Az IPSec kapcsolat típusának beállítása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, majd a Szerkesztés gombra.
  3. A Kapcsolat típusa lapon válassza ki azt a hálózati kapcsolatot, amelyre a szabályt alkalmazni kívánja:
    • Amennyiben a szabályt a számítógépen létrehozott összes hálózati kapcsolatra alkalmazni kívánja, kattintson a Minden hálózati kapcsolat választógombra.
    • Amennyiben a szabályt a számítógépen létrehozott összes helyi hálózati kapcsolatra kívánja alkalmazni, kattintson a Helyi hálózat (LAN) választógombra.
    • Amennyiben a szabályt a számítógépen létrehozott összes távoli vagy telefonos kapcsolatra alkalmazni kívánja, kattintson a Távelérés választógombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec hitelesítési metódus megadása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, majd a Szerkesztés gombra.
  3. A Hitelesítési módszerek lapon kattintson a Hozzáadás gombra. Meglevő metódus újbóli beállításához kattintson a hitelesítési metódusra, majd a Szerkesztés gombra.
  4. Hitelesítési metódus megadása:
    • Ha ez a szabály vonatkozik a meghatalmazott Windows 2000 tartományok által hitelesített számítógépekre, a Kerberos V5 biztonsági protokoll hitelesítési szolgáltatásainak használatához kattintson a Windows 2000 alapértelmezett választógombra.
    • Ha nyilvános kulcsú hitelességi bizonyítványt kíván használni a hitelesítési szolgáltatásokhoz, akkor kattintson A következő hitelesítő szervezet (CA) bizonyítványának használata választógombra.
    • Bizonyítvány használata esetén a Tallózás gombra kattintás után kiválasztható a legfelső szintű hitelesítő szervezet (CA).
    • Ha saját kulcsot kíván megadni a hitelesítéshez, kattintson A következő karakterlánccal védje a kulcscserét (előmegosztott kulcs) választógombra.

Fontos

  • A hitelesítési kulcs értékét a rendszer az IPSec-házirendben olvasható formában tárolja. Alapértelmezésben az IPSec-házirendet az Active Directory címtárban tárolja a rendszer. Az Active Directory címtárat minden hitelesített felhasználó olvashatja, de csak a címtár rendszergazdái módosíthatják. Így a hitelesítési kulcs értékének címtár alapú házirendben való megadása biztonsági szempontból nem jó megoldás. Hitelesítési kulcsokat csak akkor használjon, ha az IPSec-házirendet helyileg azon a számítógépen tárolja és kezeli, amely számítógépre a házirend vonatkozik. Az Active Directory címtárban tárolt IPSec-házirend biztonságos kezeléséhez az IP-biztonsági házirendkezelő beépülő modult tartományvezérlőn kell futtatni.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Ha bizonyítványt használ a hitelesítéshez, akkor ki kell választani a hitelesítő szervezetet (CA). Ez a mező nem hagyható üresen.
  • A kommunikációban részt vevő mindkét félnek azonos kulcsot kell használnia a hitelesítéshez. Ellenkező esetben a hitelesítés sikertelen lesz.
  • A kiválasztott biztonsági metódus törléséhez kattintson az Eltávolítás gombra.
  • A kiválasztott biztonsági metódus egy szinttel feljebb történő helyezéséhez kattintson a Fel gombra. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • A kiválasztott biztonsági metódus egy szinttel lejjebb történő helyezéséhez kattintson a Le gombra. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Ha ugyanarra a két IP-címre egynél több szabály szűrői vonatkoznak, akkor az összes szabályban ugyanazokat a hitelesítési módszereket kell megadni. Ha a szabályok nem pontosan ugyanazokat a hitelesítési módszereket tartalmazzák, akkor eltérő hitelesítési módszerek esetén is az egyik szabály által kezdeményezett biztonsági kérelmek megfelelhetnek a másik szabály szűrési feltételeinek. Ilyenkor az egyeztetés sikertelen. Ha egy szabály sikeres IKE (Internet Key Exchange – Internetes kulcscsere) biztonsági hozzárendelést hoz létre a két IP-cím között, az ettől eltérő forgalmat szűrő többi szabály nem végzi el a hitelesítés és a főkulcs (az IKE biztonsági hozzárendelés) újbóli egyeztetését. A többi szabály a saját szűrőiknek megfelelő forgalom esetén ugyanazt az IKE biztonsági hozzárendelést használja a biztonság (az algoritmus és a munkamenetkulcsok) egyeztetéséhez.

Kapcsolódó témakörök


IPSec-házirend törlése

  1. Az IP-biztonsági házirendkezelő beépülő modulban a jobb oldali egérgombbal kattintson az eltávolítani kívánt házirendre.
  2. Kattintson a Törlés parancsra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec-házirend exportálása

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IPSec-házirendek mappára.
  2. A Művelet menüben mutasson a Feladatok pontra, majd kattintson a Házirend exportálása parancsra.
  3. Adja meg a házirend adatainak mentésére szolgáló fájl nevét és elérési útvonalát.
  4. Kattintson a Mentés gombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec-házirendek listájának exportálása

  1. Az IP-biztonsági házirendkezelő beépülő modulban a jobb oldali egérgombbal kattintson az IP biztonsági házirendek elemre.
  2. Kattintson a Lista exportálása parancsra.
  3. Adja meg a megjelenő IPSec-házirendek listájának mentésére szolgáló fájl nevét.
  4. Kattintson a Mentés gombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A rendszer csak a konzolon megjelenő házirendek listáját exportálja, magukat az IPSec-házirendeket nem.

Kapcsolódó témakörök


IPSec-szűrő hozzáadása vagy szerkesztése

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt IP-szűrőlistát tartalmazó szabályra, majd a Szerkesztés gombra.
  3. Hajtsa végre az alábbi művelek egyikét:
    • IPSec-szűrő hozzáadásakor az IP-szűrőlista lapon kattintson a Hozzáadás gombra.
    • Meglevő IP-szűrőlista újbóli beállításához kattintson az IP-szűrőre, majd a Szerkesztés gombra.
  4. Az IP-szűrőlista lapon hajtsa végre az alábbi műveletek egyikét:
    Művelet | Tennivaló
    Szűrő létrehozása az IP-szűrő varázsló használatával | Ellenőrizze, hogy a Hozzáadás varázsló jelölőnégyzet be legyen jelölve.
    Szűrő létrehozása közvetlenül | Törölje a jelölést a Hozzáadás varázsló jelölőnégyzetből, majd kattintson a Hozzáadás gombra.
    Meglevő szűrő újbóli beállítása | Törölje a jelölést a Hozzáadás varázsló jelölőnégyzetből, majd kattintson a Szerkesztés gombra.
  5. A Címzés lapon válassza ki a Forráscím listát:
    Kijelölt elem | Az innen érkező csomagok biztonságossá tétele
    Saját IP-cím | Az összes IP-cím azon a számítógépen, amelyhez a szűrőt beállítja.
    Bármely IP-cím | Bármelyik számítógép.
    Megadott IP-cím | Az IP-cím mezőben megadott IP-cím.
    Megadott IP-alhálózat | Az Alhálózati maszk mezőben megadott IP-címek.
  6. Kattintson a Cél címe listára és a célcím kiválasztásához ismételje meg az 5. lépésben leírtakat.
  7. A Tükrözés jelölőnégyzettel válassza ki a kívánt beállítást:
    Művelet | Tennivaló
    Szűrő létrehozása a forrásként és célként megadott számítógép közötti forgalom biztonsága érdekében. (A biztonságos forgalom csak egy irányban nem szűrhető.) | Jelölje be a Tükrözés jelölőnégyzetet
    Hozza létre a szűrőt, amely engedélyezi vagy blokkolja a forgalmat. | Bejelölheti a Tükrözés jelölőnégyzetet, de nem kötelező.
    Szűrő létrehozása IPSec-alagúthoz | Törölje a jelölést a Tükrözés jelölőnégyzetből, és hozzon létre két különböző szűrőlistát tartalmazó szabályt.
  8. A Leírás mezőben leírás adható meg a szűrőhöz. (Például megadható, hogy mely állomásokra, és milyen típusú forgalomra vonatkozik.)
  9. (Választható) Amennyiben adott protokoll vagy portszám alapján további IP-szűrés szükséges, a szűrő speciális beállításai a Protokoll lapon végezhetők el.

Vigyázat

  • A szűrők képezik az IPSec-házirend legfontosabb részét olyan állomások esetén, amelyek védelmét az IPSec biztosítja. Ha nem a megfelelő szűrőket állítja be az ügyfélen vagy a kiszolgálón, vagy ha a házirend szűrőinek frissítése előtt módosulnak az IP-címek, akkor az a védelem (biztonság) megszűnését is eredményezheti.
    • Soha ne használjon DHCP által kiosztott IP-címeket IPSec-szűrőben. A Saját IP-cím beállítást DHCP által kiosztott címekkel működő állomásokon használt a házirendben válassza forrás- vagy célcímként. Az IP-címek változásait a rendszer automatikusan frissíti a Saját IP-cím szűrőben.
    • Forgalmának védelmét IPSec alkalmazásával biztosító állomás házirendje esetén ellenőrizze, hogy a szűrőben célcímként a célállomás statikus IP-címei szerepeljenek. A szűrőlistában a cél valamennyi IP-címét szerepeltetni kell.
    • Az állomás védelme érdekében új statikus IP-cím hozzáadásakor:
      • Módosítsa az összes állomáson és ügyfélen az összes olyan IPSec-házirend szűrőjét, amely biztonsági kérelmet küld a védett állomásnak. Ellenőrizze, hogy az összes ilyen ügyfél házirendjének frissítése megtörténjen az új IP-címek hozzáadása előtt.
      • Vizsgálja meg a védett állomáson használt házirendet. Ha a szűrők statikus IP-címeket használnak a helyi kapcsolatokhoz, akkor a kártya új IP-címeinek hozzáadása után az új, statikus IP-címek használata érdekében módosítsa és mentse az új szűrőlistát, vagy indítsa újra a Házirendügynök szolgáltatást. A Saját IP-cím szűrőt a rendszer az új, statikus IP-címek hozzáadásakor frissíti.
    • Ha webkiszolgáló a védett állomás, és az ügyfelek proxykiszolgálót használnak, akkor ellenőrizze, hogy az összes hálózati útvonal forgalmát IPSec védi-e:
      • az állomás és a közvetlenül csatlakozó összes ügyfél között
      • az állomás és a proxykiszolgáló között
      • a proxykiszolgáló és a proxykiszolgáló összes ügyfele között
    • A rendszer tartalmazza az alábbi beépített szűrők definícióját a következő (nem biztonságos) forgalom engedélyezése érdekében:
      • Internet Key Exchange (IKE): Forrás címe = Bármely IP-cím, Cél címe = Bármely IP-cím, Protokoll = UDP, Forrásport = 500, Célport = 500
      • Kerberos V5: Forrás címe = Bármely IP-cím, Cél címe = Bármely IP-cím, Protokoll = UDP vagy TCP, Forrásport = 88, Célport = 88
      • Resource Reservation Protocol (RSVP): Forrás címe = Bármely IP-cím, Cél címe = Bármely IP-cím, Protokoll = 46
      • IP szórásos forgalom
      • IP csoportos küldéses forgalom

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • A szűrő protokollbeállításaival kapcsolatos további tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • IPSec-alagúthoz megadott szabályok esetén csak cím alapú szűrők használhatók. Protokollfüggő és portfüggő szűrők nem használhatók. Az alagútszűrőket nem kell tükrözni. Az alagút megadásához két egyirányú szűrőket tartalmazó szűrőlista szükséges. Mindegyik szűrőlista olyan irányú forgalmat ad meg, amely az alagút adott végpontjára vonatkozik. Például: Az A és a B alhálózat közötti alagút létrehozásához az A alhálózatból alagutat kell létrehozni a B külső átjárócíméhez, míg a B alhálózatból alagutat kell létrehozni az A külső átjárócíméhez.
  • A szűrők a legszűkebb szűrőtől kezdve alkalmazza a rendszer. A szűrőket nem a listában látható sorrendben alkalmazza a rendszer.
  • Ha a kimenő csomag egyik szűrőnek sem felel meg, akkor titkosítás nélkül küldi el a rendszer.
  • IKE biztonsági kérelem fogadásakor a kérelem forráscímét használja a rendszer az alkalmazható szűrő megkereséséhez. A szűrőhöz tartozó biztonsági műveletek és alagútbeállítások határozzák meg az IKE válasz felépítését.
  • A továbbítási szűrők ellenőrzése előtt a rendszer az alagútszabályokban megadott összes szűrőt ellenőrzi.

Kapcsolódó témakörök


Az IP-szűrő speciális beállításainak megadása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt IP-szűrőlistát tartalmazó szabályra, majd a Szerkesztés gombra.
  3. Az IP-szűrőlista lapon válassza ki a módosítani kívánt szűrőt, majd kattintson a Szerkesztés gombra.
  4. Kattintson a Protokoll fülre.
  5. A Válassza ki a protokoll típusát listában kattintson a kívánt beállításra:
    6. Szűrés | Tennivaló
A TCP/IP protokollcsalád bármely tagja által küldött vagy fogadott csomag szűréséhez | Kattintson a Bármi elemre.
Adott protokollal küldött forgalom szűréséhez | Válassza ki a protokollt.
Egyedi protokollal küldött csomagok szűréséhez | Kattintson az Egyéb elemre, majd írja be a protokoll számát.
  6. (Választható) A TCP vagy az UDP elem kiválasztásakor a csomagok a protokoll forrásportja szerint is szűrhetők.
    • A kiválasztott protokolltípus által bármely porton elküldött bármely csomag biztonságossá tételének megkísérléséhez kattintson a Bármelyik portról választógombra.
    • A kiválasztott protokolltípus által egy adott porton elküldött bármely csomag biztonságossá tételének megkísérléséhez kattintson az Erről a porttól választógombra, és adja meg a port számát.
  7. A célport beállítása:
    • A kiválasztott protokolltípus által bármely porton fogadott bármely csomag szűréséhez kattintson a Bármely portra választógombra.
    • Amennyiben a megadott számú porton fogadott csomagokat csak szűrni akarja, kattintson az Erre a portra választógombra.

Fontos

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Ha nem biztos ezekben az értékekben, kérdezze meg a rendszergazdától ezeket az adatokat. Hibás érték megadása a kommunikáció blokkolását, vagy nem titkosított kommunikációt eredményezhet.
  • Alagúthoz használt szabályok esetén nem támogatott a speciális szűrőbeállítások használata.

Megjegyzés

  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec-házirend importálása

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IP biztonsági házirendek elemre.
  2. A Művelet menüben mutasson a Feladatok pontra, majd kattintson a Házirend importálása parancsra.
  3. Adja meg annak a fájlnak a nevét és elérési útvonalát, amelyből importálni kívánja az IPSec-házirend adatait.
  4. Ha a meglevő házirendeket felül kívánja írni az importált adatokkal, jelölje be a Minden létező házirend-információ törlése jelölőnégyzetet.
  5. Kattintson a Megnyitás gombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IP-szűrőlista hozzáadása vagy szerkesztése

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Az IP biztonsági házirend tulajdonságai párbeszédpanelen kattintson az új IP-szűrőlistához hozzáadni kívánt szabályra, majd a Szerkesztés gombra.
  3. Új IP-szűrőlista hozzáadásához kattintson az IP-szűrőlista lap Hozzáadás gombjára. Meglévő szűrőlista újbóli beállításához kattintson a szűrőlistára, majd a Szerkesztés gombra.
  4. Adjon a listának egyedi nevet.
  5. Adja meg a leírást, például a lista milyen típusú forgalomhoz tartozik.
  6. Hozza létre a szűrőt.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A szűrők létrehozásával és a szűrők speciális beállításaival kapcsolatos további tudnivalókért kattintson a Kapcsolódó témakörökre.

Kapcsolódó témakörök


Több IP-szűrőlista kezelése

  1. Az IP-biztonsági házirendkezelő beépülő modulban a konzolfán kattintson az IP biztonsági házirendek elemre.
  2. Kattintson a Művelet menü IP-szűrőlisták és szűrőműveletek kezelése parancsára.
  3. Kattintson a Hozzáadás gombra. Meglevő lista újbóli beállításához válassza ki a kívánt listát, majd kattintson a Szerkesztés gombra.
  4. Adja meg a szűrőket.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IP-szűrőlista aktiválása

IP-szűrőlista aktiválásához

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, majd a Szerkesztés gombra.
  3. Az IP-szűrőlista lapon válassza ki azt az IP-szűrőlistát, melyet a szabályhoz aktív listaként hozzá kíván rendelni.

    4. A szabályra ettől kezdve a kiválasztott IP-szűrőlista vonatkozik.

Megjegyzés

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Kulcscsere beállítása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson az Általános fülre, majd a Speciális gombra.
  3. Ha minden munkamenethez újból létre kívánja hozni a főkulcsot, jelölje be a Főkulcs továbbítása teljes titoktartás mellett jelölőnégyzetet.
  4. Ettől különböző beállítás megadásához írjon be egy értéket az Új kulcs hitelesítése és generálása minden (percben) mezőbe, amely hatására a rendszer a megadott időközönként újból elvégzi a hitelesítést, és új kulcsot hoz létre.
  5. Ettől különböző beállítás megadásához írjon egy értéket az Új kulcs generálása és hitelesítés minden (kapcsolatban) mezőbe. Így állítható be, hogy a rendszer a főkulcsot vagy főkulcs kulcsalapját legfeljebb hányszor használhatja fel munkamenetkulcs létrehozásához. A korlát elérésekor a rendszer megköveteli az újbóli hitelesítést, és az új kulcs létrehozását.
  6. Ha kulcscsere során speciális követelményeket kíván beállítani a biztonsági metódusokra, kattintson a Módszerek gombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Az IPSec, az Internet Key Exchange (IKE) és a Windows 2000 kapcsolódó szolgáltatásai a Microsoft Corporation és a Cisco Systems, Inc. közös fejlesztése.
  • Ha az együttműködés érdekében szükséges, használja a Főkulcs továbbítása teljes titoktartás mellett jelölőnégyzetet. Az alapértelmezett beállítás (nincs bejelölve) a legtöbb környezetben működik, és a termékek többségével együttműködik.
  • A munkamenetkorlát nullára (0) való beállításakor a kulcs újbóli létrehozásának gyakoriságát kizárólag az idő beállításai határozzák meg.

Kapcsolódó témakörök


Kulcscsere-metódus létrehozása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson az Általános fülre, a Speciális gombra, majd a Módszerek gombra.
  3. Kattintson a Hozzáadás gombra. Meglevő metódus újbóli beállításához válassza ki a biztonsági metódust, majd kattintson a Szerkesztés gombra.
  4. Az Integritási algoritmus listában válassza ki a kívánt algoritmust:
    • 128 bites kulcs használatához kattintson az MD5 beállításra.
    • 160 bites (erősebb) kulcs használatához kattintson az SHA elemre.
  5. A Titkosítási algoritmus listában válassza ki a kívánt algoritmust:
    • A legerősebb biztonsági algoritmus használatához kattintson a 3DES elemre.
    • Ha 3DES használatára nem képes számítógéphez kell kapcsolódnia, vagy nem szükséges a 3DES nagyobb biztonsága és a 3DES algoritmussal járó adatforgalom-többlet, kattintson a DES elemre. A titkosítási beállításokkal kapcsolatos további tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.
  6. Az aktuális kulcs létrehozásához használt kulcsalap hosszának beállításához a Diffie-Hellman csoport listában válassza ki a kívánt csoportot:
    • 768 bites alap használatához kattintson a Kicsi (1) elemre.
    • 1024 bites (erősebb) alap használatához kattintson a Közepes (2) elemre.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Az IPSec, az Internet Key Exchange (IKE) és a Windows 2000 kapcsolódó szolgáltatásai a Microsoft Corporation és a Cisco Systems, Inc. közös fejlesztése.
  • Egy módszer három beállításból áll. A sikeres egyeztetéshez a kezdeményező és a fogadó félnek rendelkeznie kell egy azonos beállításokat tartalmazó közös módszerrel.
  • Biztonsági metódus törléséhez kattintson a Kulcscsere biztonsági beállításai párbeszédpanelen az Eltávolítás gombra.
  • Biztonsági metódus egy szinttel feljebb való mozgatásához kattintson a Kulcscsere biztonsági beállításai párbeszédpanel Fel gombjára. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • Biztonsági metódus egy szinttel lejjebb való mozgatásához kattintson a Kulcscsere biztonsági beállításai párbeszédpanel Le gombjára. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • A titkosítási beállításokkal kapcsolatos további tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.

