筛选器操作

IPSec 将此通信传送给 TCP/IP 驱动程序或从该驱动程序传送此通信，而不会修改安全性或对安全性有所要求。这适合不支持 IPSec 的计算机发出的通信。确保在使用此类筛选器操作时将 IP 筛选器列表限定在最小范围内，这样就不会允许应受保护的通信。

出于疑难解答需要时，考虑允许 ICMP 通信。此外，可能还需要允许不属于您的域的计算机（例如，某位顾问的计算机）访问您域中的其他计算机。可以使用允许筛选器操作来允许此访问。

	重要
	允许筛选器操作允许不具有身份验证、数据完整性或加密的访问。使用具有筛选器列表中指定的 IP 地址的计算机的任何人都可被授予访问权限。计算机之间的所有通信都以明文形式完成；不执行完整性检查。

IPSec 将自行丢弃已阻止的通信。使用阻止筛选器操作时，请确保使用定义 IP 地址正确范围的 IP 筛选器列表。使用较大范围将增加阻止有效计算机之间通信的可能性。

如果启用“接受不安全的通讯，但始终用 IPSec 响应”选项，则 IPSec 将尝试协商安全关联 (SA) 以及发送或接收受 IPSec 保护的通信。但是，如果对等端无法使用 IPSec，则允许未受到 IPSec 保护的通信。选择此筛选器操作之后，还可以配置以下项目：

• 安全方法及其顺序。此方法列表定义尝试方法的顺序。将使用第一个成功的方法，并且不尝试其余方法。通常，应当按照从最高安全性到最低安全性的顺序排列列表，这样可使用最安全的方法。
  
  
• 允许初始传入不安全通信（“接受不安全的通信，但总是用 IPSec 响应”）。IPSec 允许与不安全（即未由 IPSec 保护）配置的筛选器列表相匹配的传入数据包。但是，必须对传入数据包的传出响应提供保护。将默认响应规则用于客户端时，该设置十分有用。将一组服务器用以下规则进行配置：该规则能够保护与任何 IP 地址的通信并能接受不安全通信，同时只用安全通信进行响应，并在客户端计算机上启用默认响应规则以确保客户端能够响应服务器的协商安全请求。若要阻止拒绝服务攻击，应当对连接到 Internet 的安全计算机禁用此选项。
  
  
• 对不启用 IPSec 的计算机启用通信（“如果无法建立安全连接，则允许不安全的通信”）。如有必要，IPSec 会回退到不安全的通信。应当再次将 IP 筛选器列表限制在最小范围内。否则，如果由于任何原因而导致协商失败，则此筛选器操作所在的规则影响的任何通信都可能导致数据被不安全发送。如果您关注不安全通信，则可以考虑禁用这些设置。然而，可能会阻止与无法启动 IPSec 的计算机（例如旧系统）的通信。若要阻止拒绝服务攻击，应当对连接到 Internet 的安全计算机禁用此选项。
  
  
• 从新的主模式密钥材料生成快速模式会话密钥（会话密钥完全向前保密 (PFS)）。启用会话密钥 PFS 可确保无法使用主模式主密钥材料来派生多个快速模式会话密钥。启用快速模式 PFS 时，会执行新的 Diffie-Hellman 密钥交换，以便在创建新的快速模式密钥之前生成新的主模式主密钥材料。会话密钥（快速模式）PFS 不需要重新进行主模式身份验证，并且使用的资源比主密钥（主模式）PFS 更少。
  
  

每个安全方法都定义了关联规则应用的所有通信的安全要求。创建多个安全方法可以增加在两台计算机之间发现通用方法的机会。Internet 密钥交换 (IKE) 组件以降序读取安全方法列表，并将允许的安全方法列表发送到另一个对等端。通常会选择第一种方法。通常，最安全的方法会显示在列表的顶部；最不安全的方法会显示在列表的底部。