指定 IPSec 設定

網際網路通訊協定安全性（IPSec 或 IPsec）是為透過網路（包括網際網路）傳輸的資料加密的通訊協定組合。TLS 僅加密用於特定應用程式（如網路瀏覽器或電子郵件應用程式）的資料，IPSec 則加密整個 IP 封包或 IP 封包負載，提供更全面的安全系統。本機的 IPSec 在 IP 封包負載加密的傳輸模式下運作。透過此功能，本機能直接連接到相同虛擬私人網路 (VPN) 中的電腦。檢查系統要求，並在電腦上設定必要組態，然後再設定本機。
將 IPSec 與 IP 位址篩選器一起使用
IP 位址篩選器設定的套用順序優先於 IPSec 策略。 指定防火牆設定的 IP 位址

指定 IPSec 設定

使用 IPSec 進行加密通訊之前，必須註冊安全策略 (SP)。安全策略包含下述設定群組。註冊策略後，指定套用順序。
選擇器
選擇器定義要套用 IPSec 通訊的 IP 封包條件。可選條件包括本機與要通訊裝置的 IP 位址和連接埠號碼。
IKE
IKE 設定用於鍵値交換通訊協定的 IKEv1。請注意，說明因選擇的認證方法而異。
[預共用鍵值方法 (Pre-Shared Key Method)]
此認證方法使用通用鍵值文字，稱為共用鍵值，供本機與其他裝置之間的通訊之用。請先啟用遠端使用者介面的 TLS，然後才指定此驗證方法 (設定 TLS 的鍵值和憑證)。
[數位簽章方法 (Digital Signature Method)]
本機與其他裝置透過相互驗證數位簽章的方式認證對方。請預先產生或安裝鍵値和憑證 (註冊網路通訊的鍵值和憑證)。
AH/ESP
指定在 IPSec 通訊時新增到封包的 AH/ESP 設定。可以同時使用 AH 和 ESP。您也可以選擇是否啟用 PFS 以提供更嚴密的安全性。
 