Kapcsolódó témakörök


Szűrőművelet hozzáadása vagy szerkesztése

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, a Szerkesztés gombra, majd a Szűrőművelet fülre.
  3. Válassza ki, hogy használni kívánja-e a Hozzáadás varázslót:
    • A műveleten végigvezető Szűrő hozzáadása varázsló használatához ellenőrizze, hogy a Hozzáadás varázsló jelölőnégyzet be legyen jelöve, majd kövesse a megjelenő utasításokat.
    • A szűrőműveletek kézi hozzáadásához vagy szerkesztéséhez ellenőrizze, hogy a Hozzáadás varázsló jelölőnégyzet ne legyen bejelölve, majd a szűrőművelet létrehozásához kattintson a Hozzáadás gombra, vagy a szűrőművelet újbóli beállításához a Szerkesztés gombra.
  4. Válasszon egy szűrőműveletet:
    • Kattintson az Engedélyezés választógombra a titkosítatlan csomagok fogadásának és küldésének engedélyezéséhez. A rendszer nem követeli meg ezeknek a csomagoknak a titkosítását.
    • Kattintson a Letiltás választógombra a szűrőfeltételeknek megfelelő csomagok azonnali eldobásához. A rendszer nem követeli meg ezeknek a csomagoknak a titkosítását.
    • Kattintson a Biztonsági szint egyeztetése választógombra a szűrőfeltételeknek megfelelő csomagok biztonságának megteremtéséhez a Biztonsági módszerek sorrendje listában található biztonsági metódusok használatához. A rendszer elfogadja az ezekre a csomagokra vonatkozó biztonsági kérelmeket.
  5. Ha nem akarja blokkolni a bejövő, nem titkosított kommunikációt, de minden további kimenő és kétirányú kommunikációt titkosítani kíván, jelölje be a Nem biztonságos kommunikáció fogadása, de válasz IPSec-kel jelölőnégyzetet.
  6. Ha engedélyezni akarja a kommunikációt az IP-biztonság (IPSec) használatára nem képes számítógépekkel, és biztosítani akarja a folyamatos kapcsolatot annak ellenére, hogy azok nem válaszolnak az IPSec egyeztetési kérésre, jelölje be a Nem biztonságos kommunikáció eng. IPSec nélküli számítógépekkel jelölőnégyzetet. Ha egy adott fél esetén a kezdeti IPSec-egyeztetés sikertelen, akkor ez a beállítás egy adott időre letiltja az IPSecet e fél esetén.
  7. Annak érdekében, hogy a főkulcsot vagy a főkulcs kulcsalapját a rendszer ne használja fel ismételten a munkamenetkulcs újbóli létrehozásához, jelölje be a Munkamenetkulcs teljes továbbítási titkosítása jelölőnégyzetet.
  8. Az Általános lapon adjon meg egy egyedi nevet.
  9. Adja meg a leírást. Például megadható, milyen biztonsági szintet képvisel ez a szűrőművelet.
  10. A Biztonsági szint egyeztetése választógomb választása esetén a szűrőművelethez adjon a listához új biztonsági metódusokat, vagy módosítsa a meglevőket.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A Nem biztonságos kommunikáció eng. IPSec nélküli számítógépekkel és a Nem biztonságos kommunikáció fogadása, de válasz IPSec-el jelölőnégyzet nem használható az Alapértelmezett válasz nevű szabályban.
  • A Munkamenetkulcs teljes továbbítási titkosítása jelölőnégyzet bejelölésekor a munkamenet során a kulcs újragenerálásakor a rendszer új főkulcsot hoz létre. Ez a legbiztonságosabb beállítás. Azonban jelentős többletterhelést okoz a kiszolgálón, és megnöveli a kulcs újbóli létrehozásához szükséges időt. A sikeres egyeztetés érdekében a kezdeményező és a fogadó félnek ugyanazokat a beállításokat kell használnia. E szolgáltatás használata hatással lehet a más termékekkel való együttműködésre.

Kapcsolódó témakörök


Több szűrőművelet kezelése

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IP biztonsági házirendek mappára.
  2. Kattintson a Művelet menü IP-szűrőlisták és szűrőműveletek kezelése parancsára.
  3. Kattintson a Hozzáadás gombra. Meglevő szűrőművelet újbóli beállításához válassza ki a műveletet, majd kattintson a Szerkesztés gombra.
  4. Állítsa be a szűrőműveletet.
  5. Szükség esetén definiáljon biztonsági metódusokat a szűrőművelethez.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Szűrőművelet aktiválása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Válassza ki a módosítani kívánt szabályt, majd kattintson a Szerkesztés gombra.
  3. A Szűrőművelet lapon válassza ki azt a szűrőműveletet, amelyet a szabályhoz aktív műveletként kíván hozzárendelni.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A két alapértelmezett szűrőművelet (Biztonság kérése (választható) és Biztonság megkövetelése), egyike bármikor aktiválható, ha korábban nem törölte ezeket a műveleteket.

Kapcsolódó témakörök


IP-biztonsági házirendkezelő – áttekintés

Az IP-biztonsági házirendkezelő beépülő modul segítségével állítható be a Windows IP-biztonság (IPSec), amely kulcsfontosságú védelmet biztosít a belső támadások, a magánhálózatot érő támadások és a külső (Internet, extranet) hálózatot érő támadások ellen. Bár a legtöbb hálózati biztonsági stratégia a szervezet hálózatát kívülről érő támadások kivédésére összpontosít, sok érzékeny adat veszthető el a belülről érő támadások miatt (amely során például értelmezik a hálózaton továbbított adatokat). A legtöbb adat a hálózaton való továbbítás során nem védett, így az alkalmazottak, a rendszertámogató szakemberek vagy a látogatók rácsatlakozhatnak a hálózatra, és későbbi kiértékelés céljából másolatot készíthetnek az adatokról. Teljesen hasonló módon hálózati szintű támadást is végrehajthatnak a többi számítógép ellen. A tűzfalak nem nyújtanak védelmet az ilyen jellegű belső veszélyekkel szemben, így az IPSec használata lényegesen nagyobb védelmet biztosít a vállalati adatok számára.

Az IPSec titkosítja a számítógépek között továbbított adatokat, így védelmet biztosít az adatok módosítása vagy értelmezése ellen, ha az adatforgalmat valaki megfigyelné a hálózaton. A rendszergazdának először el kell döntenie, hogy a két számítógép mennyire bízik meg egymásban, majd meg kell határozni, hogyan titkosítsák a számítógépek a forgalmukat. Ez a rendszergazda által létrehozható és alkalmazható IPSec-házirendben állítható be.

Az IPSec, az IKE és a Windows 2000 kapcsolódó szolgáltatásai a Microsoft Corporation és a Cisco Systems, Inc. közös fejlesztése.

Kapcsolódó témakörök


IPSec-házirend aktiválása a számítógépen

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IP-biztonsági házirendek mappára.
  2. A jobb oldali egérgombbal kattintson a hozzárendelni kívánt házirendre, majd kattintson a Kijelölés parancsra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A házirend számítógépről történő eltávolításához a jobb oldali egérgombbal kattintson a házirendre, majd kattintson a Hozzárendelés megszüntetése elemre. Az adott számítógépen az IP-biztonság az IPSEC-házirendügynök szolgáltatás letiltásával kapcsolható ki.

Kapcsolódó témakörök


Az előre definiált IPSec-házirendek visszaállítása

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IP-biztonsági házirendek mappára.
  2. A Művelet menüben mutasson a Feladatok pontra, majd kattintson az Eredeti házirendek visszaállítása parancsra.
  3. Kattintson az Igen gombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec-házirend integritásának ellenőrzése

  1. Az IP-biztonsági házirendkezelő beépülő modulban kattintson az IPSec-házirendek a következőn mappára.
  2. Kattintson a Művelet menüre, mutasson a Feladatok pontra, majd kattintson a Házirend integritásának ellenőrzése parancsra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


IPSec-házirendek listájának frissítése

  1. Az IP-biztonsági házirendkezelő beépülő modulban a jobb oldali egérgombbal kattintson az IPSec-házirendek a következőn mappára.
  2. Kattintson a Frissítés parancsra.

Megjegyzések

  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Így a rendszer frissíti a listát, és a legutóbbi törléseknek és hozzáadásoknak megfelelő állapot jelenik meg.
  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.

Kapcsolódó témakörök


IPSec-házirend átnevezése

  1. A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  2. Az IP-biztonsági házirendkezelő beépülő modulban a jobb oldali egérgombbal kattintson az átnevezni kívánt házirendre, majd az Átnevezés parancsra.
  3. A módosítás mentéséhez írja be az új nevet, majd nyomja meg az Enter billentyűt.

Megjegyzés

  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Szabály aktiválása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. A szabály aktiválásához jelölje be a szabály melletti jelölőnégyzetet, a szabály kikapcsolásához pedig törölje a jelölést a jelölőnégyzetből.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Szabály hozzáadása vagy szerkesztése

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Válassza ki, hogy használni kívánja-e a Hozzáadás varázslót:
    • A Biztonsági szabály varázsló használatához ellenőrizze, hogy a Hozzáadás varázsló jelölőnégyzet be legyen jelölve, kattintson a Tovább gombra, majd kövesse a megjelenő utasításokat.
    • A szabály kézi hozzáadásához vagy szerkesztéséhez ellenőrizze, hogy a Hozzáadás varázsló jelölőnégyzet ne legyen bejelölve, majd a művelet folytatásához kattintson a Hozzáadás vagy a Szerkesztés gombra.
  3. Adja meg az IP-szűrőlista, a Szűrőművelet, a Kapcsolat típusa, a Hitelesítési módszerek és a Bújtatási beállítások értékeit.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Az új szabályokat a rendszer automatikusan alkalmazza az éppen szerkesztett házirendre.
  • Az Alapértelmezett válasz nevű szabályt a rendszer automatikusan hozzáadja (és ha azt választotta, akkor aktiválja) minden új IPSec-házirendhez. Ha a szabályt nem kívánja használni a házirendben, inaktiválja a szabályt. (Az előre elkészített szabályok nem távolíthatók el.)

Kapcsolódó témakörök


IPSec-házirend hozzárendelése csoportházirendhez

  1. A csoportházirendet kezelő konzolon kattintson arra a csoportházirend-objektumra, amelyhez hozzá kívánja rendelni az IPSec-házirendet.
  2. Bontsa ki a Számítógép konfigurációja, a Windows beállításai, majd a Biztonsági beállítások elemet.
  3. Kattintson az IP-biztonsági házirendek mappára.
  4. A jobb oldali egérgombbal kattintson a hozzárendelni kívánt házirendre, majd kattintson a Kijelölés parancsra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IPSec-házirend a hozzá tartozó csoportházirend-objektum törlését követően is aktív marad. A házirendobjektum törlése előtt meg kell szüntetni az IPSec-házirend hozzárendelését. Ha törli a házirendobjektumokat, és nem törli a házirend hozzárendelését, az IPSec-házirendügynök azt feltételezni, hogy a rendszer nem tudja a házirendet megkeresni, így a gyorsítótárban tárolt másolatot használja.
  • A beállítások a csoportházirend következő frissítésekor lépnek életbe. A frissítés azonnali végrehajtásával kapcsolatos tudnivalókért tanulmányozza a Csoportházirend – áttekintés című témakört.
  • Az IPSec-házirend kijelölés csoportházirendből történő eltávolításához kattintson a jobb egérgombbal a házirendre, majd a Kijelölés megszüntetése elemre. Az IPSec egy adott számítógépen az IPSEC-házirendügynök szolgáltatás letiltásával tiltható le.

Kapcsolódó témakörök


IPSec-házirend hozzáadása vagy szerkesztése

  1. Az IP-biztonsági házirendkezelő beépülő modulban válassza ki, hogy új házirendet kíván létrehozni, vagy egy meglevőt házirendet kíván szerkeszteni:
    2. Művelet | Tennivaló
Új házirend létrehozása | A konzolfán kattintson az IPSec-házirendek a következőn Leírás elemre, majd kattintson a Művelet menü IP-biztonsági házirend létrehozása parancsára. Kövesse az IP-biztonsági házirend varázsló utasításait, amíg meg nem jelenik az új házirend Tulajdonságok párbeszédpanele.
Meglevő házirend szerkesztése | A jobb oldali egérgombbal kattintson a házirendre, majd a Tulajdonságok parancsra.
  2. Az Általános lap Név mezőjében adjon meg egy egyedi nevet.
  3. A Leírás mezőben adható meg a biztonsági házirend leírása, például mely csoportokra vagy tartományokra vonatkozik.
  4. Ha a számítógép tartományhoz kapcsolódik, a Házirendváltozások keresése minden szám percen belül mezőben adható meg a házirendügynöknek, milyen gyakran ellenőrizze a csoportházirend frissítéseit.
  5. Ha a biztonságra vonatkozóan speciális elvárásai vannak a kulcscsere során, kattintson a Speciális gombra.
  6. A házirendhez szükséges további szabályok létrehozásához kattintson a Szabályok fülre.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A speciális beállításokkal kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A szabályok beállításával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Ha a létrehozott új házirend nem jelenik meg a konzolfán, kattintson a jobb oldali egérgombbal az IPSec-házirendek a következőn Leírás mappára, majd kattintson a Frissítés parancsra.

Kapcsolódó témakörök


IPSec biztonsági metódus hozzáadása vagy szerkesztése

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, majd a Szerkesztés gombra.
  3. A Szűrőművelet lapon válassza ki a módosítani kívánt szűrőműveletet, majd kattintson a Szerkesztés gombra.
  4. Döntse el, hogy új biztonsági metódust kíván hozzáadni, vagy egy meglevő metódust kíván szerkeszteni:
    • Új biztonsági metódus hozzáadásához a Biztonsági módszerek lapon kattintson a Hozzáadás gombra.
    • Meglévő metódus újbóli beállításához válassza ki a biztonsági metódust, majd kattintson a Szerkesztés gombra.
  5. Válassza ki a biztonsági szintet:
    6. Művelet | Tennivaló
Használja az ESP protokollt az adatok titkosításához (mely titkosságot biztosít) a következő beállításokkal: 56 bites DES algoritmus, az integritási algoritmushoz a 128 bites MD5 algoritmust és az alapértelmezett kulcsélettartammok (100 MB, 1 óra). | Kattintson a Magas (ESP) választógombra.
A csomagcímzési adatok (IP-fejléc) az adatok aláíráshoz (vagy az integritás biztosításához) használja az AH-protokollt, amely integritási algoritmusként 128 bites MD5-öt és az alapértelmezett kulcsélettartammokat (100 MB, 1 óra) alkalmazza. | Kattintson a Közepes (AH) választógombra.
Egyéni biztonsági szintek használata | Kattintson az Egyéni választógombra, a Beállítások gombra, majd módosítsa a kívánt beállításokat.
  6. A szűrőművelethez további biztonsági metódusok beállításához ismételje ezt a műveletet.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Biztonsági metódus törléséhez kattintson a Szűrőműveletek lapon az Eltávolítás gombra.
  • A kiválasztott biztonsági metódus egy szinttel feljebb való mozgatásához kattintson a Szűrőművelet lapon a Fel gombra. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • A kijelölt biztonsági metódus egy szinttel lejjebb való mozgatásához kattintson a Szűrőművelet lapon a Le gombra. Ismételje addig, amíg a biztonsági metódus a megfelelő szintre nem kerül.
  • A kulcsélettartamok a biztonságra gyakorolt hatásával kapcsolatos további tudnivalókért tanulmányozza a Windows 2000 Resource Kit csomagot.
  • A biztonság egyeztetésekor a kezdeményező fél ezeket a biztonsági metódusokat javasolja a fogadó félnek. A fogadó fél elfogadja az első olyan metódust (felülről lefelé haladva), amely szerepel saját biztonsági metódusai között. Ha a javasolt biztonsági metódusok egyike sem található meg a fogadó fél biztonsági metódusai között, a fogadó fél megszakítja az egyeztetést.
  • Az IPSec-házirendek lehetővé teszik erős titkosítási algoritmus (3DES) kiválasztását, amely a nagyobb biztonság érdekében hosszabb kulcsokat használ, mint a DES. Ezt a házirendet megkapja az olyan számítógép, amelyhez ez a házirend tartozik. A 3DES algoritmus végrehajtásához azonban a Windows 2000 operációs rendszert futtató számítógépekre telepíteni kell a High Encryption Pack csomagot (Magyarországon nem áll rendelkezésre). Ha a Windows 2000 operációs rendszert futtató számítógép 3DES beállításokat kap, de nincs telepítve a High Encryption Pack csomag, akkor a biztonsági metódusban a 3DES beállításokat a gyengébb DES beállításokra módosítja. Ha ez a rendszer valódi 3DES biztonsági metódusra kap javaslatot, akkor nem talál egyező biztonsági metódust, és a kezdeményező fél biztonsági metódusainak listájában található következő ajánlat kiértékelésével folytatja a műveletet. Ha csak a 3DES szerepel a kezdeményező fél listájában, akkor ez a rendszer fogadó félként megszakítja az egyeztetést.

Kapcsolódó témakörök


Speciális IPSec biztonsági metódusok beállítása

  1. A jobb oldali egérgombbal az IP-biztonsági házirendkezelő beépülő modulban kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Kattintson a módosítani kívánt szabályra, majd a Szerkesztés gombra.
  3. A Szűrőművelet lapon válassza ki a módosítani kívánt szűrőműveletet, majd kattintson a Szerkesztés gombra.
  4. Döntse el, hogy új biztonsági metódust kíván hozzáadni, vagy egy meglevő metódust kíván szerkeszteni.
  5. Új biztonsági metódus hozzáadásához a Biztonsági módszerek lapon kattintson a Hozzáadás gombra.
  6. Meglévő metódus újbóli beállításához kattintson a biztonsági metódusra, majd a Szerkesztés gombra.
  7. Kattintson az Egyéni választógombra, majd a Beállítások gombra.
  8. A csomagok címzési adatainak (IP-fejléc) és az adatok integritásának biztosításához jelölje be az Adatok és címek integritása titkosítás nélkül (AH) jelölőnégyzetet.
  9. Az AH beállítás választása esetén válassza ki az integritási algoritmust:
    • 128 bites kulcsérték használatához kattintson az MD5 beállításra.
    • 160 bites kulcsérték használatához kattintson az SHA beállításra.
  10. Az adatok integritása mellett az adatok titkosításához jelölje be az Adatok integritása és titkosítás (ESP) jelölőnégyzetet.
  11. Az ESP beállítás választása esetén válassza ki az adatintegritási algoritmust. Az AH beállítás választása esetén a teljesítmény növelése érdekében az ESP integritási algoritmusként válassza a nincs beállítást. Ha nem az AH beállítást adja meg, akkor választani kell ESP integritási algoritmust. A választható algoritmusok bemutatása a 9. lépésben található.
  12. Az ESP beállítás választása esetén válassza ki a titkosítási algoritmust:
    13. Művelet | Tennivaló
Ha a legnagyobb biztonságot biztosító algoritmus kívánja használni | Kattintson a 3DES elemre.
Titkosítani szeretné az adatokat, de nem kívánja használni a 3DES által biztosított nagyobb biztonságot és többletterhelést | Kattintson a DES elemre.
Nem kíván titkosítást használni | Kattintson a Nincs elemre.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • A titkosítási beállításokkal kapcsolatos további tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.
  • Kellő körültekintéssel járjon el az élettartamok megadásakor. Az alapértelmezett élettartamok a legtöbb környezetben működnek, és a termékek többségével együttműködnek. Amennyiben a biztonsági követelmények rövidebb élettartamot igényelnek, az élettartam megfelelő értéke közvetlenül beállítható az egyes biztonsági metódusokhoz. Általában a kezdeményező vagy a fogadó félnél explicit módon beállított legkisebb értéket használják a felek.
  • Rövidebb élettartamok használata esetén nem nő az adatok védelmére használt biztonsági szint. Rövidebb kulcsélettartamok használata esetén csak a támadó által egy titkosítási kulcs feltörésekor megszerezhető adatok mennyisége csökken. Az élettartam értékének csökkentése helyett az adatok védelmének növelése érdekében fontolja meg egy erősebb titkosítási algoritmus (például 3DES) használatának a lehetőségét.
  • Az alapértelmezett élettartamok módosítása előtt a kulcsélettartamok és a kulcsok újbóli létrehozásával kapcsolatos tudnivalók áttekintése érdekében tanulmányozza a Windows 2000 Resource Kit csomagot.

Kapcsolódó témakörök


Az IP-biztonsági házirendkezelő beépülő modul indítása

  1. Kattintson a Start menü Futtatás parancsára, írja be az MMC parancsot, majd kattintson az OK gombra.
  2. Az MMC ablakban kattintson a Konzol menü Beépülő modul hozzáadása/eltávolítása parancsára, majd a Hozzáadás gombra.
  3. Kattintson az IP-biztonsági házirendkezelő elemre, majd a Hozzáadás gombra.
  4. Válassza ki azt a számítógépet, amelyen az IPSec-házirendet kezelni kívánja:
    5. Művelet | Tennivaló
Csak az MMC-konzolt futtató számítógép házirendjének kezelése | Kattintson a Helyi számítógép választógombra.
A tartomány bármelyik tagján az IPSec-házirend kezelése | Kattintson A gép tartományházirendjének vezérlése választógombra.
Olyan tartomány IPSec-házirendjének kezelése, amelynek a konzolt futtató számítógép nem tagja | Kattintson a Másik gép tartományházirendjének vezérlése választógombra.
Távoli számítógép kezelése | Kattintson a Másik számítógép választógombra.
  5. Kattintson a Befejezés, a Bezárás, az OK gombra, majd konzol beállításának mentéséhez a Konzol menü Mentés parancsára.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az elmentett konzol megjelenítéséhez kattintson a Start menüre, mutasson a Dokumentumok pontra, majd kattintson a Dokumentumok parancsra.
  • A kezdeti beállítás módosításához el kell indítani a Microsoft Management Console segédprogramot, ismét hozzá kell adni a beépülő modult, majd újból el kell menteni a konzolt. (Ha több beállításban kívánja használni a konzolt, mentse el különböző néven az egyes beállításokat.)

Kapcsolódó témakörök


IPSec bújtatási alagút megadása

  1. Az IP-biztonsági házirendkezelő beépülő modul részletek ablaktábláján a jobb oldali egérgombbal kattintson a módosítani kívánt házirendre, majd a Tulajdonságok parancsra.
  2. Válassza ki a módosítani kívánt szabályt, majd kattintson a Szerkesztés gombra.
  3. A Bújtatási beállítások lapon adja meg a bújtatás végpontjaként kijelölni kívánt számítógépet:
    4. Művelet | Tennivaló
A protokollbújtatás letiltása a szabályban | Kattintson az Ez a szabály nem IPSec-alagutat ír le választógombra.
Bújtatott kommunikáció használata egy adott számítógéppel | Kattintson A bújtatás végpontját a következő IP-cím írja le választógombra.

