EFS 的局限與 IPSec 的補位

EFS (Encrypting File System) 僅保護本地磁盤靜態數據。一旦文件經網絡傳輸（SMB、FTP、HTTP），加密屬性失效，數據以明文傳輸，極易被竊聽/篡改。Windows 2000 引入的 IPSec (IP Security) 正是解決「傳輸中加密」的關鍵技術。

IPSec 核心價值

• 點對點安全模型： 在網絡層 (Layer 3) 透明加密，上層應用無感知、無需修改代碼。
• 四大安全服務： 數據機密性 (ESP加密)、數據完整性 (AH/ESP-HMAC)、數據來源認證、抗重放攻擊。
• 靈活粒度控制： 可按 IP地址、協議(TCP/UDP/ICMP)、端口 定義不同安全策略（如：管理網段強制加密，Web服務僅簽名不加密）。
• VPN 基石： 站點到站點、遠程接入 VPN 均基於 IPSec 標準構建。

Windows 實戰部署三步走

1. 定義 IP 篩選器列表

「本地安全策略」→「IP 安全策略」→「管理 IP 篩選器列表」→新增。
例：來源：任何 IP → 目標：本機 IP → 協議：TCP → 端口：所有 → 動作：請求安全。

2. 定義篩選器動作

「管理篩選器動作」→新增 → 「協商安全性」→ 選擇完整性算法 (SHA1 > MD5)、加密算法 (3DES/AES > DES)、PFS 組、會話密鑰生命週期。
關鍵選項：「接受不安全通信，但始終回應安全」 便於漸進部署。

3. 創建並指派 IP 安全策略

新建策略 → 添加規則 → 選擇上述列表與動作 → 指定認證方式 (Kerberos V5 / 憑證 / 預共享金鑰) → 指派策略生效。

進階場景

• 服務器隔離： 核心數據庫服務器僅允許應用服務器 IPsec 連接，拒絕其他所有訪問。
• 域隔離： 通過組策略推送 IPSec 策略，實現域內所有主機通信加密（Windows Server 2008+ 支援更完善）。
• NAT 穿透： 開啟 AssumeUDPEncapsulationContextOnSendRule=2 註冊表值，支持 NAT 後端主機建立 IPsec 連接。

驗證與排錯

• ipsecmon / netsh ipsec dynamic show all 查看 SA 建立狀態。
• Wireshark 抓包確認 ESP (協議 50) 或 AH (協議 51) 封裝。
• 事件查看器 → 安全日志 / 系統日志 尋找 IPSec/ IKE 錯誤碼 (如 0x800705b4 密鑰協商超時)。

IPSec 是企業級網絡數據保密的基石，配合防火牆、NAC、零信任架構，構建纵深傳輸安全防線。