Windows系统IPsec空闲超时配置及相关异常问题咨询

大家好，最近我在测试Windows自带的IPsec功能（采用advfirewall Connection Security Rules方式）与嵌入式Strongswan服务器的交互，过程中遇到了几个关于超时配置的问题，想请教下社区的各位：

观察到的默认超时行为 #

• Phase 2（快速模式）：空闲超时约25秒，这个时长过短——用于L2TP/IPsec场景时，会直接导致VPN会话中断，必须重新拨号，实用性极差。
• Phase 1（主模式）：无明显空闲超时限制，仅受mmkeylifetime（主模式密钥生命周期）约束。同时Windows客户端会每隔20秒持续发送NAT-Keepalive包，这对资源是不小的浪费，尤其是在大量客户端部署的场景下。

调整尝试及遇到的异常 #

为了优化Phase 1的保活行为，我尝试将mmkeylifetime设置为较低值（比如5分钟），这样主模式SA到期后，保活包会停止发送。但新的问题出现了：Windows客户端会卡顿整整25秒，期间持续发送ESP包却无响应，之后才会重新建立新的SA。我认为这显然不符合预期流程，但找不到问题根源。

关于netsh命令的疑问 #

还有一个疑点：netsh advfirewall set global saidletimemin命令，官方文档描述其作用为“当指定时间内无网络流量时，安全关联将被删除”。但实际测试下来，要么文档描述错误，要么程序实现存在缺陷——NAT-Keepalive包被判定为“有效流量”，导致SA无法因空闲被删除。

有没有朋友遇到过类似的问题？或者了解如何正确调整Phase 2的空闲超时，以及解决Phase 1调整后的卡顿问题？

备注：内容来源于stack exchange，提问作者theultramage