Megjegyzések

  • A számítógép IPSec-házirendjének beállítását csak a Csoportházirend beépülő modulhoz megfelelő rendszergazdai engedélyekkel rendelkező felhasználók, vagy a helyi rendszeren a Rendszergazdák csoport tagjai végezhetik el.
  • Az IP-biztonsági házirendkezelő beépülő modul megnyitásával kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Az alagút végpontja egy statikus IP-cím azon a számítógépen, amelynek a bújtatott csomagokat küldi, például egy átjáró vagy egy vállalati hálózat.
  • Az IPSec-bújtatás működéséhez két, egy bejövő és egy kimenő szabály szükséges. Az alagútszűrőket nem kell tükrözni. Az alagút megadásához két olyan szűrőlista szükséges, amely egyirányú szűrőt tartalmaz. Mindegyik szűrőlista olyan irányú forgalmat ad meg, amely az alagút adott végpontjára vonatkozik. Például: Az A és a B alhálózat közötti alagút létrehozásához az A alhálózatból alagutat kell létrehozni a B külső átjárócíméhez, míg a B alhálózatból alagutat kell létrehozni az A külső átjárócíméhez.
  • Az IPSec-bújtatás használata csak olyan útválasztókkal, átjárókkal vagy végponti rendszerekkel való együttműködéshez szükséges, amelyek nem támogatják az L2TP/IPSec vagy a PPTP virtuális magánhálózati (VPN) bújtatási technológia használatát. Az IPSec bújtatási mód speciális szolgáltatásként használható átjárók közötti bújtatást alkalmazó forgatókönyvekben és kiszolgálók közötti vagy kiszolgáló-átjáró konfigurációkban. Az IPSec-bújtatás nem használható ügyféloldali távelérésű virtuális magánhálózati forgatókönyvekben. Ügyféloldali távelérésű virtuális magánhálózatok esetén az L2TP/IPSec vagy a PPTP használható.

Kapcsolódó témakörök


IPSec-kapcsolattípusok

Mindegyik IPSec-szabályhoz meg kell adni, milyen típusú kapcsolatokat érint a számítógépen. A kapcsolattípusok az összes kapcsolatra vonatkoznak, amelyek annak a számítógépnek a Hálózati és telefonos kapcsolatok mappájában találhatók, amelyen az IPSec-házirendet állítja be.

Mindegyik szabályhoz egy kapcsolattípus beállítás tartozik:

  • Minden hálózati kapcsolat. A szabály a számítógépen beállított összes hálózati kapcsolat által továbbított összes kommunikációra vonatkozik.
  • Helyi hálózat (LAN). A szabály csak a számítógépen beállított helyi hálózati kapcsolaton keresztül küldött kommunikációra vonatkozik.
  • Távelérés. A szabály csak a számítógépen beállított távelérésű vagy telefonos kapcsolatokon keresztül küldött kommunikációra vonatkozik.

A kapcsolat típusának beállításával kapcsolatos tudnivalókért tanulmányozza A kapcsolat típusának megadása című témakört.

A számítógép hálózati kapcsolatainak beállításával kapcsolatos tudnivalókért tanulmányozza a Hálózati vagy telefonos kapcsolat beállítása című témakört.


IPSec-hitelesítés

Minden szabályhoz hitelesítési metódusok tartoznak. Minden egyes hitelesítési metódus meghatározza az azonosító adatok azon kommunikáció folyamán végbemenő ellenőrzésének követelményeit, amelyre a hozzárendelt szabály vonatkozik. A két félnek legalább egy közös hitelesítési metódussal kell rendelkeznie, mivel ellenkező esetben a kommunikáció sikertelen lesz. Több hitelesítési metódus létrehozása esetén nagyobb az esélye annak, hogy a két számítógép rendelkezik közös metódussal.

Két számítógép között egyetlen hitelesítési metódus adható meg függetlenül a beállított metódusok számától. Ha több szabály vonatkozik ugyanarra a két számítógépre, akkor ezekben a szabályokban úgy kell beállítani a hitelesítési metódusok használni kívánt listáját, hogy a két számítógép ugyanazt a metódust használja. Például sikertelen a hitelesítés, ha az egyik fél számára csak a Kerberos protokoll használatát és a TCP-adatok szűrését határozza meg, míg a másik fél csak a Bizonyítványok használatával végzi a hitelesítést és csak az UDP-adatokat szűri.

  • A Kerberos V5 biztonsági protokoll az alapértelmezett hitelesítési technológia. Ez a metódus csak olyan Kerberos V5 protokollt futtató ügyfeleken használható (függetlenül attól, hogy azok Windows 2000 alapú ügyfelek vagy nem), melyek egy meghatalmazott tartomány tagjai.
  • Nyilvános kulcsú bizonyítványt a következő esetekben kell használni: Internet elérés, vállalati erőforrások távelérése, külső üzleti partnerrel történő kommunikáció, valamint nem Kerberos V5 biztonsági protokollt futtató számítógépekkel történő kommunikáció. Ehhez legalább egy megbízható hitelesítő szervezet (CA) szükséges. A Windows 2000 a 3-as verziójú X.509-bizonyítványok használatát támogatja, beleértve a kereskedelmi hitelesítő szervezetek által kibocsátott bizonyítványokat is.
  • Előzetesen megosztott kulcs is megadható. Ez az a megosztott titkos kulcs, amelyben a két felhasználó előzetesen megegyezett. Ennek használata gyors, és nem igényli az ügyfélen a Kerberos V5 protokoll futtatását, és az ügyfélnek nem kell nyilvános kulcsú bizonyítvánnyal rendelkeznie. Az előzetesen megosztott kulcs használatára mindkét félnek közvetlenül kell beállítani az IP-biztonságot (IPSec). Ez egy egyszerű módszer a nem Windows 2000 operációs rendszert futtató számítógépek, valamint a különálló számítógépek hitelesítéséhez, továbbá azon ügyfelek hitelesítéséhez, melyek nem futtatják a Kerberos V5 protokollt. Ne feledje, hogy ez a kulcs csak a hitelesítés védelmét szolgálja.

A hitelesítési metódusok beállításával kapcsolatos tudnivalókért tanulmányozza a Hitelesítési metódus megadása című témakört.


IPSec: rossz SPI-üzenetek az Eseménynaplóban

Ez a hiba akkor fordulhat elő, ha túl kicsi a kulcs élettartamára beállított érték, vagy ha az SA lejárt, de a küldő továbbra is küldi az adatokat a vevő részére. A probléma meghatározásához és kijavításához az IPSec-figyelő segítségével és vizsgálja meg az újbóli kulcslérehozások számát. További tudnivalókért tanulmányozza az IPSec-figyelő használata című témakört.

Ha a kapcsolat aktív időtartamához viszonyítva nagyon sok új kulcsot generál a rendszer, a házirendben hosszabb kulcsélettartamot állítson be. Nagy forgalmú Ethernet-kapcsolat esetén megfelelő az 50 megabájtnál vagy 5 percnél magasabb érték.

Ez feltehetően nem szünteti meg teljesen a rossz SPI-ket, de számuk így jelentősen csökkenthető.


Gyakorlati tanácsok

Hatékony bevezetés megtervezése

  • Elemezze a hálózaton továbbított adatok típusait. Ezek az adatok érzékeny gazdasági adatok, céges információk vagy elektronikus levelek? Funkciójukból adódóan bizonyos osztályok magasabb szintű biztonságot igényelnek, mint a szervezet többi osztálya.
  • Mérje fel, hol találhatók az adatok, milyen utat járnak be a hálózaton az adatok és mely számítógépek érhetik majd el az adatokat. Ez a bevezetés előtt képet ad a hálózat sebességéről, kapacitásáról és kihasználtságáról, ami nagy segítséget jelent a teljesítmény optimalizálásához.
  • Vizsgálja meg, támadásokkal mennyire sebezhető a hálózat.
  • Készítsen a szervezet egészére kiterjedő hálózati biztonsági tervet. Vegye figyelembe a Windows biztonsági keretrendszerét, például az Active Directory modellt, valamint a biztonság és a Csoportházirendek kapcsolatát. További tudnivalókért tanulmányozza az Active Directory – áttekintés című témakört.

Gondolja át:

  • Minek a biztonságáról kell gondoskodni? Néhány számítógép vagy az összes számítógép forgalmát kell-e biztonságossá tenni; csak néhány protokoll vagy port forgalmának biztonságáról kell-e gondoskodni?
  • Hogyan lehet biztonságossá tenni? A forgalom biztonságához elegendő az integritás, vagy a titkosítás is szükséges? Ha igen, milyen mértékű?
  • Hol lehet biztonságossá tenni? Csak távelérés során szükséges a biztonság növelése, vagy a helyi hálózatban is?
  • Ki fogja kezelni a házirendet? A tartományi rendszergazdák, a kiszolgáló rendszergazdái vagy a helyi számítógép rendszergazdái?
  • A titkosítási beállítások minden szükséges számítógép esetén működnek majd? Használják majd az adatokat erős titkosítást (3DES titkosítás) és normál titkosítást alkalmazó számítógépek?

Továbbá:

  • Tervezze meg, hozza létre és tesztelje az IPSec-házirendeket, mert így választhatók ki és finomhangolhatók a valóban szükséges házirendek és házirendstruktúrák. A reális teszteredmények érdekében az alkalmazások hétköznapi terhelését használja a különféle elképzelések tesztelése során. A kezdeti tesztek során a csomagok tartalmának a Hálózatfigyelő segédprogrammal vagy más hálózatfigyelővel történő megjelenítéséhez használja a Közepes szintű biztonsági metódust vagy AH beállítású egyedi biztonsági metódust, mivel a Magas vagy ESP beállítás használata esetén nem tekinthető meg a csomagok tartalma.
  • A házirendek kialakításával járó adminisztratív többletmunka elkerülése érdekében ahol csak lehetséges használja az előre definiált házirendeket, szabályokat és szűrőműveleteket. Ezek a házirendek aktiválhatók, módosíthatók vagy sablonként használhatók a saját házirendek elkészítésekor.

A biztonsági tervezéssel kapcsolatos további tudnivalókért tanulmányozza az IPSec biztonsági terv kialakítása című témakört. Az IPSec bevezetésének speciális követelményeivel kapcsolatos tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.


Az IPSec felügyeletével kapcsolatos speciális szempontok

A következő szempontok segítenek az IPSec-házirendek használatával járó adminisztráció egyszerűsítésében:

A Windows 2000 titkosítás használatának követelményei

Az IPSec titkosítási szolgáltatások elérhetőségére az Egyesült Államok exportszabályai vonatkoznak, és helyi vagy nemzeti szabályok is érvényben lehetnek. Az IKE titkosítást használ a biztonsági egyeztetés védelmére, és a TCP/IP IPSec összetevője titkosítással védi az alkalmazások adatcsomagjait. A biztonsági egyeztetés védelme érdekében az IKE számára minimálisan a Cryptographic API (CAPI) által biztosított módon a DES titkosítás használata szükséges. A Windows 2000 operációs rendszert futtató számítógépeknek végre kell tudni hajtaniuk a DES-t a CAPI segítségével, hogy képesek legyenek bármilyen IPSec csomagformátumú forgalom titkosítására.

Az IPSec-házirendek lehetővé teszik erős titkosítási algoritmus (3DES) kiválasztását, amely a nagyobb biztonság érdekében hosszabb kulcsokat használ, mint a DES. Ezt a házirendet megkapja az olyan számítógép, amelyhez ez a házirend tartozik. A 3DES algoritmus végrehajtásához azonban a Windows 2000 operációs rendszert futtató számítógépekre telepíteni kell a High Encryption Pack csomagot (Magyarországon nem áll rendelkezésre). Ha a számítógép 3DES beállításokat kap, de nincs telepítve a High Encryption Pack csomag, akkor a titkosítási házirendben a 3DES beállításokat a gyengébb DES beállításokra módosítja. Az Egyesült Államok exportszabályozásával kapcsolatos tudnivalókért tanulmányozza a Microsoft webhelyét (http://www.microsoft.com/).

Hitelesítés

Ha a szervezetben a számítógépek Windows 2000 tartományhoz kapcsolódnak, az IPSec-hitelesítés az alapértelmezett Windows 2000 hitelesítési protokoll (Kerberos V5) segítségével végezhető el. Az intraneten zajló kommunikációhoz nem kell nyilvános kulcsú hitelességi bizonyítványokat alkalmazni.

IP-szűrőlisták

  • Próbáljon általános szűrőket használni, amelyek számítógépek csoportjára vonatkoznak. Például a számítógép forrás- és célcímének megadása helyett próbálja meg a Bármely IP-cím vagy az IP-alhálózati cím beállításának használatát.
  • Olyan szűrőket hozzon létre, amelyek segítségével a kapcsolódó hálózati szegmensekből jövő forgalom csoportosítható és biztonságossá tehető.

Szűrőműveletek

  • A jogosulatlan számítógépekkel történő kommunikáció megelőzéséhez gondoskodjon arról, hogy ne legyen biztonsági egyeztetés a nem érzékeny adatok, vagy az IP-biztonságot (IPSec) nem használó számítógépek esetén, és használja az olyan szűrőműveleteket, mint a blokkolás (Letiltás) vagy az áteresztő házirend (Engedélyezés).
  • Egyéni biztonsági metódusok beállításánál csak az ESP titkosítás esetén válassza a Nincs beállítást, ha a magasabb szintű protokoll biztosítja majd az adattitkosítást.
  • Távelérés használata esetén (az IPSec-bújtatás esetén is) célszerű olyan biztonsági metódusokat választani, amelyekben magas szintű biztonság (például a 3DES), rövid kulcsélettartam (kevesebb, mint 50 Mb), valamint a fő- és munkamenetkulcsokhoz teljes továbbítási titkosítás van beállítva. Ez segít a kulcsokra irányuló ismert támadások elleni védekezésben.

Távelérésű kommunikációk

  • Az L2TP használata esetén a hitelesítési metódusok listájában szerepelnie kell hitelességi bizonyítványoknak, és legalább egy számítógépszintű nyilvános kulcsú hitelességi bizonyítványt be kell állítani mindkét félen (a távoli ügyfélen vagy a távelérés-kiszolgálón). A Windows 2000 tartományvezérlőkön beállítható, hogy a tartomány tagjait a rendszer automatikusan bejegyezze egy hitelesítési szervezethez. A bizonyítványokkal kapcsolatos további tudnivalókért tanulmányozza a Nyilvános kulcs irányelvei – áttekintés című témakört.
  • A távelérés-kiszolgáló hálózati támadásokkal szembeni védelme érdekében az előre elkészített szűrőművelet közül a Biztonság megkövetelése nevű házirendet (vagy hasonló egyedi szűrőműveletet) aktiválja. Körültekintően járjon el a Nem biztonságos kommunikáció eng. IPSec nélküli számítógépekkel és a Nem biztonságos kommunikáció fogadása, de válasz IPSec-kel beállítás engedélyezésekor. A titkosítás nélküli kommunikáció engedélyezése biztonsági problémákhoz vezethet.
  • Távelérés-kiszolgálóra (melynek általában több illesztőt tartalmaz és több címe van) vonatkozó IP-szűrőlista beállításakor ne használja a szűrőkben a Saját IP-cím beállítást. Különben az IPSec megkísérli azt a szűrőt alkalmazni a kiszolgáló összes illesztőjére. Ehelyett annak az illesztőnek az IP-címére állítsa be a szűrőt, amely a titkosítani kívánt forgalmat küldi és fogadja.
  • Ha a vállalat számítógépeit távolról felügyeli, az aktív IPSec-házirendhez hozzá kell adni egy olyan szabályt, mely nem blokkolja a belső hálózatról jövő RPC TCP-forgalmat. (Ilyen típusú forgalmat hoz létre a Windows 2000 operációs rendszerben a távelérést beállító segédprogram.) Például:
    1. A szabályban levő IP-szűrőlistában meg kell adni a vállalati alhálózat kimenő címét (amely a felügyeleti konzol helye), valamint a felügyelt számítógép belső IP-címének bejövő címét. A protokoll típusát TCP-re kell beállítani.
    2. A szabályban levő szűrőműveletben be kell jelölni a Nem biztonságos kommunikáció fogadása és a Nem biztonságos kommunikáció eng. IPSec nélküli számítógépekkel jelölőnégyzetet.

SNMP

Ha a számítógépen SNMP szolgáltatás fog futni, az SNMP-üzenetek blokkolásának elkerülése végett hozzá kell adni egy szabályt:

  1. Az IP-szűrőlistának meg kell adnia az SNMP-kezelőrendszerekhez és az ügynökökhöz tartozó forrás- és célcímet. A protokolltípust UDP-re kell állítani, 161 – 162 porttartománnyal. Ehhez két szűrő szükséges: egy szűrő az UDP-hez, ahol a cél és a forrásport 161, és egy másik szűrő ahhoz az UDP-hez, melynél a cél és a forrásport 162.
  2. A szűrőműveletként az Engedélyezés beállítást kell kiválasztani, amely blokkolja a titkosítási egyeztetést és átengedi az IP-szűrőlistának megfelelő összes forgalmat.

Biztonsági átjárók

A biztonsági átjáró, tűzfal, proxykiszolgáló, útválasztó és minden olyan kiszolgáló, amelyen keresztül a belső hálózatról a külvilág érhető el, különleges szűrési beállításokat kell megadni annak biztosítása érdekében, hogy az IP-biztonsággal (IPSec) titkosított csomagokat ne utasítása vissza. Minimálisan a következő bejövő és kimenő szűrőket létre kell hozni a számítógép Internet-felületén:

    Bejövő szűrők

    1. IP-protokollazonosító 51 (0x33) a bejövő IPSec hitelesítési fejléc forgalomhoz.
    2. IP-protokollazonosító 50 (0x32) a bejövő IPSec ESP forgalomhoz. UDP port 500 (0x1F4) a bejövő ISAKMP/Oakley egyeztetési forgalomhoz.

    Kimenő szűrők

    1. IP-protokollazonosító 51 (0x33) a kimenő IPSec hitelesítési fejléc forgalomhoz.
    2. IP-protokollazonosító 50 (0x32) a kimenő IPSec ESP forgalomhoz. UDP port 500 (0x1F4) a kimenő ISAKMP/Oakley egyeztetési forgalomhoz.

DHCP-, DNS- és WINS-szolgáltatás; tartományvezérlők

A fenti feladatokat ellátó kiszolgálókon az IPSec engedélyezése előtt ellenőrizze, hogy futtatható-e az összes ügyfélen az IPSec. Ha nem, a biztonsági egyeztetés hibával leállhat, így a rendszer blokkolja a hálózati erőforrások elérését.

DNS

Amennyiben az IP-szűrőlistában DNS-nevet ad meg, de a DNS-kiszolgálón nem fut az IPSec, akkor különleges házirendbeállítás szükséges. Ellenkező esetben az IPSec, valamint a kiszolgáló más szolgáltatásai nem lesznek képesek a DNS-számítógépnevet érvényes IP-címhez rendelni.

  1. Állítsa be úgy az IP-szűrőlistát, hogy a számítógép és a DNS-kiszolgáló közötti forgalom esetén nem igényelje az IPSec használatát:
    • A Forráscím listában válassza a Saját IP-cím beállítást.
    • Célcímként állítsa be a DNS-kiszolgáló IP-címét.
    • A bejövő szűrő automatikus létrehozásához jelölje be a Tükrözés jelölőnégyzetet.
    • A protokollbeállításokat úgy adja meg, hogy az Erről a portról és az Erre a portra mező beállítása megegyezzen a DNS-kiszolgálón a forgalomra megadott beállításokkal. Ez általában az 53-as port.
  2. Szűrőműveletként válassza az Engedélyezés beállítást, mert ez esetben a szűrő átengedi a DNS-forgalmat, és biztosítja, hogy a szűrőlistának megfelelő IP-forgalom esetén a rendszer soha nem hajt végre biztonsági egyeztetést.

Vigyázat

  • Ha a házirendben az IP-címek helyett DNS-neveket használ, akkor az könnyebb adminisztrációt tesz lehetővé, viszont csak akkor használható, ha a számítógépek IP-címe állandó (és nem a DHCP-kiszolgáló osztja ki automatikusan), és egy adott DNS-névhez a rendszer mindig ugyanazt az IP-címet rendeli hozzá. Például ha a támadó betör a DNS-kiszolgálóra és módosítja a DNS-névhez rendelt IP-címet, akkor az IPSec más IP-címet rendel a névhez, amely így nem biztonságos (titkosítatlan) forgalmat eredményezhet.


Ellenőrzőlista: IPSec-házirend beállítása

Lépés | Hivatkozás
Biztonsági terv készítése. | IPSec biztonsági terv készítése
Az IP biztonsági házirend koncepcióinak áttekintése. | Az IPSec-házirend tulajdonságai
Az IP-biztonsági házirendkezelő beépülő modul indítása. | Az IP-biztonsági házirendkezelő beépülő modul indítása
A vállalat biztonsági tervében található minden egyes lépéshez hozzon létre IPSec-házirendet. | IPSec-házirend beállítása
Jelöljön ki IPSec-házirendeket. | IPSec-házirend kijelölése


Titkosításon alapuló védelem

Az IPSec védi az adatokat, így egy támadó rendkívül nehezen, vagy egyáltalán nem képes azokat értelmezni. Az adatok titkosítását egy kulcs és egy algoritmus kombinációjával hajtja végre a rendszer. A nagy biztonságot a titkosításon alapuló algoritmusok és kulcsok biztosítják. Az algoritmus olyan matematikai eljárás, amellyel titkosíthatók az adatok, míg a kulcs az adatok olvasásához, módosításához vagy ellenőrzéséhez szükséges titkos kód vagy szám.

Az IPSec a következő funkciókkal előzi meg, illetve csökkenti a hálózati támadásokat:

Automatikus kulcskezelés

Kulcs létrehozása

A biztonságos kommunikációhoz a két számítógépnek úgy kell létrehoznia ugyanazt az osztott kulcsot, hogy a kulcsot nem továbbítják egymásnak a hálózaton keresztül. Az IPSec ehhez a kulcscseréhez és az összes többi titkosítási kulcs kulcsalapjának létrehozásához a Diffie-Hellman algoritmust használja.

A két számítógép elkezdi a Diffie-Hellman számítást, majd a közbülső eredményt nyilvánosan és biztonságosan (hitelesítésen keresztül) kicserélik. Egyik számítógép sem küldi el az aktuális kulcsot. Az adatcseréből származó megosztott adatok alapján mindkét számítógép ugyanazt a titkos kulcsot hozza létre. A tapasztalt felhasználók módosíthatják az alapértelmezett kulcscsere és adattitkosítási kulcs beállításait.

