监视主模式

应用到: Windows 7, Windows Server 2008 R2

主模式 Internet 密钥交换 (IKE) 协商在两台计算机之间建立了一个安全通道,称为 Internet 安全关联和密钥管理协议 (ISAKMP) 安全关联 (SA)。ISAKMP SA 用于保护对等计算机之间的后续密钥交换,称为快速模式协商。若要建立安全通道,主模式协商将确定一个加密保护套件集,交换建立共享机密密钥的密钥材料,并验证计算机标识。

监视主模式 SA 能够提供有关此计算机当前连接了哪些对等计算机、何时形成 SA 和使用哪个保护套件形成 SA 的信息,以及其他信息。

普通筛选器

普通筛选器,是配置为使用任何 IP 地址选项作为源地址或目标地址的 IP 筛选器。IPSec 允许您在筛选器的配置中使用关键字,如“我的 IP 地址”“DNS 服务器”“DHCP 服务器”“WINS 服务器”“默认网关”。使用关键字时,普通筛选器将在“IP 安全监视”管理单元中显示关键字。通过将关键字扩展为 IP 地址可派生出特定筛选器。

添加、删除以及排序列

可以在结果窗格中对以下列进行添加、删除、重新排列和排序操作:

  • “名称”

  • “源”。这是数据包源的 IP 地址。

  • “目标”。这是数据包目标的 IP 地址。

  • “IKE 策略”。这是与此普通筛选器关联的 IKE 策略的名称,而不是使用“IPSec 策略”管理单元创建的 IPSec 策略的名称。可以在“IKE 策略”项中查看这类策略的详细信息,如使用哪一组加密算法。

  • “身份验证方法”。这是可用于筛选器的所有身份验证方法的列表(按照首选顺序排列)。

  • “连接类型”。这是将应用此筛选器的连接类型,可以是局域网 (LAN)、远程访问或所有网络连接类型。

特定筛选器

特定筛选器,是通过使用源计算机或目标计算机进行实际连接的 IP 地址,从普通筛选器进行扩展而得到的筛选器。例如,如果您的筛选器使用“我的 IP 地址”选项作为源地址,使用“DHCP 服务器”选项作为目标地址,则使用此筛选器形成连接时,将自动创建一个具有计算机 IP 地址以及该计算机所使用 DHCP 服务器 IP 地址的筛选器。

note注意
“IP 安全监视器”管理单元还可以将 IP 地址解析为“快速模式”文件夹(而非“主模式”文件夹)中“特定筛选器”文件夹的 DNS 名称。

添加、删除以及排序列

可以在结果窗格中对以下列进行添加、删除、重新排列和排序操作:

  • “名称”

  • “源”。这是数据包源的 IP 地址。

  • “目标”。这是数据包目标的 IP 地址。

  • “方向”。此列指定筛选器是入站筛选器还是出站筛选器。

  • “IKE 策略”。这是 IKE 策略的名称,而不是使用“IPSec 策略”管理单元创建的 IPSec 策略的名称。可以在“IKE 策略”项中查看这类策略的详细信息,如使用哪一组加密算法。

  • “身份验证方法”。这是可用于筛选器的所有身份验证方法的列表(按照首选顺序排列)。

  • “权重”。这是 IPSec 服务给予筛选器的优先级。权重由许多因素派生而来。有关筛选器权重的详细信息,请参阅 http://go.microsoft.com/fwlink/?LinkId=62212(可能为英文网页)。

    note注意
    在运行 Windows Vista(R)、Windows Server(R) 2008 或更新版本的 Windows 的计算机上,权重属性始终设置为 0。

IKE 策略

IKE 策略是指,两台对等计算机能够协商主模式密钥交换的完整性或加密方法。

统计信息

下表显示了“主模式统计信息”视图中提供的统计信息:

note注意
其中某些统计信息不适用于运行 Windows Vista、Windows Server 2008 或更高版本 Windows 的计算机。

 

IKE 统计信息 描述

活动捕获

捕获,是 IPSec 驱动程序让 IKE 执行任务的请求。活动捕获统计信息包括未完成的请求和等待的请求数(如果存在)。通常,活动捕获数为 1。在重负载下,活动捕获数是 1,并且 IKE 要求等待以进行处理的请求数将增加。