如需從遠端使用者介面設定本機時要執行之基本操作的更多資訊，請參閱從遠端使用者介面設定功能表選項。
1
啟動遠端使用者介面，並以系統管理員模式登入。 啟動遠端使用者介面
2
在入口網站頁面上按一下 [設定/註冊 (Settings/Registration)]。 遠端使用者介面畫面
3
選擇 [網路設定 (Network Settings)] [IPSec設定 (IPSec Settings)]。
4
按一下 [編輯 (Edit)]。
5
勾選 [使用IPSec (Use IPSec)] 核取方塊，然後按一下 [確定 (OK)]。
若要本機僅接收符合您在以下步驟定義的安全策略之一的封包，清除 [接收非策略資料封包 (Receive Non-Policy Packets)] 核取方塊。
6
按一下 [註冊新策略 (Register New Policy)]。
7
指定策略設定。
1
在 [策略名稱 (Policy Name)] 文字框中，輸入用來識別策略的名稱的英數字元。
2
勾選 [啟用策略 (Enable Policy)] 核取方塊。
8
指定選擇器設定。
[本機位址 (Local Address)]
按一下本機 IP 位址類型的選項按鈕以套用策略。
[全部IP位址 (All IP Addresses)]
選擇此項可將 IPSec 用於所有 IP 封包。
[IPv4位址 (IPv4 Address)]
選擇此項可將 IPSec 用於本機 IPv4 位址所接收或傳送的所有 IP 封包。
[IPv6位址 (IPv6 Address)]
選擇此項可將 IPSec 用於本機 IPv6 位址所接收或傳送的所有 IP 封包。
[遠端位址 (Remote Address)]
按一下其他裝置 IP 位址類型的選項按鈕以套用策略。
[全部IP位址 (All IP Addresses)]
選擇此項可將 IPSec 用於所有 IP 封包。
[全部IPv4位址 (All IPv4 Addresses)]
選擇此項可將 IPSec 用於其他裝置 IPv4 位址所接收或傳送的所有 IP 封包。
[全部IPv6位址 (All IPv6 Addresses)]
選擇此項可將 IPSec 用於其他裝置 IPv6 位址所接收或傳送的所有 IP 封包。
[IPv4手動設定 (IPv4 Manual Settings)]
選擇此項可指定要套用 IPSec 的單一 IPv4 位址或一個 IPv4 位址範圍。在 [要手動設定的位址 (Addresses to Set Manually)] 文字方塊中輸入 IPv4 位址（或範圍）。
[IPv6手動設定 (IPv6 Manual Settings)]
選擇此項可指定要套用 IPSec 的單一 IPv6 位址或一個 IPv6 位址範圍。在 [要手動設定的位址 (Addresses to Set Manually)] 文字方塊中輸入 IPv6 位址（或範圍）。
[要手動設定的位址 (Addresses to Set Manually)]
如果將 [遠端位址 (Remote Address)] 選擇為 [IPv4手動設定 (IPv4 Manual Settings)] 或 [IPv6手動設定 (IPv6 Manual Settings)]，輸入要套用策略的 IP 位址。您也可以在位址之間插入連字號以輸入一個位址範圍。
輸入 IP 位址
描述
範例
輸入單一位址
IPv4：
以句點分隔號碼。
192.168.0.10
IPv6：
以冒號分隔英數字元。
fe80::10
指定位址範圍
在位址之間插入連字號。
192.168.0.10-192.168.0.20
[子網路設定 (Subnet Settings)]
手動指定 IPv4 位址時，可以使用子網路遮罩表示範圍。輸入子網路遮罩，並以句點分隔號碼（例如：「255.255.255.240」）。
[前置碼長度 (Prefix Length)]
手動指定 IPv6 位址範圍也能讓您使用前置碼指定範圍。輸入 0 到 128 的前置碼長度範圍。
[本機連接埠 (Local Port)]/[遠端連接埠 (Remote Port)]
若要為各個通訊協定（如 HTTP 或 WSD）建立不同的策略，請為通訊協定輸入適當的連接埠號碼，以決定是否使用 IPSec。
IPSec 不適用於以下封包
回送、多點傳送和廣播封包
IKE 封包（使用連接埠 500 上的 UDP）
ICMPv6 芳鄰請求和芳鄰通告封包
9
指定 IKE 設定。
[IKE模式 (IKE Mode)]
顯示用於鍵値交換通訊協定的模式。本機支援主要模式，而不是加強模式。
[認證方法 (Authentication Method)]
針對認證本機時所使用的方法，選擇 [預共用鍵值方法 (Pre-Shared Key Method)] 或 [數位簽章方法 (Digital Signature Method)]。您必須先啟用遠端使用者介面的 TLS，然後才能選擇 [預共用鍵值方法 (Pre-Shared Key Method)]。選擇 [數位簽章方法 (Digital Signature Method)] 之前，必須先產生或安裝鍵值和憑證。 設定 TLS 的鍵值和憑證
