命令行配置Windows对接VPN网关

我们前面介绍了Windows Server和如何通过图形化界面配置和天翼云VPN网关建立IPsec链接（配置Windows系统对接天翼云VPN连接），在Windows系统使用图形化界面配置IPsec VPN比较直观，但是步骤较多，掌握关键步骤之后，也可以通过命令行配置IP安全策略。参考我们之前Windows Server和H3C路由器的对接案例（使用命令配置Windows和H3C VSR对接隧道模式的IPsec），可以整理得到以下使用命令行配置IP安全策略的方法。
1、新创建一个IPsec策略，名称指定为“win2tyy”，主模式安全方法配置加密算法为3DES、完整性算法为MD5、DH组使用Group2，将生存时间配置为1440（分钟，对应86400秒）。配置命令为：
netsh ipsec static add policy win2tyy mmsec=”3DES-MD5-2″ mmlifetime=1440

2、新建2个IP筛选器列表，分别配置名称为win2tyy和tyy2win。配置命令为：
netsh ipsec static add filterlist win2tyy
netsh ipsec static add filterlist tyy2win
3、在IP筛选器列表win2tyy下创建一个IP筛选器，指定源IP地址为ME，指定目的IP地址为10.0.0.0/24，配置mirrored=yes启用筛选器的镜像；在IP筛选器列表tyy2win下创建一个IP筛选器，指定源IP地址为10.0.0.0/24，指定目的IP地址为ME，配置mirrored=yes启用筛选器的镜像。配置命令为：
netsh ipsec static add filter filterlist=win2tyyME 10.0.0.0 dstmask=24 mirrored=yes
netsh ipsec static add filter filterlist=tyy2win10.0.0.0 srcmask=24ME mirrored=yes
4、新建一个IPsec筛选器操作，名称指定为“win2tyy”，行为action配置为negotiate协商安全，IP流量的安全方法qmsecmethods配置为ESP，使用的完整性算法为MD5、加密算法为DES，并且启用PFS。配置命令为：
netsh ipsec static add filteraction name=win2tyyaction=negotiate qmsec=”ESP[MD5,DES]” qmpfs=yes
5、创建2条IPsec规则，分别指定规则名称为win2tyy和tyy2win，结合配置隧道终结点为VPN网关的IP地址和Windows系统的IP地址，将前面配置的IPsec策略、IP筛选器列表、IPsec筛选器操作关联起来；与此同时，还要配置使用的预共享密钥PSK。配置命令为：
netsh ipsec static add rule name=win2tyypolicy=win2tyyfilterlist=win2tyytunnel=106.63.7.93 filteraction=win2tyypsk=”ctyun_2024″
netsh ipsec static add rule name=tyy2winpolicy=win2tyyfilterlist=tyy2wintunnel=192.168.0.8 filteraction=win2tyypsk=”ctyun_2024″
6、我们在创建IPsec策略时，没有设置assign参数，此时assign默认值为no，表示策略没有激活。需要使用netsh命令，将IPsec策略的assign属性配置为yes，来实现激活策略。配置命令为：
netsh ipsec static set policy name=win2tyyassign=yes
7、查看已分配策略的详细信息。
netsh ipsec static show gpoassignedpolicy
天翼云侧的配置保持不变，首先创建用户网关，网关IP配置为Windows系统的公网IP地址。然后创建IPsec连接，路由模式选择【感兴趣流】，本端子网选择业务主机所在网段，对端网段配置为Windows系统的私网地址网段，认证方式选择【密钥认证】，并配置使用和Windows系统相同的预共享密钥。RemoteID需要修改为Windows系统的网卡IP地址。高级配置部分，调整IKE策略和IPsec策略的算法配置，与Windows系统保持一致：IKE认证算法选择【MD5】，加密算法选择【3DES】，DH算法选择【Group2】；IPsec认证算法选择【MD5】，加密算法选择【DES】，PFS选择【DH Group2】。

这样，通过简单的几条命令，我们就能把免费的VPN网关用起来了。
推荐阅读
配置Windows系统对接天翼云VPN连接
Windows和H3C VSR对接隧道模式的IPsec隧道
使用命令配置Windows和H3C VSR对接隧道模式的IPsec
Windows和H3C VSR对接IPsec VPN
使用6条命令完成Windows和H3C VSR的IPsec对接
还能这么玩？Windows通过netsh命令配置IPsec
嘘！免费的Office LTSC专业增强版2024你要不要？
破案了！还真就是Windows11默认开机的BitLocker，不想被加密的赶紧关掉！
倒反天罡！使用HCL测试VSR性能，i7-12800HX竟然败给了i7-8750H
网络时延、丢包可以手动调整？你说，那什么是真的？还有什么是真的？