本文介绍 Microsoft L2TP/IPSec 虚拟专用网络（VPN）客户端的默认加密设置。
适用于：Windows 10 - 所有版本原始 KB 数： 325158
总结
以下列表包含早期版本客户端的 Microsoft L2TP/IPSec 虚拟专用网络 （VPN） 客户端的默认加密设置：
- 数据加密标准
- 安全哈希算法
- 迪菲-地狱曼中等
- 传输模式
- 封装安全有效负载
客户端不支持以下设置：
- 隧道模式
- AH （身份验证标头）
这些值在客户端中硬编码，不能更改它们。
数据加密标准
数据加密标准（3DES）提供机密性。 3DES 是最安全的 DES 组合，性能稍慢。 3DES 每次使用唯一键处理每个块三次。
安全哈希算法
具有 160 位密钥的安全哈希算法 1 （SHA1）提供数据完整性。
迪菲-海尔曼中等
Diffie-Hellman 组确定密钥交换期间使用的基质数的长度。 任何派生的关键的强度部分取决于主要数字所基于的 Diffie-Hellman 组的强度。
组 2 （中） 比组 1 （低） 强。 组 1 提供 768 位密钥材料，组 2 提供 1,024 位。 如果在每个对等方上指定了不匹配的组，则协商不会成功。 在协商期间无法切换组。
较大的组会导致更多的萎缩，因此是一个更难打破的键。
运输模式
IPSec 的操作模式有两种：
- 传输模式 - 在传输模式下，仅加密消息的有效负载。
- 隧道模式 （不支持） - 在隧道模式下，有效负载、标头和路由信息均已加密。
IPSec 安全协议
-
封装安全有效负载
封装安全有效负载（ESP）提供机密性、身份验证、完整性和反重播。 ESP 通常不会对整个数据包进行签名，除非数据包正在隧道中。 通常，只有数据受到保护，而不是 IP 标头。 ESP 不提供 IP 标头（寻址）的完整性。
-
身份验证标头（不支持）
身份验证标头（AH）为整个数据包（IP 标头和数据包中携带的数据）提供身份验证、完整性和反重播。 AH 对整个数据包进行签名。 它不加密数据，因此不提供机密性。 可以读取数据，但不能对其进行修改。 AH 使用 HMAC 算法对数据包进行签名。