[有效時長 (Valid for)]
指定 IKE SA (ISAKMP SA) 工作階段的有效時間。輸入時間（以分鐘為單位）。
[認證 (Authentication)]/[加密 (Encryption)]/[DH群組 (DH Group)]
從下拉式清單中選擇演算法。在鍵値交換時使用各演算法。
[認證 (Authentication)]
選擇雜湊演算法。
[加密 (Encryption)]
選擇加密演算法。
[DH群組 (DH Group)]
選擇 Diffie-Hellman 群組，以決定鍵値長度。
 使用預共用鍵值認證機器
1
按一下 [認證方法 (Authentication Method)] 的 [預共用鍵值方法 (Pre-Shared Key Method)] 選項按鈕，然後按一下 [共用鍵值設定 (Shared Key Settings)]。
2
輸入預先共用鍵値的英數字元，然後按一下 [確定 (OK)]。
3
指定 [有效時長 (Valid for)] 和 [認證 (Authentication)]/[加密 (Encryption)]/[DH群組 (DH Group)] 設定。
 使用數位簽章方法認證機器
1
按一下 [認證方法 (Authentication Method)] 的 [數位簽章方法 (Digital Signature Method)] 選項按鈕，然後按一下 [鍵值和憑證 (Key and Certificate)]。
2
按一下要使用之鍵値和憑證右側的 [註冊預設鍵值 (Register Default Key)]。
檢視憑證的詳細資訊
按一下 [鍵值名稱 (Key Name)] 下的對應文字連結或憑證圖示，可以檢查憑證的詳細資料或驗證憑證。
3
指定 [有效時長 (Valid for)] 和 [認證 (Authentication)]/[加密 (Encryption)]/[DH群組 (DH Group)] 設定。
10
指定 IPSec 網路設定。
[使用PFS (Use PFS)]
勾選此核取方塊以啟用 IPSec 工作階段鍵値的完整轉寄密碼 (PFS)。啟用 PFS 可提高安全性，同時也會增加通訊負載。確定其他裝置也啟用 PFS。
[透過時間指定 (Specify by Time)]/[透過大小指定 (Specify by Size)]
設定終止 IPSec SA 工作階段的條件。IPSec SA 用作通訊通道。根據需求勾選其中一個核取方塊或兩者皆勾選。如果勾選兩個核取方塊，滿足其中一個條件時，IPSec SA 工作階段就會終止。
[透過時間指定 (Specify by Time)]
輸入時間（以分鐘為單位）以指定工作階段的有效時間。
[透過大小指定 (Specify by Size)]
以 MB 輸入大小以指定一個工作階段可傳輸的資料量。
[選擇演算法 (Select Algorithm)]
根據 IPSec 標題和使用的演算法勾選 [ESP (ESP)]、[ESP(AES-GCM) (ESP (AES-GCM))] 或 [AH(SHA1) (AH (SHA1))] 核取方塊。AES-GCM 是認證和加密的演算法。如果勾選 [ESP (ESP)]，也要從 [ESP認證 (ESP Authentication)] 和 [ESP加密 (ESP Encryption)] 下拉式清單中選擇認證和加密的演算法。
[ESP認證 (ESP Authentication)]
若要啟用 ESP 認證，將雜湊演算法選擇為 [SHA1 (SHA1)]。若要停用 ESP 認證，選擇 [不使用 (Do Not Use)]。
[ESP加密 (ESP Encryption)]
選擇 ESP 的加密演算法。如果不要指定演算法，可以選擇 [空 (NULL)]。若要停用 ESP 加密，選擇 [不使用 (Do Not Use)]。
[連線模式 (Connection Mode)]
顯示 IPSec 的連線模式。本機支援 IP 封包負載加密的傳輸模式。無法使用整個 IP 封包（標題和負載）封裝的通道模式。
11
按一下 [確定 (OK)]。
若要註冊其他安全策略，返回步驟 6。
12
排列 [已註冊IPSec策略 (Registered IPSec Policies)] 下方所列策略的順序。
策略套用順序由上往下。按一下 [上 (Up)] 或 [下 (Down)] 將策略順序上移或下移。
編輯策略
按一下編輯畫面的 [策略名稱 (Policy Name)] 下的對應文字連結。
刪除策略
按一下要刪除策略名稱右側的 [刪除 (Delete)] 按一下 [確定 (OK)]。
 
13
重新啟動本機。
關閉本機，等待至少 10 秒，然後再開啟電源。
使用控制面板
您也可以從首頁 (Home)畫面中的 <功能表 (Menu)> 啟用或停用 IPSec 通訊。 <使用IPSec (Use IPSec)>
連結
設定 TLS 的鍵值和憑證
IPSec 策略清單
51XS-07A