Kulcshosszak

Ha a kulcs hosszát 1 bittel megnöveljük, az előállítható kulcsok száma megduplázódik, így exponenciálisan növekszik a kulcs feltörésének nehézsége. A két számítógép közötti IPSec biztonsági egyeztetés kétfajta megosztott titkos kulcsot hoz létre: a főkulcsokat és a munkamenetkulcsokat. A főkulcsok hosszú, 768 vagy 1024 bites kulcsok. A munkamenetkulcsokat a főkulcsokból hozza létre a rendszer. A főkulcsokból szabványos módon jönnek létre a munkamenetkulcsok, mindegyik titkosítási és integritási algoritmushoz szükséges egy munkamenetkulcs. A kulcsok kezelésével kapcsolatos részletes tudnivalókért tanulmányozza a Kulcscsere című témakört.

A kulcsok dinamikus újbóli létrehozása

Az IPSec a kommunikáció alatt automatikusan hoz létre új kulcsokat. Ezzel megelőzhető, hogy a támadó egyetlen kulcs megszerzésével az egész kommunikációt visszafejthesse. A tapasztalt felhasználók módosíthatják az új kulcsok létrehozásának alapértelmezett időintervallumát.

Biztonsági szolgáltatások

Integritás

Az integritás megvédi az adatokat az adatátvitel alatti jogosulatlan módosításoktól. Ezzel biztosítható, hogy az elküldött és a vett adatok pontosan megegyezzenek. A rendszer matematikai ujjlenyomat funkciókkal jelöli meg („írja alá”) az összes csomagot. A fogadó számítógép a csomag megnyitása előtt ellenőrzi az aláírást. Ha az aláírás (ezáltal a csomag) megváltozott, a valószínűsíthető hálózati támadás elkerülése miatt a csomagot eldobja.

Hitelesítés

A számítógépek egyediségének biztosításával a hitelesítés az üzenet eredetét és integritását ellenőrzi. Erős hitelesítés nélkül minden ismeretlen számítógép és az általa küldött információ gyanús. A házirendben több hitelesítési metódus is megadható. Ez növeli annak esélyét, hogy található közös hitelesítési metódus a Windows 2000 tartomány tagjaival, a nem Windows 2000 operációs rendszert futtató számítógépekkel és a távoli számítógépekkel.

Titkosság (adattitkosítás)

A titkosság biztosítja, hogy az adatokhoz csak az arra jogosult személyek férjenek hozzá. Használata esetén ESP (Encapsulating Security Payload) formátumú IPSec csomagokat alkalmaz a rendszer. A csomag adatainak átvitel előtti titkosítása biztosítja, hogy az adatok az átvitel alatt nem olvashatók el még akkor sem, ha a támadó megfigyeli vagy elfogja a csomagot. Az adatok értelmezésére vagy módisítására csak a megosztott titkos kulccsal rendelkező számítógépek képesek. A biztonsági egyeztetés és az alkalmazások közötti adatcsere titkosításához az egyesült államokbeli DES algoritmus, DES és 3DES algoritmusok használhatók. Csomagon belül az azonos adatblokkok elrejtésére a Cipher Block Chaining (CBC) algoritmust használja a rendszer, amely a titkosítás után nem eredményez méretnövekedést. Az ismétlődő adatminták csökkenthetik a biztonságot, mivel olyan támadási felületet biztosítanak, amelynek kihasználásával a támadó megkísérelheti a titkosítási kulcs megfejtését. Az inicializálási vektort (egy kezdeti véletlen számot) használja a rendszer első véletlenszerű blokként az adatblokk titkosításához és visszfejtéséhez. A titkos kulccsal együtt az egyes blokkok titkosításához más véletlenszerűen kiválasztott blokkot használ a rendszer. Így a titkosítatlan adatfolyamban található megegyező adatblokkok a titkosított adatfolyamban egyedi adatblokkokká alakíthatók. A titkosítási beállításokkal kapcsolatos további tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.

Letagadhatatlanság

Biztosítja, hogy az üzenet küldője kizárólag az a személy lehet, akitől az üzenet érkezhetett. A küldő nem tagadhatja le az üzenet elküldését.

Ismétlés elleni védelem

Ismétlési védelemnek is nevezik, az egyes IP-csomagok egyediségét biztosítja. A támadó által elfogott üzenetet nem lehet ismételten felhasználni vagy újból elküldeni egy munkamenet megnyitásához, vagy illegális információszerzéshez.


Előkészített IPSec-házirendek

A Windows 2000 több előre definiált IPSec-házirendet tartalmaz. Alapértelmezés szerint az összes előre definiált házirend Windows 2000 tartományban levő számítógépek részére készült. Ezek további teendők nélkül kijelölhetők, módosíthatók vagy sablonként használhatók egyéni házirend készítésekor.

Előre definiált házirendek

Ügyfél (csak válasz)

Ez azokon a számítógépeken használható, ahol a kommunikáció a legtöbb esetben nem igényel biztonságot. Például az intranetes ügyfelek nem igényelnek IP-biztonságot (IPSec), ha azt a másik számítógép nem kéri. A házirend lehetővé teszi, hogy a számítógép (amelyen a házirend aktív) megfelelően válaszoljon a biztonságos kommunikáció iránti kérelemre. A házirend alapértelmezett választ tartalmaz, amely lehetővé teszi az IP-biztonságot (IPSec) igénylő számítógépekkel történő egyeztetést. Csak a kért protokoll és port forgalmát titkosítja a rendszer a kommunikáció során.

Kiszolgáló (biztonság kérése)

Ez azokon a számítógépeken használható, ahol a kommunikáció a legtöbb esetben biztonságot igényel. Például bizalmas adatokat továbbító kiszolgálón. A házirend alapján a számítógép elfogadja a titkosítatlan forgalmat, de mindig kísérletet tesz a további kommunikáció titkosítására. Ennek érdekében titkosítást kér a küldőtől. A házirend lehetővé teszi, hogy a teljes kommunikáció titkosítatlan legyen, ha a másik számítógép nem képes az IPSec használatára.

Biztonságos kiszolgáló (biztonság megkövetelése)

Ez azokon a számítógépeken használható, amelyeken mindig biztonságos kommunikáció szükséges. Például nagyon bizalmas adatokat továbbító kiszolgáló esetén, vagy az intranetet a külvilágtól védő biztonsági átjárónál. A házirend visszautasítja a nem biztonságos (titkosítatlan) bejövő kommunikációt, és a kimenő forgalom mindig biztonságos (titkosított). A nem biztonságos kommunikáció nem engedélyezett, még akkor sem, ha a másik résztvevő nem képes az IPSec használatára.

Előre elkészített szabályok

Az előre definiált házirendekhez hasonlóan, a meglevő alapértelmezett válaszszabály további teendő nélkül aktiválható, vagy az egyedi igényeknek megfelelően módosítható. A rendszer hozzáadja minden újonnan létrehozott házirendhez, de automatikusan nem aktiválja. Ez azokhoz a számítógépekhez készült, melyekhez nem szükséges a biztonság, de tudniuk kell megfelelően válaszolni, ha a másik számítógép biztonságos kommunikációt igényel.

Előre elkészített szűrőműveletek

Az előre elkészített szabályokhoz hasonlóan további teendők nélkül aktiválhatók, módosíthatók, vagy sablonként használhatók egyéni szűrőművelet elkészítéséhez. Bármelyik meglevő vagy új szabályban aktiválhatók:

  • Biztonság megkövetelése. Magas biztonság. Nem biztonságos (nem titkosított) kommunikáció nem engedélyezett.
  • Biztonság kérése (választható). Közepes és alacsony biztonság. A nem biztonságos kommunikáció engedélyezett az IPSec egyeztetésre nem képes, vagy azt nem engedélyező számítógépekkel történő kommunikáció érdekében.


Távoli kommunikáció: IPSec

Biztonságos távoli kommunikáció a Layer 2 Tunneling Protokoll (L2TP) és az IPSec együttes használatával érhető el. Az L2TP hozza létre az alagutat az adatforgalom számára, az IPSec pedig titkosítja az adatokat.

Vándorló ügyfelek

Gyakori elvárás a vállalati hálózat és a távoli ügyfélek közötti kommunikáció biztonságának megteremtése. A távoli ügyfél lehet egy kereskedelmi képviselő, aki idejének túlnyomó részében úton van, vagy egy otthon dolgozó alkalmazott.

L2TP protokollt és IP-biztonságot (IPSec) használó távoli ügyfelek

Az ábrán a távoli átjáró olyan kiszolgáló, amely a vállalati intranet határát védi. A távoli ügyfél olyan vándorló felhasználó, akinek korlátozás nélkül el kell érnie a hálózati erőforrásokat és adatokat. Az ügyfél csatlakozhat Internet-szolgáltatón (ISP) keresztül is. Az ábra azt a megoldást mutatja, amikor az Internet-szolgáltatón (ISP) keresztül jön létre a kapcsolat a távoli átjáróval. Az L2TP és az IPSec együttes használatával egyszerű, de hatékony módon építhető ki az alagút, és védhetők az Interneten keresztül továbbított adatok. Maga az alagút a távoli ügyfél és a távoli átjáró között jön létre, mivel az Interneten keresztüli kommunikációt védi.

Fiókirodák

A nagy szervezeteknek általában több telephelye van, amelyeknek egymással kommunikálniuk kell. Pédául a központi iroda Budapesten van, a kereskedelmi iroda pedig Nyíregyházán. Ahogy az előző példában L2TP és az IPSec együttes alkalmazásával alagút hozható létre, és védelem biztosítható a telephelyek között továbbított adatok számára.

L2TP/IPSec útválasztók közötti alagút

Ezen az ábrán a Windows 2000 útválasztó biztosítja a kapcsolódási pontok biztonságát, és a telephelyek közötti a kommunikációs útvonalat. Az útválasztók bérelt vonali, kapcsolt vonali vagy más típusú kommunikációt is kezelhetnek. Maga az alagút az útválasztók között jön létre, mivel az csak az Interneten keresztüli kommunikációt védi. A virtuális magánhálózat (VPN) azonban az intraneten található, az adatcserében résztvevő számítógépek között épül ki.

Távoli kommunikáció biztonságának megteremtése

A távoli kommunikációhoz az IPSec-házirendek helyett a Windows 2000 L2TP biztonsági tulajdonságai használhatók.

Az L2TP és az IPSec együttes használatának beállítása esetén:

  • A kapcsolat ideje alatt a szükséges IP-szűrőt és a szűrőműveletek listáját a rendszer dinamikusan állítja be az IPSec-házirendügynökben.
  • A hitelesítést az L2TP határozza meg, amelyhez szükséges a számítógép nyilvános kulcsú bizonyítványa és az ahhoz tartozó személyes kulcs.
  • A kulcscsere alapértelmezett beállításai érvényesek.

A kapcsolat ideje alatt használt IP-biztonság szintje az L2TP biztonsági beállításaitól függ:

  • Nincs titkosítás. Az IPSec ez esetben is igényel egy bizonyítványt, és végrehajtja az AH egyeztetését.
  • Választható a titkosítás. Ha a másik számítógép kéri, vagy megköveteli a biztonságos kommunikációt, az IPSec felajánlhatja az ESP/3DES-től az AH/MD5-ig terjedő biztonsági szinteket.

    • A Munkamenetkulcs teljes továbbítási titoktartása beállítást nem használja a rendszer, ha a másik számítógép nem kéri.

    Lehetőség van visszatérni nem titkosított kommunikációra.

  • Kötelező titkosítás. A számítógép titkos kommunikációt igényel. A felajánlott biztonság megegyezik a választható titkosítás során használható szolgáltatásokkal, de ez esetben nem lehet visszatérni nem biztonságos (nem titkosított) kommunikációra.

Az L2TP titkosítási beállításokkal kapcsolatos tudnivalókért tanulmányozza A telefonos távelérés biztonsága című témakört.


Az IPSec csomagkezelés

Az IPSec-illesztőprogram az IPSec-házirendügynöktől megkapja az aktív IP-szűrőlistát, majd minden bejövő és kimenő csomagot megvizsgál a listán található szűrők segítségével. Ha a csomag megfelel a szűrő feltételeinek, végrehajtja a szűrőműveletet.

IPSec-illesztőprogram

Ha a szűrőművelet engedélyezi az átvitelt, akkor az illesztőprogram módosítás nélkül fogadja vagy elküldi a csomagot. Ha a művelet blokkolja az átvitelt, akkor eldobja a csomagot.

A kimenő és bejövő forgalom feldolgozáshoz az egyeztetett biztonsági hozzárendeléseket (SA) és kulcsokat használja a rendszer. Az IPSec-illesztőprogram az összes aktuális biztonsági hozzárendelést egy belső adatbázisban tárolja. Több biztonsági hozzárendelés esetén az illesztőprogram az SPI (Security Parameters Index) segítségével határozza meg, melyik biztonsági hozzárendelés tartozik az adott csomaghoz.

Ha a kimenő IP-csomag biztonsági egyeztetést kezdeményező IP-szűrőlista feltételeinek felel meg, akkor az IPSec-illesztőprogram várakozási sorba helyezi a csomagot, majd értesíti az IKE (Internet Key Exchange) folyamatot, amely megkezdi a biztonsági egyeztetést a csomagban célként megadott IP-címmel. Ha az IKE egyeztetés befejezése előtt ugyanarra a célcímre több ugyanannak a szűrőnek megfelelő kimenő csomag megy, akkor csak a legutoljára elküldött csomagot menti a rendszer.

Az egyeztetés sikeres befejezése után az IKE a munkamenetkulcsokkal együtt átadja a biztonsági hozzárendelés adatait az IPSec-illesztőprogram számára. Az IPSec-illesztőprogram titkosítja a várakozási sorba helyezett kimenő IP-csomagot, és a továbbítás érdekében elküldi a hálózati kártyára. Sikertelen egyeztetés esetén az IPSec-illesztőprogram eldobja a csomagot.

Amennyiben IPSec által titkosított bejövő csomag megfelel az IP-szűrőlista feltételeinek, az IPSec-illesztőprogram ellenőrzi a csomag integritását, szükség esetén visszafejti a csomagot, és visszafordítja a normál IP-formátumra. Az IPSec-illesztőprogram újból összehasonlítja az IP-csomagot és a szűrőt, így újból ellenőrzi, hogy csak az egyeztetés során megállapított forgalom érkezett. Ha a csomag megfelel a szűrő feltételeinek, akkor az IPSec-illesztőprogram visszaküldi a TCP/IP számára, amely továbbítja a csomagot az alkalmazásnak.

Nem védett, normál IP-csomag vétele esetén az IPSec-meghajtó összehasonlítja a csomagot a szűrőlistában található összes szűrővel. Ha a csomag megfelel egy olyan szűrő feltételeinek, amelyhez tartozó szűrőművelet IP-biztonságot igényel, az IPSec-illesztőprogram blokkolja, majd eldobja a csomagot.

Az IPSec-illesztőprogram az összes bejövő, nem titkosított csomagot előbb az IPSec-bújtatást megadó szűrőkkel hasonlítja össze, majd ezután hasonlítja össze a csomagot az összes olyan szűrővel, amely végpontok közötti (átviteli) szűrőt határoz meg. Az IPSec-illesztőprogram nem szűr bizonyos típusú IP-csomagokat. További tudnivalókért tanulmányozza a Szűrőműveletek című témakört.


IPSec: biztonsági naplózás

Az esemény olyan jelentős történés a rendszerben, mely külön figyelmet igényel. Az eseménynaplózás a Windows 2000 minden indításakor automatikusan elindul. Az Eseménynapló beépülő modul segítségével megtekinthető a házirendügynökkel kapcsolatos hibaelhárításhoz használható rendszernapló. Sikertelen IPSec kommunikáció esetén ellenőrizhető az Oakley információs üzenetek biztonsági naplója, valamint a sikertelen IPSec-kommunikációra vonatkozó üzenetei. Az Eseménynaplóval kapcsolatos tudnivalókért tanulmányozza az Eseménynapló megtekintése című témakört.

Például annak megállapítására, hogy egy szolgáltatás miért nem fut, a rendszernaplóban kiszűrhetők a házirendügynökhöz tartozó üzenetek. Szintén megjeleníthető a házirendügynök eseményüzeneteinek egy adott típusa. Hasonló szűrési mód használható az Oakley üzenetek biztonsági naplójában.

  1. A rendszernapló és a biztonsági napló megjelenítéséhez bontsa ki az Eseménynapló mappát.
  2. A szűrés a Művelet menüből végezhető el.

Az Eseménynapló beépülő modulban található rendszernapló üzenetek

Rendszernapló információs esemény 279

  • Forrás: Házirendügynök
  • Kategória: Nincs

A következőket jelzi: az IPSec-házirendnek van-e hatása a számítógépre, az IPSec-házirend forrását (helyi, tartományi), az Active Directory lekérdezési intervallumát, a házirend forrása a tartomány-e. Jelzi továbbá, hogy a házirend forrásában meg lett változtatva az IPSec-házirend. Ebben az esetben a következő felirat jelenik meg: IPSec-házirend frissítése.

Rendszernapló hibaesemény 284

  • Forrás: Házirendügynök
  • Kategória: Nincs

Jelzi, hogy a Házirendügynök nem tudott kapcsolatot létesíteni azzal az Active Directoryval, mely a számítógéppel azonos tartományban található.

Az Eseménynaplóban található Biztonsági napló üzenetek

Ez a napló az ISAKMP/Oakley üzeneteit tartalmazza.

Biztonsági napló sikeres naplózás 541

  • Forrás: Biztonság
  • Kategória: Bejelentkezés/Kijelentkezés

Jelzi, hogy az IPSec erős biztonsági hozzárendelés sikeres volt. (Gyenge biztonsági hozzárendelések nem kerülnek naplózásra.)

Biztonsági napló sikeres naplózás 542

  • Forrás: Biztonság
  • Kategória: Bejelentkezés/Kijelentkezés

Jelzi, hogy az IPSec erős vagy gyenge biztonsági hozzárendelés befejeződött.

Az Eseménynaplóban található Alkalmazásnapló üzenetek

Ez a napló az ISAKMP/Oakley üzeneteit tartalmazza. A következő üzenetek azt jelzik, hogy a Windows 2000 hazai változata magasabb biztonságot próbált meg hitelesíteni, mint amit az export ügyfél támogatni képes.

Alkalmazási figyelmeztető esemény 541

  • Forrás: Oakley
  • Kategória: Nincs

Jelzi, hogy az export ügyfél nem tud hazai erősségű kulcsot előállítani, az egyeztetés eredménye export erősségű kulcs.

Alkalmazási figyelmeztető esemény 542

  • Forrás: Oakley
  • Kategória: Nincs

Jelzi, hogy az export ügyfél DES titkosításnál erősebbre nem képes, az egyeztetés eredménye DES titkosítás (amennyiben a másik számítógép képes DES titkosításra).


IP-szűrőlisták

Az IP-szűrő a forrásra, a célra és az IP-forgalom típusára vonatkozó biztonsági egyeztetést indít el. Az IP-forgalom ilyen jellegű szűrése lehetővé teszi a rendszergazda számára a titkosítani kívánt IP-forgalom pontos meghatározását. Mindegyik IP-szűrőlista egy vagy több az IP-címet és a forgalom típusát meghatározó szűrőt tartalmazhat. Ugyanaz az IP-szűrőlista különböző kommunikációs helyzetekben is felhasználható.

Az IPSec használatához a szűrőlistában a kimenő és a bejövő szűrőket egyaránt meg kell adni a számítógépekhez. A bejövő szűrő a befelé irányuló forgalomra vonatkozik, amely engedélyezi a fogadó számítógépnek a biztonsági kérésre való válaszadást, illetve a forgalom és az IP-szűrőlista összehasonlítását. A kimenő szűrő a számítógépről valamilyen cél irányába elküldött forgalomra vonatkozik, és a forgalom elküldése előtt biztonsági egyeztetést indít el. Például ha az A számítógép biztonságos adatcserét kíván folytatni a B számítógéppel:

  • Az A számítógépen az aktív IPSec-házirendnek tartalmaznia kell olyan kimenő szűrőt, amely a B számítógép felé irányuló csomagokra vonatkozik. Forrás = A és cél = B.
  • Az A számítógépen az aktív IPSec-házirendnek tartalmaznia kell olyan bemeneti szűrőt, amely a B számítógépről érkező csomagokra vonatkozik. Forrás = B és cél = A.

A kommunikációban részt vevő mindkét félnek fordított szűrővel is rendelkeznie kell:

  • A B számítógépen az aktív IPSec-házirendnek tartalmaznia kell olyan bemeneti szűrőt, amely az A számítógépről érkező csomagokra vonatkozik. Forrás = A és cél = B.
  • A B számítógépen az aktív IPSec-házirendnek tartalmaznia kell olyan kimenő szűrőt, amely az A számítógép felé irányuló csomagokra vonatkozik. Forrás = B és cél = A.

Szűrőbeállítások

Minden szűrő a kimenő vagy bejövő forgalom egy adott részét határozza meg, amelyet titkosítani kell. A szabályhoz rendelt szűrőnek le kell fednie az összes olyan forgalmat, amelyre a szabályt alkalmazni kívánja. A szűrő a következő beállításokat tartalmazza:

  • Az IP-csomag forrás- és célcíme. Ezt alapszinten kell megadni IP-cím, DNS-név, címcsoport, alhálózat vagy hálózat segítségével.
  • A csomag továbbításához használt protokoll. Az automatikus alapértelmezés a TCP/IP protokollcsaládban található összes protokoll. A speciális követelmények kielégítése érdekében az egyes protokollok szintjén is beállítható, akár egyedi protokollokra is.
  • TCP és UDP protokoll esetén a forrás- és a célport. Alapértelmezés szerint a szűrő az összes portra vonatkozik, de a beállítás leszűkíthető egy adott portra is.

Az IP-szűrőlisták beállításával kapcsolatos tudnivalókért tanulmányozza az IP-szűrőlista hozzáadása vagy szerkesztése című témakört.

