Windows Server 2003 IPsec 故障診斷三步驟：封包擷取、服務重啟、事件日誌分析

IPsec 保護區域網路通訊機密性與完整性，但若 IKE 協商失敗、原則不匹配，可能導致通訊明文傳輸或完全中斷。本文提供三階段診斷流程：網路監視器擷取封包驗證加密狀態、重啟 IPsec 服務清除協商狀態、安全性事件日誌分析 IKE 失敗代碼。

階段一：網路監視器驗證 IPsec 是否生效

1. 「控制台」→「新增/移除程式」→「新增/移除 Windows 元件」→「管理與監視工具」→ 勾選「網路監視器」安裝。
2. 啟動網路監視器 → 「擷取」→「開始」。
3. 產生網路流量 (如存取遠端共享資料夾)。
4. 「擷取」→「停止並檢視」。

封包分析判讀

圖 1：未啟用 IPsec (左) vs 啟用 IPsec (右) 封包擷取結果

核心觀念：若擷取結果出現除 ESP/ICMP 以外的應用層協定 (HTTP, SMB, DNS 等)，表示 IPsec 未正常保護該通訊路徑。

階段二：重啟 IPsec 服務清除 IKE 狀態

原則變更後 IPsec 常因舊安全關聯 (SA) 殘留而失效，重啟服務可強制重新協商：

net stop "IPsec Policy Agent"
net start "IPsec Policy Agent"

• 優點：無需重開機，執行快速。
• 重啟後再次擷取封包或執行 netsh ipsec dynamic show all 驗證。

階段三：安全性事件日誌分析 IKE 失敗

1. 「事件檢視器」→「安全性日誌」。
2. 篩選事件來源「Security」、事件 ID 541-549 (SA 建立/刪除稽核)。
3. 成功代碼：541 (SA 建立)、542 (SA 刪除)、543 (快速模式 SA 建立)。
4. 失敗代碼：547 (IKE 驗證失敗) 為最常見，需檢查預共用金鑰、憑證、Kerberos 票據是否匹配。

圖 2：安全性事件 ID 547 - IKE 驗證失敗詳細資訊

抑制 IKE 稽核事件塞滿日誌

若稽核量過大，可建立登錄值抑制：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit\DisableIKEAudits = 1 (DWORD)

常見 IKE 失敗原因對照表

IPsec 故障 90% 源自 IKE 協商階段。掌握「封包驗證 → 服務重啟 → 日誌分析」三步驟，配合驗證方式對應排查，即可快速定位並解決 Windows Server 2003 IPsec 通訊異常。