命令行设置IP安全策略,netsh ipsec命令行下配置IP筛选器(IPSec)

配置一个IPSec策略需要经过如下几步：
1)创建IP安全策略。
2)创建IP筛选器。可反复添加IP筛选器
3)创建筛选器操作。一般只创建阻止、许可的2种筛选器操作
4)创建IP安全规则。一般对现有的IP安全策略 只创建阻止、许可的2条规则
5)启用或关闭该IP安全策略。
1、创建IP安全策略：
命令：
netsh ipsec static add policy name=迅恒IP安全策略名称 description=迅恒IP安全策略描述
其中描述可以不写
2、创建IP筛选器：
可反复添加IP筛选器
命令：
netsh ipsec static add filter filterlist=关闭端口 srcaddr=any dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=445
netsh ipsec static add filter filterlist=关闭端口 srcaddr=59.36.100.1 dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=80
netsh ipsec static add filter filterlist=关闭端口 srcaddr=14.17.65.1 dstaddr=me protocol=TCP mirrored=yes srcmask=25 srcport=0 dstport=80
注：
filterlist IP筛选器列表的名称 如上面的关闭端口
srcaddr,dstaddr 源/目的IP地址或地址范围 (me表示本机IP,any表示任意IP)
srcport,dstport 源/目的端口 (0表示任意端口)
protocol 协议 (ANY | ICMP | TCP | UDP | RAW | <integer>)
mirrored=yes 就是勾选筛选器中的"镜像.与源地址和目标地址正好相反的数据包相匹配"
srcmask=25 源地址的子网掩码 如上面就是表示源地址为14.17.65.1/25的一个C段的地址
3、创建筛选器操作(也就是筛选器的动作，如:阻止)：
一般只创建阻止、许可的2种筛选器操作
命令：
netsh ipsec static add filteraction name=close action=block
netsh ipsec static add filteraction name=许可 action=permit
注：创建阻止动作,并命名为close；创建许可动作,并命名为许可
筛选器操作中的许可大于阻止，比如先创建任意IP的任意端口禁止连接本机445端口,再创建许可内网IP能连接本机445端口
比如先禁止本机连接任意IP的53端口,再创建许可本机连接DNS服务器的IP,这样就不影响本机解析并防止了本机对外攻击53端口
如果创建过就不要重复创建
4、创建IP安全规则：
给现有的IP安全策略添加IP筛选器列表和对应的筛选器操作
一般对现有的IP安全策略 只创建阻止、许可的2条规则
命令：
netsh ipsec static add rule name=关闭端口 policy=迅恒IP安全策略名称 filterlist=关闭端口 filteraction=close
netsh ipsec static add rule name=许可端口 policy=迅恒IP安全策略名称 filterlist=许可端口 filteraction=许可
上面中参数说明：
name=关闭端口,可以随便写,其实不会显示出来,建议和IP筛选器列表名称一致
迅恒IP安全策略名称是1创建的策略名称
filterlist=关闭端口为2创建IP筛选器的列表名称
filteraction=close是3创建过滤动作的名称，
5、启用和关闭策略：
命令：
netsh ipsec static set policy name=迅恒IP安全策略名称 assign=y
注：如果要关闭这条策略，那么将"assign"的值改为"n"即可
6、以后只用添加或删除IP筛选器即可 参考2
如从现有筛选器列表中删除准确匹配的筛选器
netsh ipsec static delete filter filterlist=关闭端口 srcaddr=14.17.65.1 dstaddr=me protocol=TCP mirrored=yes srcmask=25 srcport=0 dstport=80
netsh ipsec static delete filter filterlist=关闭端口 srcaddr=59.36.100.1 dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=445
netsh ipsec static delete filter filterlist=关闭端口 srcaddr=any dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=445
好像无法删除srcaddr=any策略
添加：
netsh ipsec static add filter filterlist=许可端口 srcaddr=any dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=80
删除(无法删除)：
netsh ipsec static delete filter filterlist=许可端口 srcaddr=any dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=80
如果srcaddr=为IP类型的形式的就可以删除
添加：
netsh ipsec static add filter filterlist=许可端口 srcaddr=127.0.0.1 dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=80
删除(可以正常删除)：
netsh ipsec static delete filter filterlist=许可端口 srcaddr=127.0.0.1 dstaddr=me protocol=TCP mirrored=yes srcport=0 dstport=80

7、删除所有IP安全策略
删除IP安全策略中的所有的内容，包括所有的策略、规则、筛选器列表、筛选器、筛选器动作等。
netsh ipsec static del all

netsh ipsec static delete ?
下列指令有效:
此上下文中的命令:
delete all     - 删除所有策略，筛选器列表和筛选器操作。
delete filter  - 从筛选器列表中删除一个筛选器。
delete filteraction - 删除一个筛选器操作。
delete filterlist - 删除一个筛选器列表。
delete policy  - 删除一个策略和它的规则。
delete rule    - 从策略中删除一个规则。

IPSec.exe
Usage: ipsec.exe [-b] [-c] [-f filepath] [-?] ip

Options:
-? 显示本帮助信息.
-b ip 阻止该IP与本机的一切通信(默认为-b).
-c ip 恢复该IP与本机的一切通信.
-f filepath IP列表从指定配置文件中读取