認證方法使用共用金鑰字組進行本機和其他裝置之間的通訊，這個共用金鑰字組稱為共用金鑰。指定此認證方法前，請先啟用遠端使用者介面的 TLS 功能（設定 TLS 的金鑰和憑證）。
[數位簽章方法]
本機與其他裝置透過相互驗證數位簽章的方式彼此認證。請先產生或安裝金鑰和憑證（註冊用於網路通訊的金鑰和憑證）。
AH/ESP
指定在 IPSec 通訊時新增到封包的 AH/ESP 設定。可以同時使用 AH 和 ESP。您也可以選擇是否啟用 PFS 以提供更嚴密的安全性。
 
有關使用遠端使用者介面設定本機時應執行的基本操作的詳細資訊，請參閱從遠端使用者介面設定功能表選項。
1
啟動遠端使用者介面並登入系統管理員模式。啟動遠端使用者介面
2
按一下入口網站頁面中的 [設定/註冊]。遠端使用者介面畫面
3
選擇 [網路設定]  [IPSec設定]。
4
按一下 [編輯]。
5
勾選 [使用IPSec] 核取方塊，然後按一下 [確定]。
若要本機僅接收符合您在以下步驟定義的安全策略之一的封包，清除 [接收非策略資料封包] 核取方塊。
6
按一下 [註冊新策略]。
7
指定策略設定。
1
在 [策略名稱] 文字框中，輸入英數字元作為用來識別策略的名稱。
2
勾選 [啟用策略] 核取方塊。
8
指定選擇器設定。
[本機位址]
按一下本機 IP 位址類型的選項按鈕以套用策略。
[全部IP位址]
選擇此項可將 IPSec 用於所有 IP 封包。
[IPv4位址]
選擇此項可將 IPSec 用於本機 IPv4 位址所接收或傳送的所有 IP 封包。
[IPv6位址]
選擇此項可將 IPSec 用於本機 IPv6 位址所接收或傳送的所有 IP 封包。
[遠端位址]
按一下其他裝置 IP 位址類型的選項按鈕以套用策略。
[全部IP位址]
選擇此項可將 IPSec 用於所有 IP 封包。
[全部IPv4位址]
選擇此項可將 IPSec 用於其他裝置 IPv4 位址所接收或傳送的所有 IP 封包。
[全部IPv6位址]
選擇此項可將 IPSec 用於其他裝置 IPv6 位址所接收或傳送的所有 IP 封包。
[IPv4手動設定]
選擇指定一個套用 IPSec 的 IPv4 位址或 IPv4 位址範圍。在 [要手動設定的位址] 文字框中輸入 IPv4 位址（或範圍）。
[IPv6手動設定]
選擇指定一個套用 IPSec 的 IPv6 位址或 IPv6 位址範圍。在 [要手動設定的位址] 文字框中輸入 IPv6 位址（或範圍）。
[要手動設定的位址]
如果將 [遠端位址] 選擇為 [IPv4手動設定] 或 [IPv6手動設定]，輸入要套用策略的 IP 位址。您也可以在位址之間插入連字號以輸入一個位址範圍。
輸入 IP 位址
說明
範例
輸入單一位址
IPv4:
以句點分隔號碼。
192.168.0.10
IPv6:
以冒號分隔英數字元。
fe80::10
指定位址範圍
在位址之間插入連字號。
192.168.0.10-192.168.0.20
[子網路設定]
手動指定 IPv4 位址時，可以使用子網路遮罩表示範圍。輸入子網路遮罩，並以句點分隔號碼（例如：「255.255.255.240」）。
[前置碼長度]
手動指定 IPv6 位址範圍也能讓您使用前置碼指定範圍。輸入 0 到 128 的前置碼長度範圍。
[本機連接埠]/[遠端連接埠]
若要為各個通訊協定（如 HTTP 或 WSD）建立不同的策略，請按一下 [單連接埠] 選項按鈕並為通訊協定輸入適當的連接埠號碼，以決定是否使用 IPSec。
IPSec 不適用於以下封包
回送、多點傳送和廣播封包
IKE 封包（使用連接埠 500 上的 UDP）
