Microsoft Windows [Version 6.1.7000] (C) Copyright 2009 Microsoft Corp. C:\Windows>netsh advfirewall consec add rule ?
Utilisation : add rule name=
endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|||||
endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|||||
action=requireinrequestout|requestinrequestout|
requireinrequireout|requireinclearout|noauthentication
[description=][mode=transport|tunnel (default=transport)][enable=yes|no (par défaut=yes)][profile=public|private|domain|any[,...] (par défaut=any)][type=dynamic|static (par défaut=static)][localtunnelendpoint=any||][remotetunnelendpoint=any||][port1=0-65535|[,...]|any (par défaut=any)][port2=0-65535|[,...]|any (par défaut=any)][protocol=0-255|tcp|udp|icmpv4|icmpv6|any (par défaut=any)][interfacetype=wiresless|lan|ras|any (par défaut=any)][auth1=computerkerb|computercert|computercertecdsap256|
computercertecdsap384|computerpsk|computerntlm|anonymous[,...]][auth1psk=][auth1ca="[certmapping:yes|no][excludecaname:yes|no][catype:root|intermediate (par défaut=root)]|..."][auth1healthcert=yes|no (par défaut=no)][auth1ecdsap256ca="[certmapping:yes|no][excludecaname:yes|no][catype:root|intermediate (par défaut=root)]| ..."][auth1ecdsap256healthcert=yes|no (par défaut=no)][auth1ecdsap384ca="[certmapping:yes|no][excludecaname:yes|no][catype:root|intermediate (default=root)]| ..."][auth1ecdsap384healthcert=yes|no (par défaut=no)][auth2=computercert|computercertecdsap256|computercertecdsap384|
userkerb|usercert|usercertecdsap256|usercertecdsap384|userntlm|
anonymous[,...]][auth2ca="[certmapping:yes|no][catype:root|intermediate (par défaut=root)]| ..."][auth2ecdsap256ca="[certmapping:yes|no][catype:root|intermediate (par défaut=root)]| ..."][auth2ecdsap384ca="[certmapping:yes|no][catype:root|intermediate (par défaut=root)]| ..."][qmpfs=dhgroup1|dhgroup2|dhgroup14|ecdhp256|ecdhp384|mainmode|
none (par défaut=none)][qmsecmethods=authnoencap:+[valuemin]+[valuekb]|
ah:+esp:-+[valuemin]+[valuekb]|default][exemptipsecprotectedconnections=yes|no (par défaut=no)][applyauthz=yes|no (par défaut=no)]
Remarques :
- Le nom de la règle doit être unique et ne peut pas être « all ».
- Si mode=tunnel, les deux points de terminaison du tunnel doivent être
spécifiés, excepté lorsque l'action est noauthentication.
Lorsque des adresses IP spécifiques sont entrées, elles doivent être
de la même version IP.
De plus, lors de la configuration de tunnels dynamiques,
les points de terminaison des tunnels peuvent être définis sur « any ».
Le point de terminaison du tunnel local ne doit pas être spécifié pour
la stratégie client (par ex. any).
Les points de terminaison du tunnel distant ne doivent pas être
spécifiés pour la stratégie de passerelle (par ex. any).
En outre, l'action doit être requireinrequireout, requireinclearout
ou noauthentication.
- requireinclearout n'est pas valide lorsque mode=Transport.
- Au moins une authentification doit être spécifiée.
- Auth1 et auth2 peuvent être des listes d'options séparées par
des virgules.
- Les méthodes Computerpsk et computerntlm ne peuvent pas être spécifiées
ensemble pour auth1.
- Computercert ne peut pas être spécifié avec les informations
d'identification de l'utilisateur pour auth2.
- Les options de signature de certificat ecdsap256 et ecdsap384 ne sont
prises en charge que dans Windows Vista SP1 et versions ultérieures.
- Qmsecmethods peut être une liste de propositions séparées par
des virgules.