Bizonyos típusú forgalmak (például az SNMP-forgalom vagy a biztonsági átjárók forgalma) esetén speciális szűrő beállítása szükséges. További tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok című témakört.


A nem biztonságos biztonsági hozzárendelések akadályozzák a biztonságos hozzárendelést

Ha az IPSec-figyelő azt érzékeli, hogy a rendszer nem hozott létre biztonságos (vagy erős) biztonsági hozzárendeléseket (SA), annak oka valószínűleg a felek között meglevő gyenge biztonsági hozzárendelés. Ez akadályozhatja az erős biztonsági hozzárendelések létrehozását. Ennek ellenőrzése érdekében futtassa az IPSec-figyelőt az egyik társgépen. Ha van biztonsági hozzárendelés a két számítógép között és a biztonsági beállítás értéke „Nincs”, ez gyenge biztonsági hozzárendelést jelez. Ez a gyenge biztonsági hozzárendelés addig marad érvényben a két számítógép között, amíg közöttük rendszeres forgalom folyik. További tudnivalókért tanulmányozza az IPSec-figyelő használata című témakört.

Ennek megelőzése érdekében állítson le minden forgalmat addig, amíg a biztonsági hozzárendelés időkorlát túllépése miatt meg nem szakad (általában 5 perc). Ellenőrizze, hogy a biztonsági hozzárendelés valóban megszűnt, majd indítsa újra a forgalmat. Ha a házirendek kompatibilisek, a rendszer automatikusan erős biztonsági hozzárendelést hoz létre. Ezután az összes gyenge biztonsági hozzárendelés törléséhez indítsa újra a házirendügynököt. További tudnivalókért tanulmányozza az IPSec-házirendügynök újraindítása című témakört.


Erős védelem

Mivel a hálózati támadások leállást, termeléskiesést, a bizalmas információ nyilvánosságra kerülését eredményezhetik, az információk nemkívánatos személyek általi megfigyelésének és módosításának elkerülése rendkívül fontos.

A hálózatvédelmi stratégiák általában a határvonalak biztonságára összpontosítanak. A magánhálózatba történő külső behatolás elleni védelmet tűzfalakkal, biztonsági átjárókkal és a telefonos kapcsolat felhasználóinak hitelesítésével érik el. Ez azonban nem biztosít védelmet a belülről jövő támadásokkal szemben.

A kizárólag a hozzáférési biztonságra összpontosító védelem (például az intelligens kártyák vagy a Kerberos használata) nem nyújt mindenre kiterjedő védelmet, mivel ezek a metódusok felhasználói nevekre és jelszókra épülnek. Sok számítógépen több felhasználó dolgozik, amely révén a számítógép nem biztonságos, mivel gyakran előfordul, hogy nem jelentkeznek ki a felhasználók. Továbbá, ha a felhasználónevet és jelszót megszerzi a behatoló, a kizárólag hozzáférési biztonságon alapuló biztonság nem véd meg a hálózati erőforrások illegális használatától.

A ritkán használt fizikai szintű védelmi stratégiák a fizikai hálózat kábeleit és csatlakozási pontjait védik. Nem valószínű azonban, hogy ez a teljes hálózati útvonal védelmét képes garantálni, mivel az adatnak a forrástól a célig kell eljutnia.

Az erős védelem jó védelmi stratégiával érhető el, mely több biztonsági stratégiát foglal magában. Ezeknek a stratégiáknak bármelyike használható az IP-biztonsággal (IPSec) együtt. Ez egy újabb biztonsági szintet nyújt, amely lehetővé teszi, hogy a küldő számítógép az általa továbbított minden egyes IP-adatcsomagot az átvitel előtt titkosítson, még mielőtt a csomag eléri a hálózati kábeleket, a fogadó számítógép pedig csak a fogadás és ellenőrzés után szünteti meg a titkosítást.


Az IP-biztonsággal (IPSec) kapcsolatos dokumentumok az Interneten

Az IP-biztonsággal kapcsolatos dokumentumok az IPSec-architektúra részletes technikai leírását tartalmazzák, így a használt algoritmusokat és protokollokat is bemutatják. Az Internet-dokumentumkönyvtárak lehetővé teszik a szerzők számára az esetenként RFC-dokumentumként is benyújtott dokumentumok közzétételét, és a dokumentummal kapcsolatos megjegyzések kérését.

Az IPSec-architektúrával és mechanizmusokkal kapcsolatos legújabb internetes dokumentumok az IPSec témakörrel foglalkozó webhelyeken találhatók.

Az IP-biztonsággal kapcsolatos internetes dokumentumok forrásmunkái

A Windows 2000 operációs rendszerben megvalósított IPSec az IETF IPSec-architektúrával kapcsolatos következő dokumentumainak megfelel, de nem valósítja meg teljes mértékben ezeket:

  • PKI Requirements for IP Security (Az IP-biztonság PKI követelményei – draft-ietf-ipsec-pki-req-01.txt)

A Windows 2000 IPSec-szolgáltatásában megvalósított ESP-protokoll (Encapsulating Security Payload) a következő IETF IPSec dokumentumokon alapszik:

  • draft-simpson-cbc-01.txt
  • draft-ietf-ipsec-ciph-des3-00.txt
  • draft-hoffman-des40-03.txt


Tartomány, egyenrangú: IPSec

Az általában nagyon érzékeny adatokat használó csoportok biztonságának érdekében gyakran szegmensekre kell osztani a belső hálózatot. A számítógépcsoportok különböző fizikai szegmensre helyezése védelmet nyújtott a biztonsági visszaélések ellen. Az IPSec úgy teszi lehetővé a védelmet, hogy a védett számítógépcsoport fizikailag ugyanazon helyi hálózaton maradhat.

Tartománybiztonság IP-biztonsággal (IPSec)

Az ábrán a szervezet pénzügyi osztályának számítógépeiből álló tartomány látható. A legtöbb helyi hálózati ügyfélnek nem kell biztonságosan kommunikálnia. Azonban a hálózatban levő nagyon fontos adatokat tároló kiszolgálókat el kell érnie a helyi hálózat néhány ügyfelének. Minden számítógépnek van számítógépfiókja az Active Directory tartományban vagy objektumban. A számítógépeket biztonsági okokból Active Directory szervezeti egységekbe csoportosították. Ez a számítógép funkciójának megfelelő IPSec-házirendek hozzárendelését teszi lehetővé:

  • A nagyon fontos adatokat tároló és továbbító kiszolgálók a Legnagyobb biztonságú kiszolgálók szervezeti egységébe tartoznak.
  • A többi kiszolgáló, amelyek lehetővé teszik a nem biztonságos (nem titkosított) adatcserét a tartományban levő, IP-biztonságot (IPSec) nem használó ügyfelekkel, a Biztonságos kiszolgálók szervezeti egységbe tartoznak.
  • A Biztonságos számítógépek csoporthoz tartoznak azok az ügyfelek, amelyeknek megfelelően kell válaszolniuk a biztonságos kommunikáció megkövetelése esetén.
  • A Számítógépek csoportba tartoznak azok az ügyfelek, amelyeknek nem kell biztonságos kiszolgálókhoz kapcsolódniuk.

A számítógépek szervezeti egységbe sorolásakor csak azokhoz a számítógépekhez kell IPSec-házirendet hozzárendelni, amelyek számára szükséges az IPSec. Így túlzott biztonsági többletterhelés nélkül végezhető el a megfelelő biztonsági szintek hozzárendelése. Ebben a példában az Active Directory tárolja az összes számítógép részére az IPSec-házirendeket.

Az ügyfelek és a tartományvezérlő között nincs szükség nagyfokú biztonságra. Az ügyfelek és a tartománykiszolgáló között a Kerberosszal kapcsolatos adatcsere eleve titkosított, az Active Directory és a számítógépek közötti IPSec-házirend átvitelét pedig a Windows LDAP titkosítás védi.

Az IP-biztonságot (IPSec) itt hozzáférési biztonsággal együtt kell használni. A biztonságnak továbbra is fontos részét képezik a felhasználói engedélyek, amelyek a Legmagasabb biztonságú és a Nagyon biztonságos kiszolgálókon tárolt fájlmegosztások elérését szabályozzák. Az IPSec a hálózati szintű forgalmat titkosítja, így a támadó nem tudja értelmezni vagy módosítani az adatokat.

Előre definiált konfigurációk

A Windows 2000 több előre definiált IPSec-házirendet tartalmaz. Alapértelmezés szerint az összes előre elkészített házirend Windows 2000 tartományban levő számítógépek részére készült. Az alábbiakban található a Windows 2000 rendszerben található definiált házirendek leírása. A helyi számítógépen és az Active Directory címtárban előre definiált házirendek, szűrőlisták és szűrőműveletek azonnali használata nem ajánlott. Ezek a házirendek azt a célt szolgálják, hogy bemutassák a különböző házirendbeállításokkal elérhető viselkedésbeli különbségeket.

Számítógépek: Ügyfél (csak válasz)

Ez a házirend olyan számítógépekhez készült, amelyek az idő döntő többségében nem biztonságos kommunikációt használnak. Például az intranetes ügyfelek nem igényelnek IP-biztonságot (IPSec), ha azt a másik számítógép nem kéri. A házirend lehetővé teszi, hogy a számítógép (amelyen a házirend aktív) megfelelően válaszoljon a biztonságos kommunikáció iráni kérelemre. A házirend tartalmaz egy Alapértelmezett válasz nevű szabályt, amely lehetővé teszi az IP-biztonságot (IPSec) igénylő számítógépekkel történő egyeztetést. Csak a kért protokoll és port forgalmát titkosítja a rendszer a kommunikáció során.

Biztonságos kiszolgálók: Kiszolgáló (biztonság kérése)

Ez a házirend olyan számítógépekhez készült, amelyek az idő nagy részében biztonságos kommunikációt folytatnak, például érzékeny adatokat továbbító kiszolgálókkal. A házirend alapján a számítógép elfogadja a titkosítatlan forgalmat, de mindig kísérletet tesz a további kommunikáció titkosítására. Ennek érdekében titkosítást kér a küldőtől. A házirend lehetővé teszi, hogy a teljes kommunikáció titkosítatlan legyen, ha a másik számítógép nem képes az IPSec használatára.

Legnagyobb biztonságú kiszolgálók: Biztonságos kiszolgáló (biztonság megkövetelése)

Ez a házirend olyan számítógépekhez készült, amelyek mindig biztonságos kommunikációt igényelnek, például olyan kiszolgálókhoz, amelyek nagyon érzékeny adatokat továbbít. Ez a házirend elfogadja a nem biztonságos bejövő kommunikációt, de mindig titkosítja a kimenő forgalmat.


Az IPSec-figyelő használata

Az IPSec-figyelő a titkosított kommunikáció sikerességének ellenőrzéséhez használható. A helyi vagy a távoli számítógépen megjeleníti az aktív biztonsági hozzárendeléseket. Például az IPSec-figyelő segítségével megvizsgálható, hogy vannak-e rendszeresen ismétlődő hitelesítési vagy titkosítás-hozzárendelési hibák, amelyek valószínűleg a nem kompatibilis biztonságiházirend-beállításokból adódnak. A hitelesítési hibákat mutató statisztikák az eltérő hitelesítési metódusokból eredő egyeztetési hibát jelezhetik.

Az IPSec-figyelő futtatható a helyi számítógépen, vagy a távoli számítógéppel meglevő hálózati kapcsolat esetén távolról is.

Az IPSec-figyelő indítása

  1. Kattintson a Start menü Futtatás parancsára.
  2. Írja be az ipsecmon Szamítógép_neve parancsot, ahol a Szamítógép_neve a megfigyelni kívánt számítógép neve.
  3. A frissítési gyakoriság beállításához kattintson a Beállítások gombra.

Minden aktív biztonsági hozzárendeléshez megjelenik egy bejegyzés. Mindegyik bejegyzés a következő adatokat tartalmazza: az aktív IPSec-házirend nevét, az aktív szűrőműveletet és IP-szűrőlistát (az aktív szűrő részleteivel együtt), valamint az alagút végpontját, ha azt megadták.

Számos statisztika segíti az IPSec teljesítményének finomhangolását és a hibaelhárítást. Néhány ezek közül:

  • Az aktív biztonsági hozzárendelések száma és típusa.
  • A fő- és munkamenetkulcsok száma összesen (fő és gyors módban). A sikeres IPSec biztonsági hozzárendelés kezdetben egy főkulcsot és egy munkamenetkulcsot hoz létre. (A később sorozatosan újra létrehozott kulcsok további munkamenetkulcsokként jelennek meg.)
  • A küldött vagy fogadott titkos (ESP) vagy hitelesített (ESP vagy AH) bájtok száma összesen. Mivel az ESP hitelesítést és titkosítást egyaránt végez, így értéke mindkét számlálót növeli.
  • A gyenge hozzárendelések száma összesen.

Egyedül a frissítési időköz állítható be. Alapértelmezés szerint a statisztikát 15 másodpercenként frissíti a rendszer. A statisztika az összes IP-biztonságot (IPSec) használó kommunikáció alapján készül.


Az IPSec biztonsági egyeztetés folyamata

A titkos adatforgalom megindulása előtt a két számítógép között egyezségnek kell létrejönnie. Ezt az egyezséget biztonsági hozzárendelésnek (SA) nevezik. A biztonsági hozzárendelésben mindkét számítógép megegyezik az adatcsere és az adatvédelem módjában. Ezt mutatja be a következő ábra.

ISAKMP/Oakley szolgáltatás

Biztonsági hozzárendelések

A biztonsági hozzárendelés (SA) a házirend és a kulcsok kombinációja, amely meghatározza a közös biztonsági szolgáltatásokat és mechanizmusokat, valamint a kommunikáció végponttól végpontig terjedő védelmére használt kulcsokat. A biztonságiparaméter-index (SPI) a biztonsági hozzárendelésben használt azonosító, amely alapján megkülönböztethetők a fogadó számítógépen található különféle biztonsági hozzárendelések. Például egyszerre több számítógéppel történő biztonságos kommunikáció esetén több biztonsági hozzárendelés lehet érvényben a számítógépen. Ez főleg akkor fordul elő, ha a számítógép fájlkiszolgálóként vagy távelérés-kiszolgálóként működik, amely egyszerre több ügyfelet szolgál ki. Azonban két egyszerű számítógép között is létezhet több biztonsági hozzárendelés. Ilyenkor a fogadó számítógép az SPI alapján dönti el, hogy melyik biztonsági hozzárendelés segítségével dolgozza fel a bejövő csomagokat.

A két számítógép között ennek az egyezségnek (biztonsági hozzárendelésnek) a létrehozására az IETF szabványos metódust dolgozott ki. A biztonsági hozzárendelésnek és a kulcscsere-hozzárendelésnek ez szabványos metódusa az ISAKMP protokoll (Internet Security Association and Key Management Protocol – Internet biztonsági hozzárendelés és kulcskezelési protokoll ) és az Oakley kucsgeneráló protokoll kombinációját alkalmazza. Az ISAKMP központosítja a biztonsági hozzárendelések kezelését, ezzel csökkenti a kapcsolati időt. Az Oakley hozza létre és kezeli az adatok titkosítására használt hitelesítési kulcsokat.

Ez nem csak a számítógépek közötti adatforgalmat védi, de azokat a távoli számítógépeket is, amelyek a vállalati hálózathoz kapcsolódáskor biztonságos hozzáférést kérnek, és védelmet biztosít minden olyan helyzetben, amelyben a végső célként részt vevő számítógép (vagy végpont) egyeztetését biztonsági útválasztó vagy másik proxykiszolgáló végzi. Ez utóbbi az úgynevezett ISAKMP-ügyfélmód, amelyben a végpontok azonosítása a kommunikáció további védelme érdekében rejtve marad.

A sikeres titkos kommunikáció biztosítása érdekében az ISAKMP/Oakley két lépésben végzi a műveletet. A titkosságot és a hitelesítést mindegyik lépésben a két számítógép által egyeztetett titkosítási és hitelesítési algoritmus használatával biztosítja. Mivel a folyamat két lépésből áll, szükség esetén a kulcskezelés nagyon gyorsan megtörténhet.

Kulcscsere

A kiinduló lépésben a két számítógép létrehozza az első biztonsági hozzárendelést, az úgynevezett ISAKMP biztonsági hozzárendelést. (Neve azért egyedi, hogy megkülönböztethetők legyenek a két lépés során létrehozott biztonsági hozzárendelések.) Az Oakley biztosítja a felek azonosságának védelmét a kulcscsere folyamán, így teljes titoktartást tesz lehetővé. Ez segíthet a hagyományos hálózati támadásokkal szembeni védekezésben, amely a felek azonosságának megszerzésére irányul.

Ebben a lépésben a biztonsági egyeztetés a következőket tartalmazza:

  1. Házirend egyeztetése

    2. Ez tartalmazza:

    • A titkosítási algoritmust: DES, 3DES, 40 bites DES vagy nincs.
    • Az integritási algoritmust: MD5 vagy SHA.
    • A hitelesítési metódust: Nyilvános kulcsú hitelesítés, előzetesen megosztott kulcs vagy Kerberos V5 (alapértelmezett beállítás a Windows 2000 rendszerben).
    • A Diffie-Hellman csoportot.

    A hitelesítéshez a bizonyítványok vagy előzetesen megosztott kulcsok használata esetén a számítógép azonossága védett. A Windows 2000 alapértelmezett metódusának használatakor azonban a számítógép azonossága mindaddig nem titkosított, amíg a rendszer a 3. lépésben el nem végzi az azonosítási adatok teljes titkosítását.

  2. Kulcs adatainak cseréje

    3. Ennek eredményeként minden számítógép rendelkezésére fognak állni az ISAKMP biztonsági hozzárendelés nyilvános titkos kulcsának – a főkulcsnak – a létrehozásához szükséges adatok. Az aktuális kulcsok cseréje soha nem történik meg, csak a Diffie-Hellman algoritmus számára a megosztott titkos kulcs létrehozásához szükséges nyilvános adatokat továbbítják a számítógépek. A hitelesítés védelmére szolgáló főkulcsot a számítógépen az Oakley szolgáltatás hozza létre.

  3. Hitelesítés

    4. A számítógép kísérletet tesz a kulcsadatok cseréjének hitelesítésére. Sikeres hitelesítés hiányában a kommunikáció nem jön létre. Az első lépésben egyeztetett algoritmust és a főkulcsot együtt használja a rendszer. A használt hitelesítési algoritmustól függetlenül az adattartalom a módosítástól és a visszafejtéstől egyaránt védett.

A kezdeményező fél elküldi a lehetséges biztonsági szintek listáját a kommunikációs partnernek. A válaszadó fél nem módosíthatja az ajánlatot. Ha módosítja, a kezdeményező visszautasítja a válaszadó üzenetét. A válaszadó válaszában elfogadhatja az ajánlatot, vagy egyszerűen figyelmen kívül hagyja az ajánlatot és válaszában azt jelezheti, hogy nem választott az ajánlatok közül. Ezután a folyamat újból kezdődik elölről.

A kicserélt egyeztetési üzenetek 5 alkalommal kerülnek automatikusan újraküldésre. Ha az aktív házirend engedélyezi a titkosítás nélküli kommunikációt az IP-biztonságot (IPSec) nem futtató számítógépekkel, akkor három másodperc után gyenge biztonsági hozzárendelés jön létre a felek között. Ha az ISAKMP-válasz a ciklus időtúllépése előtt megérkezik, a gyenge biztonsági hozzárendelés megszűnik, és elkezdődik a normál biztonsági hozzárendelés egyeztetése. A létrehozható biztonsági hozzárendelések számát csak a rendszer erőforrásai korlátozzák.

Az ISAKMP biztonsági hozzárendelést a biztonsági egyeztetés második lépésének elindításakor használja fel a rendszer.

Adatvédelem

Az IPSec-szolgáltatás nevében egy biztonságihozzárendelés-párt egyeztet a rendszer. Ezek az úgynevezett IPSec biztonsági hozzárendelések. Ha a PFS vagy a kulcsélettartam engedélyezve van és az ISAKMP biztonsági hozzárendelés lejárt, akkor a rendszer frissíti a kulcsalapot vagy új kulcsot hoz létre.

A második lépésben lezajló biztonsági egyeztetés a következőket tartalmazza:

  1. Házirend egyeztetését

    2. Ez tartalmazza:

    • Az IPSec protokollt: AH, ESP.
    • Az integritási algoritmust: MD5, SHA.
    • A titkosítási algoritmust: DES, 3DES, 40 bites DES vagy nincs.

    Az egyeztetés sikeres, és létrejön a két biztonsági hozzárendelés: egy a bejövő, egy pedig a kimenő kommunikáció számára.

    Az Oakley frissíti a kulcsalapot, a hitelesítés és a csomagok titkosítása érdekében új, osztott titkos kulcsot hoz létre. Ha új kulcsra van szükség, egy második Diffie-Hellman cserét hajt végre a rendszer. Ha a kulcs vagy a biztonsági hozzárendelés nem járt le, az Oakley a kulcscsere során a Diffie-Hellman cseréből frissíti a kulcsalapot.

  2. A biztonsági hozzárendeléseket és a kulcsokat a biztonságiparaméter-indexszel (SPI) együtt adja át a rendszer az IPSec-illesztőprogramnak.

Az ISAKMP biztonsági hozzárendelés a teljes egyeztetést védi. A csomagokon levő ISAKMP-fejlécek kivételével az összes csomag titkosított, és az ISAKMP-fejlécet követő integritási aláírás hitelesíti az üzenetet. Az Oakley nem teszi lehetővé az egyeztetési üzenet megismétlését, így védelmet nyújt az ismétlés ellen.

Az üzenet automatikus újraküldését végző folyamat egy kivételtől eltekintve csaknem megegyezik a kulcscsere egyeztetésénél bemutatott folyamattal: ha ez a folyamat ugyanazon ISAKMP biztonsági hozzárendelés második vagy későbbi egyeztetése során bármi okból kifolyólag túllépi az időkorlátot, az ISAKMP biztonsági hozzárendelés ismételt egyeztetésére kerül sor. Ha az ISAKMP biztonsági hozzárendelés megléte nélkül érkezik üzenet az adatvédelmi lépéshez, a rendszer visszautasítja.