ICMPv6 芳鄰請求和芳鄰通告封包
9
指定 IKE 設定。
[IKE模式]
顯示用於鍵値交換通訊協定的模式。本機支援主要模式，而不是加強模式。
[認證方法]
選擇 [預共用鍵值方法] 或 [數位簽章方法] 作為驗證本機時使用的方法。必須先啟用遠端使用者介面的 TLS 功能才能選擇 [預共用鍵值方法]。選擇 [數位簽章方法] 之前需先產生或安裝金鑰和憑證。設定 TLS 的金鑰和憑證
[有效時長]
指定 IKE SA (ISAKMP SA) 工作階段的有效時間。輸入時間（以分鐘為單位）。
[認證]/[加密]/[DH群組]
從下拉式清單中選擇演算法。在鍵値交換時使用各演算法。
[認證]
選擇雜湊演算法。
[加密]
選擇加密演算法。
[DH群組]
選擇 Diffie-Hellman 群組，以決定鍵値長度。
使用預先共用金鑰驗證本機
1
按一下 [認證方法] 的 [預共用鍵值方法] 選項按鈕，然後按一下 [共用鍵值設定]。
2
輸入代表預先共用金鑰的英數字元，然後按一下 [確定]。
3
指定 [有效時長] 和 [認證]/[加密]/[DH群組] 設定。
 使用數位簽章方法驗證本機
1
按一下 [認證方法] 的 [數位簽章方法] 選項按鈕，然後按一下 [鍵值和憑證]。
2
按一下要使用之金鑰和憑證右側的 [註冊預設鍵值]。
檢視憑證的詳細資訊
按一下 [鍵值名稱] 下的對應文字連結或憑證圖示，可以檢查憑證的詳細資料或驗證憑證。
3
指定 [有效時長] 和 [認證]/[加密]/[DH群組] 設定。
10
指定 IPSec 網路設定。
[使用PFS]
勾選此核取方塊以啟用 IPSec 工作階段鍵値的完整轉寄密碼 (PFS)。啟用 PFS 可提高安全性，同時也會增加通訊負載。確定其他裝置也啟用 PFS。
[透過時間指定]/[透過大小指定]
設定終止 IPSec SA 工作階段的條件。IPSec SA 用作通訊通道。根據需求勾選其中一個核取方塊或兩者皆勾選。如果勾選兩個核取方塊，滿足其中一個條件時，IPSec SA 工作階段就會終止。
[透過時間指定]
輸入時間（以分鐘為單位）以指定工作階段的有效時間。
[透過大小指定]
以 MB 輸入大小以指定一個工作階段可傳輸的資料量。
[選擇演算法]
根據 IPSec 標題和使用的演算法勾選 [ESP]、[ESP(AES-GCM)] 或 [AH(SHA1)] 核取方塊。AES-GCM 是認證和加密的演算法。如果勾選 [ESP]，也要從 [ESP認證] 和 [ESP加密] 下拉式清單中選擇認證和加密的演算法。
[ESP認證]
若要啟用 ESP 認證，將雜湊演算法選擇為 [SHA1]。若要停用 ESP 認證，選擇 [不使用]。
[ESP加密]
選擇 ESP 的加密演算法。如果不要指定演算法，可以選擇 [空]。若要停用 ESP 加密，選擇 [不使用]。
[連線模式]
顯示 IPSec 的連線模式。本機支援 IP 封包負載加密的傳輸模式。無法使用整個 IP 封包（標題和負載）封裝的通道模式。
11
按一下 [確定]。
若要註冊其他安全策略，返回步驟 6。
12
排列 [已註冊IPSec策略] 下方所列策略的順序。
策略套用順序由上往下。按一下 [上] 或 [下] 將策略順序上移或下移。
編輯策略
按一下編輯畫面的 [策略名稱] 下的對應文字連結。
刪除策略
按一下要刪除策略名稱右側的 [刪除]  按一下 [確定]。
 
13
重新啟動本機。
關閉本機，等待至少 10 秒，然後再開啟電源。
使用控制面板
也可以從首頁畫面中的 <功能表> 啟用或停用 IPSec 通訊。<使用IPSec>
連結
設定 TLS 的金鑰和憑證
IPSec 策略清單
6F33-07K