僅將 IPSec 用於 Windows 中的傳入連接
我有一台帶有兩個適配器的伺服器（WS2016），每個適配器上分配了不同的 IP，但具有相同的網關。
我想要實現的是，到一個 IP 的所有傳入連接都必須使用 IPsec（傳輸模式）進行保護，而所有傳出連接都不應嘗試使用 IPSec（除非對方請求它）。
我使用“netsh advfirewall consec add rule”和“action=requireinrequestout”在其中一個適配器上設置IPSec。
它有效，因為我只能使用 IPSec 連接到 IPSec IP 而不會阻止任何傳出連接。
但是，我的 Windows 事件日誌中充滿了事件程式碼 4653（“IPsec 主模式協商失敗”），這似乎主要用於傳出連接（實際上主要是 DNS 查找）。實際上，windows 隨機使用任一適配器進行傳出連接，但是當它通過 IPSec 適配器時，它會嘗試與對方建立 IPSec 連接，這不起作用，然後切換到正常連接。這不是一個大問題，但首先它肯定會減慢連接速度，我寧願做正確的事情，即讓所有傳出連接不嘗試使用 IPSec。
netsh advfirewall consec 確實有一個動作“requireinclearout”，但它只適用於隧道模式。
我嘗試將 IPSec IP 的指標增加到 1000，並將關聯的網關指標也增加到 1000。路由列印確實顯示了 IPSec 路由的更高指標，但是 windows 似乎忽略了更高的指標，並且仍然通過 IPSec 適配器發送傳出數據包。
我嘗試專門為 DNS 伺服器設置靜態路由，但 windows 似乎忽略了這些靜態路由並使用 IPSec 適配器。
所以我的問題是：有沒有辦法實現 IPSec 僅用於伺服器上的傳入連接，而不用於傳出連接？
隨著你的評論澄清，我認為這會做你想要的。
我假設 192.168.1.2 是您的受保護介面，而 192.168.1.3 是您的非受保護介面。
創建一個專門的連接安全規則集，如下所示。
端點 1 應僅設置為 192.168.1.2，這應該會阻止在 192.168.1.3 上生成任何事件。
在此規則上要求身份驗證入站和請求出站。
假設 SMB 是您真正想要保護的，將規則的協議和埠設置為 TCP 445，再次避免過多的噪音。這應該可以阻止來自 DNS 查找的任何額外噪音。
在您的 IPSEC 保護防火牆規則中，您希望將本地 IP 範圍設置為 192.168.1.2 並啟用“如果安全則允許”設置，並且本地埠為 tcp 445。