A biztonsági egyeztetés különösen gyorssá tehető, mivel egyetlen ISAKMP biztonsági hozzárendelés felhasználható több IPSec biztonsági hozzárendelés egyeztetéséhez. Ameddig az ISAKMP biztonsági hozzárendelés nem jár le, újbóli egyeztetés és újbóli hitelesítés nem szükséges. Az aktív IPSec-házirend határozza meg, hogy ez hányszor történhet meg.

A biztonsági hozzárendelés élettartama

Ha a fő- vagy munkamenet kulcs élettartama lejár, a hozzárendelt biztonsági hozzárendelést újból hitelesíteni kell. A rendszer egy Oakley „törölt” üzenetet küld a másik félnek, amely alapján a válaszadó „lejárt” állapotúként jelöli meg az ISAKMP biztonsági hozzárendelést. Ez megakadályozza, hogy hamis IPSec biztonsági hozzárendelés készüljön a régi biztonsági hozzárendelés alapján. Az ISAKMP biztonsági hozzárendelések lejáratát az Oakley vezérli, az IPSec biztonsági hozzárendelések lejáratát pedig az IPSec-illesztőprogram.

Amikor az IPSec-házirendügynök letölti a házirend frissítéseit, frissíti az IPSec-illesztőprogramban tárolt IP-szűrőlistákat is. A házirendben található régi, már nem létező szűrőkhöz rendelt biztonsági hozzárendeléseket az IPSec-illesztőprogram a régi szűrőkkel együtt törli a gyorsítótárából.

Ha a Windows 2000-ben található energiagazdálkodási szolgáltatások miatt a számítógép hibernált vagy alvás üzemmódja alatt jár le a biztonsági hozzárendelés, a másik számítógép újbóli aktiválásakor a biztonsági hozzárendelés újbóli egyeztetése automatikusan megtörténik. Ha a kommunikációban részt vevő egyik fél leállítja a számítógépén futó Windows 2000 operációs rendszert, az Oakley „törölt” üzenet törli a meglevő biztonsági hozzárendeléseket. Ha a másik fél ismét kezdeményezi a kommunikációt, új biztonsági hozzárendelést egyeztetnek a felek. Ha a Windows 2000 rendellenesen áll le, a rendszer nem küldi el az Oakley „törölt” üzenetet. Ebben az esetben a régi biztonsági hozzárendelés addig marad érvényben, amíg le nem jár az alapértelmezett időkorlát. Ezt követően a biztonsági hozzárendelést kézzel kell törölni.


Kulcscsere

A kulcscserét védő kulcsok erősségét a következő további szolgáltatások növelik:

Kulcs élettartama

Az élettartama határozza meg, mikor hoz létre új kulcsot a rendszer. Amikor a kulcs élettartama lejár, a kulcshoz tartozó biztonsági hozzárendelést is újból egyezteti a rendszer. Az új kulcsok adott időközönként történő létrehozásának folyamatát dinamikus kulcslétrehozásnak nevezik. Az élettartam lehetővé teszi egy adott időtartam után az új kulcs (megújítás) létrehozásának megkövetelését. Például ha a kommunikáció 100 percig tart és a kulcsélettartam 10 perc, az adatcsere során a rendszer minden 10. percben hoz létre egy új (azaz összesen 10) kulcsot. Több kulcs használatával elérhető, hogy ha a behatoló megszerzi a kommunikáció egy részéhez tartozó kulcsot, a teljes kommunikáció nincs veszélyben. Alapértelmezés szerint a kulcsok újbóli létrehozása megtörténik. Tapasztalt felhasználók felülbírálhatják az alapértelmezett beállításokat, és a munkamenetkulcs vagy a teljes továbbítási titoktartás (PFS) segítségével megadhatják a főkulcs élettartamát percben.

Nagyon eltérő kulcsélettartamok beállítása esetén kellő körültekintéssel kell eljárni, mivel a kulcsélettartam meghatározza a biztonsági hozzárendelés élettartamát is. Például ha a főkulcs élettartama 8 óra (480 perc), a munkamenetkulcs élettartama (amely a szűrőműveleten belül állítható be) 2 óra, az azt eredményezheti, hogy egy IPSec-biztonsági hozzárendelés az ISAKMP biztonsági hozzárendelés lejárata után még majdnem 2 óráig érvényben maradhat. Ez akkor fordulhat elő, ha az új IPSec biztonsági hozzárendelést közvetlenül az ISAKMP biztonsági hozzárendelés lejárta előtt hozza létre a rendszer.

  • Munkamenetkulcs-korlát

    • Ugyanannak a főkulcsnak a rendszeres újbóli létrehozása a kulcs által biztosított védelem meggyengüléséhez vezethet. Például ha az A számítógépen dolgozó Róbert a B számítógépen dolgozó Aliznak küld üzenetet, majd néhány perc múlva ismét küld egy üzenetet Aliznak, akkor a főkulcs alapja ismételten felhasználható, mivel a biztonsági hozzárendelés nemrég jött létre a másik számítógéppel. Tapasztalt felhasználók a kulcs újbóli felhasználhatóságának korlátozása érdekében megadhatják a munkamenetkulcsok felhasználhatóságának maximális számát.

    Ne feledje, hogy a főkulcs esetén a teljes továbbítási titoktartás (PFS) engedélyezésekor a munkamenetkulcs-korlátot a rendszer figyelmen kívül hagyja, és a PFS minden egyes alkalommal megköveteli a kulcs újbóli létrehozását. Például a Főkulcs továbbítása teljes titoktartás mellett jelölőnégyzet bejelölése egyenértékű azzal, mintha a munkamenetkulcs korlátjaként 1-et adna meg.

    Tartsa szem előtt azt is, ha megadja a főkulcs élettartamát percben és beállítja a munkamenetkulcs-korlátját is, akkor az elsőként túllépett határérték elindítja a kulcs újbóli létrehozását.

  • Főkulcs továbbítása teljes titoktartás mellett (PFS)

    • Az új kulcs létrehozásának módját határozza meg. A PFS bekapcsolása biztosítja, hogy az átvitelt védő kulcs egyik lépésben sem használható fel további kulcsok létrehozásához. Továbbá az ahhoz a kulcshoz használt kulcsalap sem használható fel új kulcs létrehozásához.

    A főkulcs továbbítása teljes titoktartás mellett szolgáltatást kellő körültekintéssel kell használni, mivel újbóli hitelesítést igényel. Ez többletterhelést okozhat a hálózaton működő tartományvezérlőkön. Nem szükséges engedélyezni a kommunikációban részt vevő mindkét félen.

A kulcscsere beállításainak és metódusainak megadásával kapcsolatos további tudnivalókért tanulmányozza a Kulcscsere beállítása és a Kulcscsere metódusok létrehozása című témakört.


A kulcscsere különböző módjai

A kulcs tulajdonságain kívül a tapasztalt felhasználók beállíthatják az IKE hitelesítés I. fázisában (központi mód) használt biztonsági metódusokat is. A felesleges többlet elkerülése érdekében általában javasolt az IKE összes beállításának (PFS, kulcsélettartam) és a biztonsági metódus alapértelmezett értékét meghagyni. Ez normál (közepes) biztonsági szintet nyújt. Akkor próbálkozzon meg az alapértelmezett biztonsági metódusok módosításával, ha a biztonsági terv nagyobb szintű biztonságot ír elő.

Megadható az integritáshoz és a titkosításhoz (választható) használandó algoritmus. Az itt használható biztonsági metódusok használhatók a II. fázisban is: az integritáshoz MD5 és SHA; a titkosításhoz DES és 3DES.

Diffie-Hellman csoportok

A Diffie-Hellman csoportok segítségével határozható meg a kulcscsere során használt alapprímszám hossza. Az összes származtatott kulcs erőssége részben a prímszámok alapjául szolgáló Diffie-Hellman csoport erősségétől függ:

A 2-es csoport (közepes) erősebb mint az 1-es csoport (alacsony). Az 1-es csoport 768 bites kulcsalapot, míg a 2-es csoport 1204 bites kulcsalapot biztosít. Ha a felek csoportbeállítása különbözik, az egyeztetés sikertelen lesz. A csoport nem módosítható az egyeztetés során.

A magasabb számú csoport használata nagyobb entrópiát eredményez, így a kulcsot nehezebb feltörni.

A főkulcsként ismert Diffie-Hellman csoport az I. fázis (központi mód) kulcscsere beállításainak részeként választható ki. Az adatvédelmi II. fázisban (gyors mód) létrehozott új kulcsokat a Diffie-Hellman I. fázisában létrehozott főkulcs kulcsalapjából állítja elő a rendszer, ha a II. fázisban nem használja a teljes továbbítási titoktartást.

A kulcscsere beállításainak és metódusainak megadásával kapcsolatos további tudnivalókért tanulmányozza a Kulcscsere beállítása és a Kulcscsere metódusok létrehozása című témakört.


Több IP-szűrőlista és szűrőművelet kezelése

Az IP-szűrőlistákból és szűrőműveletekből létrehozható egy olyan globális készlet, amely ezután minden új vagy meglevő szabályban használható. Ezzel a módszerrel is beállíthatók az IP-szűrőlisták vagy szűrőműveletek, úgy, ahogy az az egyes szabályoknál beállítható. Így a biztonsági tervhez szükséges összes IP-szűrőlista és szűrőművelet egyetlen helyen határozható meg.

Az IP-szűrőlisták és szűrőműveletek központi beállításával kapcsolatos tudnivalókért tanulmányozza a Több IP-szűrőlista kezelése vagy a Több szűrőművelet kezelése című témakört.

Az IP-szűrőlista és szűrőművelet eljárások megegyeznek a szabályok definiálásakor megjelenő eljárásokkal. Az IP-szűrőlisták megadásával kapcsolatos tudnivalókért tanulmányozza az IP-szűrőlista hozzáadása vagy szerkesztése című témakört. A szűrőműveletek megadásával kapcsolatos tudnivalókért tanulmányozza a Szűrőművelet hozzáadása vagy szerkesztése című témakört.


Az IPSec-házirendek eltéréséből adódó hibák

Az egyeztetés sikertelen lehet, ha a számítógépeken nem kompatibilis az IPSec-házirend beállítása. A hiba kiküszöböléséhez hajtsa végre a következő lépéseket:

  1. Indítsa el az Eseménynapló beépülő modult és vizsgálja meg a biztonsági naplót. A legutóbbi események között szerepelnek az Oakley egyeztetéshez tartozó kísérletek a művelet sikerességének vagy sikertelenségének leírásával együtt. Ezeket a lépéseket hajtsa végre a kommunikációban részt vevő összes számítógépen. Az Eseménynapló beépülő modullal kapcsolatos tudnivalókért tanulmányozza Az eseménynapló megtekintése című témakört.
  2. Ellenőrizze a házirend integritását az összes számítógépen. További tudnivalókért tanulmányozza A házirend integritásának ellenőrzése című témakört.
  3. A házirendek közötti különbség okának meghatározása:
    • Ellenőrizze, hogy a hitelesítési metódusok kompatibilisek-e.
    • Ellenőrizze, hogy van-e legalább egy kompatibilis biztonsági metódus.
    • IPSec-bújtatás használata esetén ellenőrizze, hogy az alagút végpontjainak beállításai (IP-cím vagy DNS-név) helyes-e, és a végpontokon levő számítógépek megfelelően működnek-e.


Hogyan működik az IPSec?

Az egyszerűség kedvéért két ugyanabban a tartományban levő számítógép közötti IPSec-kapcsolatot mutat be ez a példa. Az A számítógépnél dolgozó Alíz üzenetet küld Róbertnek.

Az IPSec-műveletek áttekintése
  1. Az A számítógép IPSec-illesztőprogramja az aktív házirendben található IP-szűrőlistában egyezést keres a kimenő csomagok címe vagy a forgalom típusa alapján.
  2. Az IPSec-illesztőprogram jelzi az ISAKMP felé, hogy kezdje meg a biztonsági egyeztetést a B számítógéppel.
  3. A B számítógép ISAKMP szolgáltatása fogadja a biztonsági egyeztetésre irányuló kérelmet.
  4. A két számítógép végrehajtja a kulcscserét, létrehozza az ISAKMP biztonsági hozzárendelést és a megosztott, titkos kulcsot.
  5. A számítógépek egyeztetik az adatátvitel biztonsági szintjét, létrehozzák a két IPSec biztonsági hozzárendelést és az IP-csomagok titkosításához szükséges kulcsokat.
  6. Az A számítógép IPSec-illesztőprogramja az integritás érdekében a kimenő IPSec biztonsági társítás és kulcs segítségével aláírja a csomagokat, majd titkosítja azokat, ha titkosításban egyeztek meg.
  7. Az A számítógép IPSec-illesztőprogramja átadja a csomagokat a megfelelő kapcsolattípusnak, amely továbbítja azokat a B számítógéphez.
  8. A B számítógép fogadja a titkosított csomagokat, és továbbítja azokat az IPSec-illesztőprogramhoz.
  9. A B számítógép IPSec-illesztőprogramja a bejövő biztonsági hozzárendelés és kulcs segítségével ellenőrzi az integritási aláírást, és szükség esetén visszafejti a csomagokat.
  10. A B számítógép IPSec-illesztőprogramja átadja a visszafejtett csomagokat a TCP/IP-illesztőprogramnak, amely eljuttatja azokat a fogadó alkalmazáshoz.

Aliz és Róbert semmit nem lát ebből a folyamatból. Az adatátviteli útvonalon a felek között levő normál útválasztóknak és kapcsolóknak nem kell használniuk az IP-biztonságot (IPSec). Automatikusan továbbítják a titkosított IP-csomagokat a célhoz. Amennyiben az útválasztó tűzfalként, biztonsági átjáróként vagy proxykiszolgálóként működik, speciális szűréseket kell engedélyezni annak érdekében, hogy a titkosított IP-csomagok átjussanak. További tudnivalókért tanulmányozza Az IPSec felügyeletével kapcsolatos speciális szempontok.


Szűrőműveletek

A szűrőművelet határozza meg az adatátvitel biztonsági követelményeit. Szűrőművelet a következőképpen működhet:

  • Áteresztő házirendként működik („Engedélyezés”). Ez nem teszi lehetővé titkosított kommunikáció egyeztetését. Ebben az esetben az IPSec egyszerűen figyelmen kívül hagyja a forgalmat. Ez olyan számítógépektől jövő forgalom esetén alkalmazható, mint például a Web TV kiszolgáló, amely kizárólag olyan kommunikációt sugároz, melyet soha nem kell titkosítani. Ilyen szűrőművelet használatakor a lehető legszűkebb hatókört állítsa be az IP-szűrőlistához, hogy ne engedje át a titkosítandó forgalmat.
  • Forgalom blokkolása („Blokkolás”). Megállítja a jogosulatlan számítógép felől érkező kommunikációt. Blokkoló szűrőműveletnél a lehető legkisebb IP-szűrőlistát használja, így nem blokkolja a jogosult számítógépektől érkező kommunikációt.
  • Kommunikáció engedélyezése az IP-biztonságot (IPSec) nem használó számítógépekkel („Nem biztonságos kommunikáció fogadása, de válasz IPSec-el” és „Nem biztonságos kommunikáció eng. IPSec nélküli számítógépekkel”). Ez olyan szűrőművelet, mely szükség esetén visszavált titkosítatlan kommunikációra. Ilyenkor is a lehető legszűkebb hatókörre korlátozza az IP-szűrőlistát. Ellenkező esetben a rendszer titkosítás nélkül küldheti az adatokat a szabály hatókörébe eső olyan kommunikáció esetén, amelynél az egyeztetés bármilyen okból sikertelen. Amennyiben aggasztja a szolgáltatási támadások visszautasítása, érdemes megfontolnia a beállítás letiltását. Azonban az IPSec használatára nem képes számítógépekkel (például a régi rendszerekkel) történő kommunikációt blokkolhatja a rendszer.
  • „A munkamenetkulcs teljes továbbítási titoktartással történő továbbításának (PFS) engedélyezése.” Meghatározza az új kulcs létrehozásának módját. A PFS engedélyezése biztosítja, hogy az átvitelt védő kulcs nem használható fel további kulcsok létrehozásához. Továbbá az ahhoz a kulcshoz használt kulcsalap sem használható fel új kulcs létrehozásához. A munkamenetkulcs esetén a PFS használata nem igényel újbóli hitelesítést, így kevesebb erőforrást használ, mintha a főkulcs esetén használja a PFS-t. Ha a munkamenetkulcs teljes továbbítási titkosítása (PFS) engedélyezve van, az új munkamenetkulcs létrehozása előtt új kulcscserét hajtanak végre a számítógépek az új kulcsalap összeállítása érdekében.
  • Biztonsági követelmények megadása („Ezeknek a biztonsági beállításoknak a használata”). Az egyeztetendő biztonsági követelmények listáját biztonsági metódusoknak nevezik. Mindegyik megadja mely algoritmusokat, biztonsági protokollokat és kulcsélettartamokat kell egyeztetni.

A szűrőműveletek beállításával kapcsolatos tudnivalókért tanulmányozza a Szűrőművelet hozzáadása vagy szerkesztése című témakört.


Az IPSec ellenőrzése a Hálózatfigyelő beépülő modul segítségével

A Hálózatfigyelő beépülő modul segítségével megtekinthető az IPSec biztonsági protokollon keresztül bonyolított forgalom. A Hálózatfigyelő bármely adott időszakban képes begyűjteni a hálózaton továbbított adatokat. A Hálózatfigyelő beépülő modul telepítésével kapcsolatos tudnivalókért tanulmányozza A Hálózatfigyelő telepítése című témakört.

  • Az AH-csomagok (hitelesítési fejléc) megtekintése

    • A Hálózatfigyelő a hitelesítési fejléccel (AH) titkosított csomagokat AH-fejlécet tartalmazó TCP-, ICMP- vagy UDP-csomagként jeleníti meg. A Következő fejléc mezőben az AH-fejléc 51-es IP-protokollként (decimálisan) jelenik meg.

  • Az ESP-csomagok (Encapsulating Security Payload) megtekintése

    • Mivel az ESP titkosítja az eredeti fejlécet, a Hálózatfigyelő ESP-csomagként jeleníti meg ezeket a csomagokat (ellentétben a TCP-, ICMP- vagy UDP-csomagokkal). Az ESP-csomagban levő adattartalom nem olvasható, mivel titkosított. A Következő fejléc mezőben az ESP 50-es IP-protokollként (decimálisan) jelenik meg. Az adatok titkosított állapotának megtekintéséhez, nézze meg a Hex ablaktáblát. Az IPSec a keretben levő ICMP és Adat mező alapján hoz létre egy ujjlenyomatot, és titkosítja a keret adatmezőit.

  • ISAKMP vagy Oakley csomagok megjelenítése

    • A Következő fejléc mezőben az ISAKMP/Oakley 500-as UDP-portként (decimálisan) jelenik meg.

Az IPSec-csomagok megtekintéséhez a Hálózatfigyelőben be kell állítani azoknak a számítógépeknek a forrás- és célcímét, amelyekkel kommunikálni szeretne. Például az A számítógép (melynek IP-címe 172.16.0.10) és a B számítógép (melynek IP-címe 172.16.0.5) közötti titkos IP-forgalom szűréséhez ezt a címpárt kell megadni a rögzítési szűrőben. A rögzítési szűrők beállításával kapcsolatos tudnivalókért tanulmányozza a Rögzítési szűrők használata és a Hálózati keretek rögzítése című témakört.

Megjegyzések

  • A Hálózatfigyelő helyett saját hálózatfigyelő program is használható, bár az feltehetően nem képes értelmezni az IP-csomagban az IPSecre vonatkozó részt.
  • A bevezetést követő ellenőrzés során kijelölhető az előre definiált IPSec-házirend, majd a ping parancs segítségével a Hálózatfigyelővel megjeleníthető forgalom generálható. Feltehetően többször kell a parancsot beírni, mivel a ping parancsnak nagyon rövid az időkorlátja, és a két számítógép között létrehozandó IPSec-hozzárendelésnek van némi késleltetése.


Hálózati biztonság

Az IP szállítási szintjén (3. hálózati szint) megvalósított IPSec magas szintű védelmet tesz lehetővé kis többletforgalom mellett. Az IPSec bevezetése nem igényli a meglévő alkalmazások vagy operációs rendszerek módosítását. Bevezethető a meglevő vállalati struktúra minden részébe:

  • Munkacsoportokba
  • Helyi hálózatokra (LAN): ügyfél-kiszolgáló, egyenrangú üzemmód
  • Távelérésre: vándorló ügyfelek; Internet-elérés; extranetek; távoli irodák.

A 3. hálózati réteg felett működő egyéb biztonsági mechanizmusok (például a Secure Sockets Layer (SSL)), csak azoknak az alkalmazásoknak nyújtanak védelmet, amelyek ismerik az SSL használatát, mint például a webböngészők. Az összes többi alkalmazást módosítani kell, ha a kommunikációt az SSL segítségével kívánja védeni. A 3. hálózati szint alatt működő biztonsági mechanizmusok (például a kapcsolatszintű titkosítás) csak a kapcsolatot védik, de az adatútvonalon belül nem feltétlenül az összes összeköttetést. Így a kapcsolatszintű titkosítás nem alkalmas a végponttól végpontig terjedő adatvédelemre az Interneten vagy útválasztót használó intranetes rendszerekben.

A 3. hálózati szinten megvalósított IPSec a TCP/IP protokollcsalád összes IP és egyéb felsőbb rétegű protokollnak védelmet nyújt, így például a TCP, UDP, ICMP, Raw (protokoll 255) protokollnak, sőt még az IP-rétegben továbbított egyedi protokolloknak is. Az ebben a rétegben történő titkosítás fő előnye, hogy az adatok átviteléhez IP protokollt használó alkalmazások és szolgáltatások az alkalmazás vagy szolgáltatás nélkül megvédhetők az IPSec használatával. (Az IP-től eltérő protokollok titkosításához a csomagokat IP protokollba kell ágyazni.)


Az IPSec-házirendügynök újraindítása

  1. A Szolgáltatások beépülő modulban kattintson duplán az IPSec-házirendügynök elemre.
  2. Kattintson az Újraindítás gombra.

Megjegyzés

  • A Szolgáltatások beépülő modul indításával kapcsolatos további tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Előfordulhat, hogy törölni kell a régi biztonsági hozzárendeléseket, a gyenge biztonsági hozzárendeléseket vagy ki kell kényszeríteni a házirend az Active Directory címtárból a tartomány ügyfeleire történő letöltését.
  • Az IPSec-házirendügynök újraindítása az IPSec-illesztőprogram újraindítását eredményezi.
  • Ha a Házirendügynök nem indul el, a sikertelenség okai az Eseménynapló segítségével vizsgálhatók.

Kapcsolódó témakörök


Érvényes IPSec-kapcsolat ellenőrzése

Érvényes IPSec-kapcsolat ellenőrzéséhez

  1. Nyissa meg a Parancssor ablakot.
  2. Írja be a ping IP_cím parancsot,

    3. ahol az IP_cím annak a számítógépnek a címe, amelyikkel kommunikálni akar.

Megjegyzések

  • Ezzel a művelettel ellenőrizhető, hogy használható-e a hagyományos, nem titkosított kommunikáció. Lehetővé teszi a hálózati problémák és az IP-biztonsággal (IPSec) kapcsolatos problémák elkülönítését.
  • A ping utasításra 4 válasznak kell érkeznie. Így ellenőrizhető, hogy lehet-e a másik féllel kommunikálni. A „Célállomás nem érhető el” üzenet azt jelzi, hogy a másik számítógéppel egyáltalán nem létesíthető kapcsolat. „A kérésre nem érkezett válasz a határidőn belül” üzenet azt jelzi, hogy a számítógéppel létesíthető kapcsolatot, de a kommunikációt blokkoló házirend van érvényben.


Az IPSec-házirend hozzárendelések tesztelése

A Kiszolgáló (biztonság kérése) vagy a Biztonságos kiszolgáló (kötelező biztonság) házirend használatakor a ping paranccsal küldött ICMP-csomag megfelel az ezekben a házirendekben található IP-szűrőlistának, és az IPSec megkísérli a titkosítás alkalmazását a ping parancsra. Ez a folyamat azonban tovább tart, mint amennyi ideig a ping parancs a válaszra vár. Így ideiglenesen a megtévesztő „A cél nem érhető el” üzenetek jelenhetnek meg. Az „Ismeretlen állomás” üzenet jelenik meg, ha a ping parancsban a számítógép DNS-nevét használja, és az aktív IPSec-házirend blokkolja a DNS-forgalmat. IP-biztonságot (IPSec) nem használó számítógéppel történő kapcsolatfelvételkor „A kérésre nem érkezett válasz a határidőn belül” üzenet jelenhet meg. Ennek elkerülése érdekében vegye ki az összes IPSec-házirendből az ICMP-forgalmat.

Az IPSec-figyelő segítségével a ping parancs eredményei is ellenőrizhetők. Sikeres ping parancs esetén megjelennek a biztonsági hozzárendelések, függetlenül attól, hogy erős vagy gyenge a biztonsági hozzárendelés.

A következő eredmények várhatók a ping parancs olyan számítógépen történő kiadása után, ahol ezek az előre definiált IPSec-házirendek vannak érvényben:

Ügyfél (csak válasz)

Művelet | Eredmény
A ping parancs kiadása IP-biztonságot (IPSec) nem használó számítógépre | Normál eredmények. Az Ügyfél (csak válasz) házirend csak biztonsági kérésre egyezteti a biztonságot.
A ping parancs kiadása IP-biztonságot (IPSec) használó számítógépre | A másik számítógép IPSec-házirendjétől függ. Ha a másik számítógép a Kiszolgáló (biztonság kérése) házirendet használja, akkor a számítógép megpróbál biztonságosan válaszolni a ping parancsra. Amennyiben a biztonsági hozzárendelés időben befejezhető, a ping parancs sikeres lesz.

Kiszolgáló (biztonság kérése)

Művelet | Eredmény
A ping parancs kiadása IP-biztonságot (IPSec) nem használó számítógépre | A biztonsági egyeztetés során kezdetben a „Cél nem érhető el” üzenet jelenik meg. Két másodperc után azonban gyenge biztonsági hozzárendelés (SA) jön létre, és a ping forgalom sikeres lesz. (Ha a ping parancsban DNS-nevet használ, a szükséges idő hosszabb lehet, mivel a DNS-feloldáshoz gyenge hozzárendelés szükséges, amelyet először létre kell hozni a DNS-kiszolgálóhoz.) A házirend alapértelmezés szerint engedélyezi a titkosítás nélküli kommunikációra való visszatérést, ha a másik számítógép nem válaszol, és a ping parancs sikeres lesz a gyenge hozzárendelés létrehozása után.
A ping parancs kiadása IP-biztonságot (IPSec) használó számítógépre | A biztonsági egyeztetés során kezdetben a „Cél nem érhető el” üzenet jelenik meg. Két másodperc után azonban egy általános gyenge biztonsági hozzárendelés jön létre, és a ping forgalom sikeres lesz. (Ha a ping parancsban DNS-nevet használ, a szükséges idő hosszabb lehet, mivel a DNS-feloldáshoz gyenge hozzárendelés szükséges, amelyet először létre kell hozni a DNS-kiszolgálóhoz.) Ha az egyeztetés sikertelen, az IPSec létrehozhat az adott célcímre vonatkozó blokkoló szűrőt. Ennek következtében a rendszer 5 percig blokkolja a forgalmat, így addig a ping parancs az időkorlát túllépését jelzi. A házirend azonban alapértelmezés szerint engedélyezi a titkosítás nélküli kommunikációra való visszatérést, ha a másik számítógép nem válaszol, és a ping parancs sikeres lesz a gyenge hozzárendelés létrehozása után.

Biztonságos kiszolgáló (kötelező biztonság)

A Biztonságos kiszolgáló (kötelező biztonság) házirenddel kapcsolatosan bemutatott mindkét esetben a ping nem képes feloldani a DNS-nevet, így a parancs sikertelen lesz, ha a DNS-kiszolgálók nem használják az IP-biztonságot (IPSec), vagy az IPSec-házirendből nincs kizárva a DNS-forgalom.

Művelet | Eredmény
A ping parancs kiadása IP-biztonságot (IPSec) nem használó számítógépre | Előfordulhat, hogy a ping parancs nem képes feloldani a DNS-nevet és az „Ismeretlen számítógép [szamítógép]” üzenet jelenik meg. Amennyiben közvetlenül a ping parancs kiadása előtt aktiválta a Biztonságos kiszolgáló (kötelező biztonság) házirendet, és a DNS-név a helyi gyorsítótárban van, akkor a nevet feloldja a rendszer, és a ping parancs azonnal négy darab a „Célszámítógép nem érhető el” üzenetet jelenít meg.
A ping parancs kiadása IP-biztonságot (IPSec) használó számítógépre | Előfordulhat, hogy a ping parancs nem képes feloldani a DNS-nevet. Ha ez sikerül, a biztonságos ping forgalom 2-4 másodperc után jön létre. Ha az sikertelen, az IPSec létrehozhat az adott célcímre vonatkozó blokkoló szűrőt. Ennek következtében a rendszer 5 percig blokkolja a forgalmat, így addig a ping parancs az időkorlát túllépését jelzi.


IPSec-házirend hozzárendelése

Internet-protokoll biztonságiházirendkezelő

Az IP-biztonsági házirendkezelő segítségével IPSec-házirendek hozhatók létre és állíthatók be a Microsoft Management Console (MMC) segédprogrammal. Segítségével kezelhető központilag a házirend (az Active Directory ügyfelek esetén), kezelhető helyileg a házirend (azon a számítógépen, amelyen a beépülő modult fut) vagy kezelhető távolról a számítógép vagy tartomány házirendje.

A beépülő modult hozzá kell adni az MMC-konzolhoz. A beépülő modul helyes beállítását varázsló segíti. A testreszabott konzol elmenthető, így bármikor újból használható.

Az Active Directory címtárban tárolt házirendek

A csoportházirend-objektum a fiókok és erőforrások elérésére, beállítására és használatára vonatkozó beállításokat határozza meg. IPSec-házirend számítógépfiók, hely, tartomány vagy szervezeti egység csoportházirend-objektumához rendelhető hozzá. Ha az IPSec-házirendet hozzárendeli az Active Directory objektum csoportházirend-objektumához, a rendszer az IPSec-házirendet minden olyan számítógépfiók részére elküldi, amelyre ez a csoportházirend-objektum vonatkozik. További tudnivalókért tanulmányozza az Active Directory – áttekintés című témakört.

Néhány dolgot szem előtt kell tartani az IPSec-házirend hozzárendelésekor.

  • Ha a számítógép tartomány tagja, a tartományi házirendhez rendelt IPSec-házirend felülírja a helyi, aktív IPSec-házirendet.
  • Az Active Directory címtárban levő szervezeti egységhez rendelt IPSec-házirend a szervezeti egység valamennyi tagja esetén felülírja a tartomány szintű házirendet, és a legalacsonyabb szintű szervezeti egység IPSec-házirendje a szervezeti egység összes tagja esetén felülírja a magasabb szintű IPSec-házirendet (és nem egyesíti a házirendeket).
  • A házirend a lehető legmagasabb szinten történő hozzárendelése biztosítja a legnagyobb hatékonyságot a legkevesebb adminisztratív teherrel.
  • Az IPSec-házirend a hozzá tartozó csoportházirend-objektum törlése után is aktív marad. A házirendobjektum törlése előtt meg kell szüntetni az IPSec-házirend hozzárendelését. Ha törli a házirendobjektumokat, és nem törli a házirend hozzárendelését, az IPSec-házirendügynök azt feltételezni, hogy a rendszer nem tudja a házirendet megkeresni, így a gyorsítótárban tárolt másolatot használja.
  • A konzisztencia biztosítása érdekében az Active Directory címtárban a csoportházirend biztonsági mentésébe vagy visszaállításába az IPSec-házirendeket is be kell foglalni.

Az IPSec-házirendügynök csak az aktív vagy a hozzárendelt IPSec-házirendek frissítését ellenőrzi és tölti le az Active Directory címtárból Az Active Directory címtárban új házirendek létrehozásakor, vagy az IPSec-házirend módosításakor és az ügyfélszámítógéphez való hozzárendelésekor a Winlogon szolgáltatás a csoportházirend változásainak következő lekérdezési ciklusában észleli ezeket a változásokat, értesíti az IPSec-házirendügynököt, majd a módosításokat végrehajtja az ügyfélszámítógépen.

Az IPSec-házirendek az Active Directory címtárban levő objektumokhoz rendelésével kapcsolatos további tudnivalókért tanulmányozza az IPSec-házirend hozzárendelése csoportházirendhez – áttekintés című témakört.

Helyi számítógép házirend

Minden Windows 2000 operációs rendszert futtató számítógépen egyetlen helyi csoportházirend-objektum található, amelyet gyakran helyi házirendnek is neveznek. A helyi csoportházirend-objektum használatával a Csoportházirend beállításai tárolhatók az egyes számítógépeken, függetlenül attól, hogy azok részei-e az Active Directory környezetnek vagy a hálózati környezetnek. Mivel ennek a beállításait a helyekkel, tartományokkal és szervezeti egységekkel társított Csoportházirend-objektumok felülírhatják, a helyi Csoportházirend-objektumnak van a legkisebb befolyásoló hatása az Active Directory környezetben. Nem hálózati környezetben (vagy Windows 2000 tartományvezérlővel nem rendelkező hálózati környezetben) a helyi Csoportházirend-objektum beállításai nagyobb jelentőségűek, mivel ezeket a Csoportházirend-objektumok nem írják felül.

A helyi IPSec-házirend kijelölésével kapcsolatos tudnivalókért tanulmányozza az IPSec-házirend aktiválása a számítógépen című témakört.

A Csoportházirend beépülő modullal kapcsolatos további tudnivalókért tanulmányozza a Csoportházirend – áttekintés című témakört.


Az IPSec-házirend tulajdonságai

IPSec-házirend alkalmazható helyi számítógépre, tartomány tagjaira, tartományra, szervezeti egységre vagy az Active Directory bármely Csoportházirend-objektumára. A szervezeti egység IPSec-házirendjét a szervezeti egység biztonsági szabályzatának írásos irányelveire kell alapozni. A házirend több biztonsági műveletet, úgynevezett szabályt tartalmazhat, így egy házirend több számítógépre is vonatkozhat.

Az IPSec-házirend két fő helyen tárolható:

  1. Az Active Directory címtárban
  2. A helyi rendszerleíró adatbázisban különálló számítógépek, valamint azon számítógépek esetén, amelyek nem mindig részei egy meghatalmazott Windows 2000 tartománynak. Ha a számítógép átmenetileg nem kapcsolódik a meghatalmazott Windows 2000 tartományhoz, a házirendet a helyi rendszerleíró adatbázisban tárolja a rendszer. További tudnivalókért tanulmányozza az Active Directory – áttekintés című témakört.

A Windows tartalmaz olyan előre definiált házirendeket, amelyek aktiválhatók, az igények szerint módosíthatók vagy egyedi házirend létrehozásához sablonként használhatók. Az összes elkészített házirendnek meg kell felelnie a biztonsági terv egy adott részének. DHCP-kiszolgáló, DNS-, WINS-, SNMP- vagy távelérés-kiszolgáló házirendjének kijelölésekor speciális beállításokat kell használni.

A Csoportházirendben

Az Active Directory címtárban levő Csoportházirend-objektumhoz rendelt IPSec-házirend a Csoportházirend részévé válik, és a Csoportházirend minden közzétételekor a rendszer továbbítja a tagszámítógépekre. A Csoportházirend beépülő modullal kapcsolatos további tudnivalókért tanulmányozza a Csoportházirend – áttekintés című témakört.

Az IPSec-házirend az Active Directory címtárban történő hozzárendelésekor tartsa szem előtt a következőket:

  • Tartományházirendhez rendelt IPSec-házirend csak akkor írja felül az aktív, helyi IPSec-házirendet, ha a számítógép a tartományhoz kapcsolódik.
  • A szervezeti egységhez rendelt IPSec-házirend a szervezeti egység összes számítógépén felülírja a tartományházirendhez hozzá rendelt IPSec-házirendet. A legalacsonyabb szintű szervezeti egységhez rendelt IPSec-házirend a szervezeti egység összes számítógépén felülírja a magasabb szintű szervezeti egységhez rendelt IPSec-házirendet.

Az IPSec-házirend megadásával kapcsolatos tudnivalókért tanulmányozza az IPSec-házirend hozzáadása vagy szerkesztése című témakört.


Az IPSec-házirendügynök

Az IPSec-házirendügynök a rendszerszolgáltatások listájában megjelenő, a Windows 2000 operációs rendszert futtató valamennyi számítógépen megtalálható mechanizmus. A házirendügynök lekérdezi az aktív IPSec-házirend adatait, és átadja azoknak az IPSec-mechanizmusoknak, amelyek számára ezek az adatok szükségesek a biztonsági szolgáltatások végrehajtásához.

IPSec-házirendügynök

A rendszer indításakor a házirendügynök automatikusan elindul. Ha nincs aktív IPSec-házirend, vagy a házirendügynök valami miatt nem tud kapcsolódni az Active Directory címtárhoz, a házirendügynök folytatja a kijelölt házirend lekérését az Active Directory címtárból vagy megkeresi a rendszerleíró adatbázisban a helyileg kijelölt házirendet.


Házirendekre épülő biztonság

A titkosításra épülő erősebb biztonsági metódusok nagyon megnövelhetik az adminisztratív terhelést. Az IP-biztonság (IPSec) esetében a Windows 2000 ezt a csapdát a házirendekre épülő adminisztrációval kerüli el.

Alkalmazások vagy az operációs rendszer helyett az IPSec-házirendekkel állítható be. A hálózati biztonságot kezelő rendszergazdák különböző szintű IPSec-házirendeket állíthatnak be, amelyek egyetlen számítógépre, Active Directory tartományra, helyre vagy szervezeti egységre vonatkoznak. Az IPSec-házirendek létrehozásához és kezeléséhez a Windows 2000 központi kezelőkonzolt biztosít. Ez az IP-biztonsági házirendkezelő beépülő modul. A házirendek a legtöbb típusú forgalom esetén a legtöbb meglévő hálózatban különböző szintű védelmet biztosíthatnak.


Az IPSec-összetevők újratelepítése

Az IPSec összetevőkhöz (például az ISAKMP/Oakley összetevőhöz, az IPSec-házirendügynökhöz vagy az IPSec-illesztőprogramhoz) szükséges fájlok törlése esetén a TCP/IP eltávolításával és újratelepítésével az IPSec-összetevők is újratelepíthetők. Az IPSec-összetevőket az IP-protokoll részeként telepíti újra a rendszer. Az Internet-protokoll eltávolításához és újratelepítéséhez kapcsolódó műveletekkel kapcsolatos tudnivalókért tanulmányozza A TCP/IP eltávolítása című témakört.


Az IP-biztonsággal (IPSec) kapcsolatos RFC dokumentumok

Az RFC dokumentumok az internetes közösség által használt jelentések, protokolljavaslatok és protokollszabványok fejlődő gyűjteménye. Az IPSec-szabvány leírását az Internet Engineering Task Force (IETF) és egyéb munkacsoportok által kiadott RFC dokumentumok tartalmazzák.

Az IP-biztonsággal (IPSec) kapcsolatos RFC dokumentumok

  • RFC 1828: IP Authentication using Keyed MD5 (IP-hitelesítés kulcshasználatra épülő MD5 séma alapján)
  • RFC 1829: The ESP DES-CBC Transform (Az ESP DES-CBC átalakítás)
  • RFC 2085: HMAC-MD5 IP Authentication with Replay Prevention (HMAC-MD5 IP-hitelesítés ismétlési védelemmel)
  • RFC 2104: HMAC: Keyed Hashing for Message Authentication (Kulcshasználatra épülő ujjlenyomat-kezelés üzenethitelesítéséhez)
  • RFC 2401: Security Architecture for the Internet Protocol (Az IP biztonsági architektúrája)
  • RFC 2402: IP Authentication Header (IP hitelesítési fejléc)
  • RFC 2403: The Use of HMAC-MD5-96 within ESP and AH (A HMAC-MD5-96 használata az ESP és az AH protokollal)
  • RFC 2404: The Use of HMAC-SHA-1-96 within ESP and AH (A HMAC-SHA-1-96 használata az ESP és az AH protokollal)
  • RFC 2406: IP Encapsulating Security Payload (ESP)
  • RFC 2407: The Internet IP Security Domain of Interpretation for ISAKMP (Az Internet IP biztonsági tartomány értelmezése az ISAKMP esetén)
  • RFC 2411: IP Security Document Roadmap (IP-biztonsággal kapcsolatos dokumentumok ütemterve)

Az IPSec-architektúrával és mechanizmusokkal kapcsolatos legújabb internetes dokumentumok az IPSec témakörrel foglalkozó webhelyeken találhatók.


Szabályok

Az IPSec-szabályok határozzák meg, mikor és hogyan titkosítja a rendszer a kommunikációt. Minden szabály tartalmaz egy szűrőlistát, és azokat a szűrőműveleteket, amelyeket akkor hajt végre a rendszer, ha egyezést észlel a listával.

  • IP-szűrőlisták
  • Szűrőműveletek
  • Az IPSec biztonsági eljárásai
  • IPSec-hitelesítés
  • IPSec-bújtatás
  • IPSec-kapcsolattípusok
  • Speciális IPSec-beállítások


IPSec biztonsági terv készítése

Legyen szó egy nagy tartományról vagy egy kis munkacsoportról, az IPSec bevezetése során meg kell találni azt az egyensúlyt, amely a legtöbb felhasználó számára biztosítja az adatok könnyű elérhetőségét, viszont biztosítja az érzékeny adatok illetéktelen hozzáféréstől való védelmét is.

A megfelelő egyensúly megtalálásához a következők szükségesek:

  • A kockázatok felmérése és a szervezet számára a megfelelő biztonsági szint meghatározása.
  • Az értékes adatok behatárolása.
  • Olyan biztonsági házirendek kialakítása, amelyek kockázatkezelő feltételekre épülnek, és védik a kijelölt adatokat.
  • Annak megállapítása, hogyan valósítható meg legjobban a házirend a meglevő szervezeten belül.
  • A vezetési és technológiai követelmények biztosítása.
  • A felhasználóknak biztonságos és hatékony elérés biztosítása az igényeinek megfelelő, szükséges erőforrásokhoz.

A biztonsági szempontokat a számítógépek felhasználásának módja is befolyásolja. Például eltérő biztonságot kell alkalmazni a tartományvezérlőn, a webkiszolgálón, a távelérés-kiszolgálón, a fájlkiszolgálón, az adatbázis-kiszolgálón, a helyi és a távoli ügyfélen. A Windows 2000 biztonsági keretrendszere megfelel a legszigorúbb biztonsági követelményeknek is. A szoftver önmagában azonban kevésbé hatékony, ha nincs gondos tervezés és felmérés, nincsenek hatékony biztonsági útmutatások, nincs megkövetelve az útmutatások betartása, nincs auditálás, nem ésszerűen van megtervezve és kijelölve a biztonsági házirend.

Nem lehet pontos definíciót adni a normál biztonság méréséhez. Ezek a szervezet házirendjétől és infrastruktúrájától függően rendkívül különbözőek lehetnek. Az IPSec bevezetésének tervezésekor a következő biztonsági szintek vehetők általános kiindulási alapnak:

  • Minimális biztonság

    • A számítógép nem forgalmaz érzékeny adatokat. Az IPSec alapértelmezés szerint nem aktív. Az IPSec letiltásához nem szükséges adminisztratív művelet.