活动接收

已接收到的等待处理的 IKE 消息的数目。

捕获失败

捕获失败的次数。

接收失败

接收 IKE 消息时,Windows 套接字 WSARecvFrom() 函数失败的次数。

发送失败

发送 IKE 消息时,Windows 套接字 WSASendTo() 函数失败的次数。

捕获堆大小

存储活动捕获的捕获堆中的项目数。该数目在重负载下会增加,然后随着时间的推移而逐渐减少直至清空捕获堆。

接收堆大小

用于传入的 IKE 消息的 IKE 接收缓冲区中的条目数。

身份验证失败

主模式协商过程中出现的标识验证失败(Kerberos、证书与预共享密钥)的总数。如果在进行安全通信时遇到困难,请尝试进行通信并参考此统计信息以查看此数目是否增加。如果此数目增加,则请检查身份验证设置,以查看是否有不匹配的身份验证方法或不正确的身份验证方法配置(例如,使用了不匹配的预共享密钥)。

协商失败

在“主模式”或“快速模式”协商过程中出现的协商失败的总次数。如果在进行安全通信时遇到困难,请尝试进行通信并参考此统计信息以查看此数目是否增加。如果此数目增加,则请检查身份验证设置与安全方法设置,以查看是否有不匹配的身份验证方法、不正确的身份验证方法配置(例如,使用了不匹配的预共享密钥)或不匹配的安全方法或设置。

接收到无效 Cookie

Cookie 是接收的 IKE 消息中包含的一个值,IKE 将其用于查找活动主模式的状态。不能与活动主模式匹配的接收的 IKE 消息中的 Cookie 是无效的。

捕获总数

IKE 向 IPSec 驱动程序提交的工作请求总数。

Get SPI 总数

IKE 向 IPSec 驱动程序提交的用来获取唯一的安全参数索引 (SPI) 的请求总数。

添加密钥

IKE 向 IPSec 驱动程序添加的出站快速模式 SA 的数目。

密钥更新

IKE 向 IPSec 驱动程序添加的入站快速模式 SA 的数目。

Get SPI 失败

IKE 向 IPSec 驱动程序提交的用来获取唯一 SPI 的失败请求的数目。

添加密钥失败

IKE 向 IPSec 驱动程序提交的出站快速模式 SA 添加请求失败的数目。

密钥更新失败

IKE 向 IPSec 驱动程序提交的入站快速模式 SA 添加请求失败的数目。

ISADB 列表大小

主模式状态条目(包括已协商的主模式、进行中的主模式以及失败后尚未删除的主模式)数。

连接列表大小

快速模式状态条目的数目。

IKE 主模式

主模式协商过程中创建的成功 SA 的总数。

IKE 快速模式

快速模式协商过程中创建的成功 SA 的总数。因为通常为每个主模式 SA 创建了多个快速模式 SA,所以该数目不需要与主模式数目匹配。

软关联

导致使用明文(也称为软 SA)的协商总数。这通常反映通过未响应到主模式协商尝试的计算机而形成的关联数。这可以同时包括不与 IPSec 兼容的计算机,以及虽然与 IPSec 兼容,但没有 IPSec 策略来与此 IPSec 对等计算机协商安全的计算机。尽管软 SA 不是主模式和快速模式协商的结果,但仍将其视为快速模式 SA。

接收到无效的数据包

接收到的无效 IKE 消息的数目,其中包括具有无效标头字段的 IKE 消息、不正确的负载长度以及回应者 Cookie 的错误值(如果该值应设为 0)。无效 IKE 消息通常是由旧的重新传输的 IKE 消息或 IPSec 对等计算机之间的预共享密钥不匹配造成的。

note注意
某些统计信息可以用于检测试图对网络进行的攻击。

安全关联

此视图将显示此计算机的活动 SA。SA 是协商密钥、安全协议与 SPI 的组合,它们共同定义用于保护从发送方到接收方的通信的安全性。因此,通过查看此计算机的安全关联,可以确定哪些计算机连接到此计算机,哪种类型的数据完整性和加密用于此连接,以及其他信息。

此信息在您测试 IPSec 策略以及对访问问题进行疑难解答时将十分有用。

添加、删除以及排序列

可以在结果窗格中对以下列进行添加、删除、重新排列和排序操作:

  • “本机”。这是本地计算机 IP 地址。

  • “本机 ID”。这是本地计算机 DNS 名称。

  • “对等机”。这是远程计算机或对等计算机 IP 地址。

  • “对等机 ID”。这是远程计算机或对等计算机 DNS 名称。

  • “身份验证”。这是创建 SA 时使用的身份验证方法。

  • “加密”。这是由 SA 进行快速模式密钥交换所使用的加密方法。

  • “完整性”。这是由 SA 进行快速模式密钥交换所使用的数据完整性方法。

  • Diffie-Hellman。这是用于创建主模式 SA 的 Diffie-Hellman 组。

其他参考

社区附加资源

添加
显示: