IPsec 為局域網通訊提供加密與驗證，但配置錯誤往往導致「看似連通、實則明文傳輸」或完全斷線。本文提供三階段診斷流程，快速定位 IPsec 失效根因。

階段一：網路封包擷取驗證加密狀態 (最直觀)

1. 安裝「網路監視器」：
   「控制台」→「新增/移除程式」→「新增/移除 Windows 元件」→「管理及監視工具」→ 勾選「網路監視器」
2. 啟動擷取：
   「擷取」→「啟動」 → 產生網路流量 (如存取共享資料夾) → 「擷取」→「停止並檢視」
3. 分析協定欄位：

狀態	協定欄位顯示	判讀
IPsec 未生效	TCP, UDP, SMB, HTTP, NBNS 等多協定混雜	明文傳輸，IPsec 失效
IPsec 正常 (預設原則)	僅 ESP (Encapsulating Security Payload) + ICMP	所有 TCP/UDP 封裝於 ESP，僅 ICMP 例外允許明文

階段二：重啟 IPsec 服務清除 IKE 協商狀態

net stop "IPsec Policy Agent"
net start "IPsec Policy Agent"
# 或
net stop PolicyAgent
net start PolicyAgent

• 重啟會清除所有 IKE 協商狀態 (SA、金鑰)、強制重新協商
• 適用於原則變更後未生效、金鑰不同步、暫時性協商失敗
• 優點：無需重開機、執行秒級完成

重啟後再次執行階段一封包擷取驗證。

階段三：安全性事件日誌分析 IKE 失敗代碼

1. 「事件檢視器」→「安全性日誌」→ 篩選事件 ID：541-549
2. 關鍵失敗代碼對照：

事件 ID	含義	常見原因
541	主模式 SA 建立成功	-
542	快速模式 SA 建立成功	-
543	主模式 SA 刪除	-
547	主模式驗證失敗	預共享金鑰不符、憑證信任鏈斷裂、Kerberos SPN 錯誤、時間偏差 >5 分鐘
548	快速模式協商失敗	PFS 設定不符、加密/雜湊演算法不匹配
549	主模式協商逾時	防火牆封鎖 UDP 500/4500、NAT 穿透失敗、對端無回應

抑制 IKE 審核事件塞滿日誌

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Audit" /v DisableIKEAudits /t REG_DWORD /d 1 /f

核心觀念

IPsec 故障 90% 集中在 IKE 驗證階段 (主模式)。系統性流程：封包驗證加密狀態 → 重啟服務重置協商 → 事件日誌精準定位驗證失敗代碼，配合防火牆/NAT/時間同步檢查，可解決絕大多數 IPsec 疑難雜症。