- Pour qmsecmethods, integrity=md5|sha1|sha256|aesgmac128|aesgmac192|
aesgmac256|aesgcm128|aesgcm192|aesgcm256 et
encryption=3des|des|aes128|aes192|aes256|aesgcm128|aesgcm192|aesgcm256.
- Si aesgcm128, aesgcm192, ou aesgcm256 est spécifié, il doit être
utilisé pour l'intégrité et le chiffrement ESP.
- Aesgmac128, aesgmac192, aesgmac256, aesgcm128, aesgcm192, aesgcm256,
sha256 ne sont pris en charge que dans Windows Vista SP1 et versions
ultérieures.
- Qmpfs=mainmode utilise le paramètre d'échange de clés du mode principal
pour PFS.
- Il n'est pas recommandé d'utiliser DES, MD5 et DHGroup1. Ces
algorithmes de chiffrement sont fournis à des fins de compatibilité
descendante uniquement.
- La valeur par défaut de certmapping et excludecaname est « no ».
- Les caractères "" présents dans le nom de l'autorité de certification
doivent être remplacés par \'
- Pour auth1ca et auth2ca, le nom de l'autorité de certification doit
être préfixé par « CN= ».
- catype peut servir à spécifier le type d'autorité de certification -
catype=root/intermediate
- authnoencap est pris en charge dans Windows 7 et versions ultérieures.
- authnoencap indique que les ordinateurs n'utilisent que
l'authentification et n'utilisent pas l'encapsulation par paquet ou
des algorithmes de chiffrement pour protéger les paquets réseau
échangés ultérieurement dans le cadre de cette connexion.
- QMPFS et authnoencap ne peuvent pas être utilisés conjointement sur
la même règle.
- AuthNoEncap doit être accompagné par au moins une suite d'intégrité
AH ou ESP.
- applyauthz peut être spécifié uniquement pour les règles de mode
tunnel.
- exemptipsecprotectedconnections peut être spécifié uniquement
pour les règles du mode tunnel. Si vous affectez la valeur « Yes »
à cet indicateur,
le trafic ESP sera exempté du tunnel.
Seul le trafic AH ne sera PAS exempté du tunnel.
- Valuemin (lorsqu'il est spécifié) pour une méthode qmsecmethod doit
être compris entre 5 et 2 880 minutes. Valuekb (lorsqu'il est spécifié)
pour une méthode qmsecmethod doit être compris
entre 20 480 et 2 147 483 647 kilo-octets.
Exemples :
Ajouter une règle pour l'isolation du domaine à l'aide des valeurs
par défaut :
netsh advfirewall consec add rule name=« isolation »
endpoint1=any endpoint2=any action=requireinrequestout
Ajouter une règle avec des propositions du mode rapide personnalisé :
netsh advfirewall consec add rule name=« custom »
endpoint1=any endpoint2=any
qmsecmethods=ah:sha1+esp:sha1-aes256+60min+20480kb,ah:sha1
action=requireinrequestout
Ajouter une règle avec des propositions du mode rapide personnalisé :
netsh advfirewall consec add rule name=« custom »
endpoint1=any endpoint2=any
qmsecmethods=authnoencap:sha1,ah:aesgmac256+esp:aesgmac256-none
action=requireinrequestout
Créer une règle du mode tunnel à partir du
sous-réseau A (192.168.0.0, external ip=1.1.1.1) dans le
sous-réseau B (192.157.0.0, external ip=2.2.2.2):
netsh advfirewall consec add rule name=« mon tunnel » mode=tunnel
endpoint1=192.168.0.0/16 endpoint2=192.157.0.0/16
remotetunnelendpoint=2.2.2.2
localtunnelendpoint=1.1.1.1 action=requireinrequireout
Créer une règle du mode tunnel dynamique à partir du
sous-résau A (192.168.0.0/16)
dans le sous-réseau B (192.157.0.0, remoteGW=2.2.2.2)
Stratégie client :
netsh advfirewall consec add rule name=« tunnel dynamique »
