企業部署 IPsec 實現伺服器/網域隔離時，需建立完整的變更管理流程，確保策略調整不中斷業務連線。本文詳細說明 IPsec 策略變更對主模式/快速模式 SA 的影響、群組原則部署延遲特性，並提供標準化變更作業程序。

變更管理標準流程（MOF 架構）

1. 變更請求 (RFC)：正式起始變更，記錄理由、範圍、風險評估。
2. 變更分類：依緊急度與影響範圍分級，決定實施速度與審核路徑。
3. 變更核准：變更諮詢委員會（CAB）審核，包含 IT 與業務代表。
4. 變更開發：規劃、測試、分階段審核，含回滾方案。
5. 變更發布：部署至生產環境，監控關鍵指標。
6. 變更檢討：驗證目標達成與否，決定保留或回滾。

IPsec 策略部署延遲特性

• GPO 複寫延遲：AD 複寫新指派的 GPO 至所有網域控制站。
• 用戶端輪詢延遲：預設 90 分鐘隨機偏移 0-30 分鐘（工作站），DC 為 5 分鐘。
• IPsec 服務輪詢延遲：偵測策略內容變更並重新載入。
• 建議：先建立所有物件（GPO、IPsec 策略），最後才指派策略至 GPO，避免用戶端取得指派卻抓不到策略內容導致通訊中斷。

策略變更對連線影響分析

主模式變更

• 變更驗證方式（僅限憑證）、加密套件（3DES/SHA1/DH 群組）、啟用 PFS 且用戶端未同步更新 → 導致 IKE 主模式協商失敗，現有快速模式 SA 維持至生命週期結束。
• 不影響：輪詢間隔、工作階段金鑰設定、新增用戶端不知曉的安全性方法、主模式 SA 生命週期參數。

快速模式變更

• 篩選器動作變更 → 現有 IPsec SA 立即刪除，嘗試重新協商，TCP 連線通常可恢復，高速串流可能中斷。
• 影響連線的變更：通用→特定篩選器、不相容安全性方法/封裝模式、停用必要規則、篩選器動作改為允許/封鎖、清除「回退明文」或「允許不安全通訊」核取方塊。
• 不影響：新增不匹配現有流量的篩選器、調整 SA 生命週期、允許→協商安全性。

IPsec 策略修改標準作業程序

1. 於管理站（建議 Windows Server 2003+）開啟「IP 安全性原則」MMC 管理單元。
2. 匯出現有策略備份（動作 → 匯出原則）。
3. 建立新版本策略物件，配置規則、篩選器、篩選器動作。
4. 在測試環境驗證新策略相容性與功能。
5. 將新策略指派至測試 GPO，部署至試點群組觀察。
6. 確認無誤後，更新生產環境 GPO 指派新策略，移除舊策略指派。
7. 監控事件日誌（系統/安全性）與網路連線狀態，確認客戶端順利套用。

Netsh 指令列替代方案

netsh ipsec static show all          # 檢視目前策略
netsh ipsec dynamic show all         # 檢視執行中 SA
netsh ipsec static add policy ...    # 腳本化建立策略

Windows Server 2003 提供最完整的 netsh ipsec 功能，適合自動化部署與監控腳本開發。

嚴謹的變更管理、充分的測試驗證、分階段推廣，是 IPsec 隔離環境穩定運營的關鍵。