  • Normál biztonság

    • A számítógépek, főleg a fájlkiszolgálók érzékeny adatokat tárolhatnak. A kiegyensúlyozott biztonsághoz szükséges, hogy a jogosult felhasználók munkavégzését ne akadályozza. A Windows 2000 rendelkezik olyan előre definiált IPSec-házirendekkel, amelyek védik az adatokat, de nem szükségszerűen a legmagasabb szintű biztonsággal. Ügyfél (csak válasz) és Kiszolgáló (biztonság kérése). Ezek, és az ehhez hasonló egyéni házirendek a biztonság csökkentése nélkül optimalizálják a hatékonyságot.

  • Nagy biztonság

    • Olyan nagyon érzékeny adatokat tároló számítógépek, amelyek esetén megvan az adatlopás kockázata, a rendszer véletlenszerű vagy rosszindulatú tönkretételének veszélye (különösen távoli telefonos eléréskor), illetve fennáll a nyilvános hálózatokon történő kommunikáció veszélye. Biztonságos kiszolgáló (kötelező biztonság) – olyan előre definiált házirend, amely az összes küldött és fogadott forgalom esetén megköveteli az IPSec-védelemet. A Biztonságos kiszolgáló (kötelező biztonság) magában foglalja az erős titkosítást, az integritási algoritmust, a teljes továbbítási titoktartást, a kulcsélettartamokat és -korlátokat, valamint erős Diffie-Hellman csoportokat. Sikertelen biztonsági egyeztetés esetén, illetve az IP-biztonságot (IPSec) nem használó számítógépekkel történő titkosítatlan kommunikáció esetén a rendszer blokkolja a kommunikációt.


IPSec biztonsági protokollok

A biztonsági protokollok adat- és integritásvédelmet biztosítanak minden IP-csomag számára. A Windows 2000 IPSec-szolgáltatása az AH- (Authentication Header) és az ESP-protokoll (Encapsulating Security Payload) segítségével biztosítja ezeket a szolgáltatásokat.

  • Hitelesítési fejléc (AH)

    • A hitelesítési fejléc (AH) hitelesítést, integritást és visszajátszás elleni védelmet biztosít a teljes csomag számára (az IP-fejlécnek és a csomagban levő adatoknak egyaránt). Az AH aláírással látja el a teljes csomagot. Mivel az adatokat nem titkosítja, így titkosságot nem biztosít. Az adat olvasható, de védett a módosítástól. Az AH a csomag aláírásához a HMAC-algoritmust használja.

    Például az A számítógépen dolgozó Aliz adatokat küld a B számítógépen dolgozó Róbertnek. Az aláírás az IP-fejlécet, az AH-fejlécet és az adatokat egyaránt megvédi a módosítástól. Ez azt jelenti, hogy Aliz biztos lehet abban, hogy aki az adatot küldte, az Róbert volt, és az adat nem módosult az átvitel során.

    Hitelesítési fejléc (AH)

    A hitelesítés és az integritás biztosításának érdekében az AH-fejléc az IP-fejléc és az átviteli protokoll (TCP vagy UDP) fejléce közé kerül.

  • ESP-protokoll (Encapsulating Security Payload)

    • Az ESP a hitelesítés, az integritás és a visszajátszás elleni védelem mellett titkosságot is biztosít.

    Az ESP csak akkor látja el aláírással a teljes csomagot, ha azt bújtatáson keresztük továbbítja a rendszer. Alaphelyzetben csak az adat védett, az IP-fejléc nem.

    Például az A számítógépen dolgozó Aliz adatokat küld a B számítógépen dolgozó Róbertnek. Az adatokat tikosítja a rendszer, mivel az ESP erről gondoskodik. Megérkezéskor az ellenőrzési folyamat befejezése után a rendszer a csomag adatrészét visszafejti. Aliz biztos lehet abban, hogy valóban Róbert küldte az adatokat, az adat az átvitel során nem módosult és senki sem tudta elolvasni.

    ESP (Encapsulating Security Payload)

    A titkosítás biztosításának érdekében az ESP-fejléc az IP-fejléc és az átviteli protokoll (TCP vagy UDP) fejléce közé kerül.

Tapasztalt felhasználók az IPSec-házirend biztonsági metódusainak beállításakor kiválaszthatják, milyen protokollt kívánnak használni a kommunikációhoz. Biztonsági metódusok beállításával kapcsolatos tudnivalókért tanulmányozza a Biztonsági metódus hozzáadása vagy szerkesztése című témakört.


IPSec biztonsági metódusok

A biztonsági metódus azokat a biztonsági követelményeket határozza meg, amelyek azokra a kapcsolatokra érvényesek, amelyekre a metódushoz rendelt szabály vonatkozik. Több biztonsági metódus létrehozása esetén nagyobb az esélye annak, hogy a két számítógép rendelkezik közös metódussal.

Az ISAKMP/Oakley szolgáltatás csökkenő erősségi sorrendben olvassa be és egyezteti a biztonsági metódusokat a másik féllel. Az egyeztetés addig zajlik, amíg közös metódust nem találnak.

Előre elkészített biztonsági metódusok

  • Magas. Ez a metódus az ESP protokoll segítségével titkosságot (adattitkosítást), hitelesítést, visszajátszás elleni védelmet és integritást biztosít, így megfelelő, ha nagyfokú biztonság szükséges. Az ESP nem biztosítja az IP-fejléc (címzés) integritását. Az adat- és a címzési biztonság együttes biztosítására egyéni biztonsági metódus hozható létre. Ha nincs szükség titkosításra, akkor használható a Közepes beállítás.
  • Közepes. Az AH-protokoll (hitelesítési fejléc) segítségével biztosítja az integritást, a visszajátszás elleni védelmet és a hitelesítést. Ez akkor alkalmazható, ha a biztonsági terv normál szintű biztonságot ír elő. Az AH egyaránt biztosítja az IP-fejléc és az adatok integritását, de nem titkosítja az adatokat.

Egyéni biztonsági metódusok

Tapasztalt felhasználók létrehozhatnak egyéni biztonsági metódusokat, ha a titkosítás és a címzési integritás egyaránt szükséges, erősebb algoritmusok szükségesek vagy be kell állítani kulcsélettartamokat:

  • Biztonsági protokollok

    • Az egyéni biztonsági metódusban az AH- és az ESP-protokoll egyaránt engedélyezhető, amennyiben az IP-fejléc integritására és az adattitkosításra egyaránt szükség van. Mindkettő engedélyezése esetén az ESP-protokoll számára nem kell második integritási algoritmust beállítani, mivel az AH-protokollhoz kiválasztott algoritmus gondoskodik az integritásról.

  • Integritás
    • MD5 (Message Digest), mely 128 bites kulcsot hoz létre.
    • Biztonságos ujjlenyomat-algoritmus (SHA), mely 160 bites kulcsot hoz létre. A hosszabb kulcs magasabb szintű biztonságot nyújt, így az SHA biztonságosabbnak számít.
  • Titkosítás
    • A 3DES a legbiztonságosabb DES-beállítás, bár a teljesítménye kicsit kisebb. A 3DES minden blokkot háromszor dolgoz fel, minden alkalommal egyedi kulcs segítségével.
    • A DES titkosítást akkor célszerű használni, ha nem szükséges a 3DES által biztosított nagy biztonság és többletterhelés, vagy az együttműködés miatt szükséges. A DES 56 bites kulcsalapot használ.
  • Kulcs élettartama

    • A kulcsélettartam a kulcs létrehozási módja helyett azt adja meg, hogy mikor jön létre új kulcs. Kulcsélettartam megadható kilobájtban, másodpercben vagy mindkettőben. Például ha a kommunikáció 100 000 másodpercig tart, a kulcsélettartam 10 000 másodperc, akkor az átvitel során 10 kulcsot hoz létre a rendszer. Ez biztosítja azt, hogy ha a támadó visszafejti a kommunikáció egy részét, akkor sem juthat hozzá a kommunikáció egészéhez. A kulcsok automatikus létrehozása alaphelyzetben használható, és az igények szerint beállítható. Ne feledje azonban, hogy bármelyik kulcs élettartamának lejárta után a kulcs frissítésén vagy újbóli létrehozásán kívül a biztonsági hozzárendelés újbóli egyeztetését is végre kell hajtani.

Együttműködés a titkosítási beállítások között

Ha az IPSec garantálja a biztonságot egy Windows 2000 operációs rendszert és High Encryption Pack csomagot használó számítógép és egy 3DES-t nem használó másik számítógép között, akkor a biztonsági metódusok között szerepelnie kell a DES titkosításnak. Ellenkező esetben a kommunikációban részt vevő számítógépek a biztonsági egyeztetés során nem képesek közös módszert egyeztetni. Ha nem szükséges az adatok titkosítása, akkor választható a csupán integritást biztosító ESP formátum, és a titkosítás esetén kiválasztható a Nincs beállítás. Akár az AH formátum és egy integritási algoritmus is kiválasztható.

Biztonsági metódusok beállításával kapcsolatos tudnivalókért tanulmányozza a Biztonsági metódus hozzáadása vagy szerkesztése című témakört.


IPSecre épülő virtuális magánhálózat

A beágyazásból, útválasztásból és a beágyazás megszűntetéséből álló teljes folyamatot nevezik bújtatásnak. A bújtatás elrejti, azaz beágyazza az eredeti csomagot egy új csomag belsejébe. Az új csomag új címzési és útválasztási adatokat kaphat, amely lehetővé teszi az új csomag továbbítását a hálózaton. A bújtatás és a titkosság együttes használatakor az eredeti csomagban levő adatok (az eredeti forrás és cél címe) nem látható a hálózat megfigyelésekor. A hálózat bármilyen összetett hálózat lehet: privát intranet vagy az Internet. Ha a beágyazott csomag eléri a célját, a beágyazási fejlécet eltávolítja a rendszer, és a végcélhoz vezető útvonalat az eredeti fejléc alapján határozza meg.

A bújtatás az a logikai adatútvonal, amelyen keresztül a beágyazott csomag eléri célját. Az eredeti küldő és címzett fél számára a bújtatás általában átlátszó, és úgy jelenik meg, mint bármilyen más pont-pont közötti hálózati útvonal. A feleknek nem kell foglakozniuk a bújtatás belépési és kilépési pontja között elhelyezkedő útválasztókkal, kapcsolókkal, proxykiszolgálókkal vagy más biztonsági átjárókkal. A bújtatás és a titkosság együttes alkalmazásával virtuális magánhálózatok (VPN) is létrehozhatók.

A Windows 2000 operációs rendszerben kétféle bújtatás használja az IPSecet:

  1. A Layer 2 Tunneling Protocol (L2TP/IPSec), amellyel az L2TP bármilyen típusú hálózati forgalom esetén végrehajtja a beágyazást és a bújtatáskezelést, valamint az IPSec átviteli mód biztosítja az L2TP bújtatott csomagok biztonságát.
  2. Az IPSec bújtatási mód, amely esetén az IPSec maga végzi el kizárólag az IP-forgalom beágyazását.

Bármelyik típusú bújtatás használata előtt alaposan meg kell ismerni a használni kívánt funkciót. További tudnivalókért tanulmányozza a Windows 2000 Resource Kit csomag „Virtual Private Networking and IPSec” (A virtuális magánhálózatok és az IPSec) című témakörét.

A bújtatott csomagokat a rendszer a hálózaton az alagút belsejében továbbítja. (Ebben a példában a hálózat az Internet.) Az átjáró lehet a külvilágot a magánhálózattól elválasztó határon található átjáró – például útválasztó, tűzfal, proxykiszolgáló vagy más biztonsági átjáró. A magánhálózaton belül is használható két átjáró a hálózat kevésbé megbízható részei közötti forgalom védelme érdekében.

Az L2TP és az IPSec

Az IPSec és az L2TP együttes alkalmazásával bármilyen hálózaton bújtatáson keresztül titkosítva továbbíthatók az IP, IPX vagy más hálózati protokoll csomagjai. Az IPSec az L2TP nélkül is képes a bújtatást biztosítani, de ez csak abban az esetben ajánlott, ha valamelyik átjáró nem támogatja az L2TP használatát.

Az L2TP az eredeti csomagokat beágyazza a PPP keretbe, ha lehetséges tömörítést hajt végre, majd beágyazza az 1701-es porthoz rendelt UDP típusú csomag belsejébe. Mivel az UDP IP-csomagformátumot használ, így az L2TP az L2TP bújtatás felhasználói konfigurációjában megadott biztonsági beállításoknak megfelelően az IPSec alkalmazásával automatikusan gondoskodik a bújtatás biztonságáról. Az IPSec Internet Key Exchange (IKE) protokoll alapértelmezés szerint bizonyítvány alapú hitelesítésen keresztül végzi el az L2TP bújtatás biztonsági egyeztetését. Ez a hitelesítés a számítógép (és nem a felhasználó) bizonyítványait használja annak ellenőrzésére, hogy a kiindulási és a célként megadott számítógép megbízik-e egymásban. Az IPSec továbbítás biztonságának sikeresen felépítése után az L2TP egyezteti a bújtatást (például a tömörítés és a felhasználói hitelesítés beállításait), és a felhasználó azonosító adatai alapján végrehajtja a hozzáférés ellenőrzését. Így az L2TP/IPSec a legkönnyebben, legrugalmasabban és legszélesebb körben használható biztonságos bújtatási megoldás az ügyfélről táveléréssel használt virtuális magánhálózatok és az átjárók közötti VPN bújtatás számára.

Az L2TP/IPSec virtuális magánhálózat távelérésű ügyfeleinek konfigurálása a Hálózati és telefonos kapcsolatok ablak segítségével végezhető el. A virtuális magánhálózat távelérés-kiszolgáló és az átjárók közötti alagutak konfigurálása az Útválasztás és távelérés konzol segítségével végezhető el.

A bújtatott csomag felépítése az L2TP és az IPSec együttes alkalmazásakor

Az eredeti, az ábrán IP- vagy IPX-fejlécként jelölt csomagfejléc hordozza az eredeti és végleges forrás- és célcímet (a magánhálózaton használt címeket), és az ábrán Új IP-fejlécként jelölt külső IP-fejléc tartalmazza a bújtatott végpontok forrás- és célcímét (a nyilvános hálózaton használt címek). Az L2TP-fejléc a bújtatás vezérlési adatait tartalmazza. A PPP-fejléc azonosítja az eredeti csomag protokolltípusát, például IP vagy IPX. Az L2TP/IPSec-kel kapcsolatos további tudnivalókért a Windows 2000 Server súgójában tanulmányozza a Hálózati és telefonos kapcsolatok című témakört.

IPSec-bújtatás

Az IPSec bújtatási mód használata elsősorban az L2TP/IPSec vagy a PPTP virtuális magánhálózati bújtatási technológia használatát nem támogató útválasztókkal, átjárókkal és végponti rendszerekkel való együttműködés miatt szükséges. Az IPSec bújtatási mód speciális szolgáltatásként csak átjárók közötti bújtatást alkalmazó forgatókönyvekben, és bizonyos kiszolgálók közötti vagy kiszolgáló-átjáró konfigurációkban használható. A Windows 2000 Resource Kit csomag IPSecet bemutató fejezetében részletesen megtalálhatók ezek a forgatókönyvek és konfigurációk. Az IPSec bújtatási mód használata előtt ezeket a tudnivalókat el kell sajátítani. Az IPSec bújtatási mód nem használható a virtuális magánhálózatot táveléréssel használó ügyfelek esetén. Az ügyfelek által táveléréssel használt virtuális magánhálózatok esetén az L2TP/IPSec vagy a PPTP alkalmazható.

Bújtatási módban mindkét IPSec-csomagformátum használható:

  • ESP-bújtatás mód

    • Az eredeti IP-fejléc (mely az eredeti csomagfejléc) általában az eredeti forrás- és célcímet, míg a külső IP-fejléc általában a biztonsági átjárók forrás- és célcímét tartalmazza. Az ESP-bújtatási formátum mindig erős integritást és hitelesítést biztosít a bújtatáson keresztül továbbított forgalom számára. Az ESP-bújtatás főként a bújtatott csomagok DES vagy 3DES titkosítással történő titkosítására használható. A titkosítási szint a bújtatáshoz tartozó szabály szűrőműveletei között adható meg, így beállítható titkosítást nem használó kommunikáció is, ha a bújtatáson keresztül továbbított forgalom nem igényel titkosságot.

    ESP-bújtatás mód

    Az előző ábrán az eredeti forrás- és célcímet a rendszer beágyazta az új IP- és ESP-fejlécbe. A megjelölt terület jelzi azt a helyet, ahol a csomagot az integritás védi. A titkosított terület jelzi azt a szakaszt, ahol a teljes csomag titkosítva van.

    Az új IP fejléc adatai alapján továbbítható a csomag a forráscímről a bújtatás végpontjáig, amely általában egy biztonsági átjáró. Az új IP ESP-fejlécet nem védi az integritási ujjlenyomat. Ez az IETF RFC koncepció, amely szükség esetén további szolgáltatások biztosítása érdekében lehetővé teszi a hálózati komponensek számára a csomagfejléc módosítását, például a forrás vagy a cél IP-címének módosítását, illetve a csomag prioritásának megemelését.

  • AH-bújtatás mód

    • Az AH-bújtatás mód nem titkosítja a bújtatást, csak erős integritást és hitelesítést biztosít.

    AH-bújtatás mód

    Az integritásvédelem a teljes csomagot – az új bújtatási fejléccel együtt – megjelöli. Így a forrás- vagy célcím nem módosítható, miután a bújtatás kiindulási pontja elküldte az üzenetet. Az IETF RFC koncepció a hálózati komponensek számára továbbra is lehetővé teszi az új IP-fejléc néhány mezőjének módosítását, például bizonyos csomagokhoz prioritás megadását, és az elveszett vagy régi csomagok törlését. Az ESP és az AH együttes alkalmazásával biztosítható olyan bújtatás, amely integritásvédelemmel látja el a teljes csomagot, és biztosítja az eredeti IP-csomag titkosítását.

Az IPSec bújtatások segítségével „kizárólag az IP-forgalom” tehető biztonságossá. A bújtatás beállítható két IP-cím vagy két IP-alhálózat közötti forgalom védelmére. Ha a bújtatást két átjáró helyett két állomás között hozza létre, akkor a külső és a belső IP-cím megegyezik. A Windows 2000 rendszerben az IPSec nem támogatja a protokollfüggő, portfüggő vagy alkalmazásfüggő bújtatás használatát. A beállítások az IPSec-házirend beépülő modulban végezhetők el a bújtatáson keresztül továbbított forgalmat leíró szűrőt tartalmazó biztonsági szabály megadásával, a bújtatást védő szűrőművelet beállításával és a bújtatás végpontjain használt hitelesítési módszer kiválasztásával. A hitelesítés három típusa használható: bizonyítványok, előre megosztott kulcsok és a Kerberos hitelesítés.

Az IPSec-házirendbújtatással kapcsolatos általános tudnivalókért tanulmányozza az IPSec-bújtatás című témakört. Az IPSec bújtatás beállításával kapcsolatos tudnivalókért tanulmányozza az IPSec bújtatási alagút megadása című témakört.


IPSec-bújtatás

Az Alapvető tudnivalók az IPSec-bújtatásról című témakörben bemutatott módon az IPSec segítségével létrehozható 3. rétegbeli bújtatás abban az esetben, ha az L2TP nem használható.

Távoli kommunikáció bújtatáson keresztül

A fogadó számítógép a küldő részére az IPSec-alagút végpontja. Ebben a példában a távoli átjáró képviseli az alagút végpontját a távoli ügyfél IPSec-házirendjében, és fordítva.

A távoli kommunikációhoz Layer 2 Tunneling Protocol (L2TP) használatakor, az alagút konfigurálásakor a Nincs IPSec bújtatás beállítást kell kiválasztani, amely az alapértelmezett beállítás.

Az együttműködés érdekében IPSec-bújtatás használata esetén ha egyik fél sem képes futtatni az L2TP protokollt, akkor az alagút a következőképpen állítható be az összes szabályhoz. Ezek a beállítások:

  • Ez a szabály nem IPSec alagutat ír le (alapértelmezett). Nem teszi lehetővé az IPSec-bújtatást azokban a kapcsolatokban, amelyre a szabályhoz vonatkozik.
  • A bújtatás végpontját a következő IP-cím írja le.

Az IPSec-alagút beállításával kapcsolatos tudnivalókért tanulmányozza az IPSec bújtatási alagút megadása című témakört.


Az IPSec-házirend segédprogramjai

Számos segédprogram áll rendelkezésre az általános, az IPSec-házirend adminisztrációjával kapcsolatos feladatokhoz. A következő feladatok mindegyike elvégezhető az IP-biztonsági házirendkezelő beépülő modulban is.

Alapértelmezett házirend visszaállítása

Ezzel a segédprogrammal visszaállítható az IPSec-házirend eredeti, előre elkészített állapota, ha az elvégzett módosítások vagy törlések már nem vonhatók vissza. Az alapértelmezett házirendekben és szabályokban végzett módosítások elvesznek. További tudnivalókért tanulmányozza Az előre elkészített beállítások visszaállítása című témakört.

Házirend importálása/exportálása

A segédprogram lehetővé teszi a házirendek könnyű áthelyezését egyik számítógépről a másikra, ha a számítógépek nem kapcsolódnak tartományhoz (például egy munkacsoportban). Így nem kell a munkacsoport minden tagjánál újból kézzel létrehozni a házirend-beállításokat. Lehetővé teszi az aktuális házirend biztonsági mentését is a jövőbeni esetleges visszaállítás érdekében. További tudnivalókért tanulmányozza az IPSec-házirend exportálása vagy az IPSec-házirend importálása című témakört.

Házirend integritásának ellenőrzése

Ezzel a segédprogrammal ellenőrizhető, hogy megfelelőek-e a házirend beállításainak módosításai. Ez a Csoportházirendhez rendelt, majd a Csoportházirend-objektumhoz tartozó számítógépek számára továbbított házirendek esetén végezhető el. Amennyiben a rendszer a Csoportházirend-objektumhoz rendelt házirendet nem továbbította a Csoportházirend-objektumhoz tartozó számítógépek között, ez a feladat egy jó hibaelhárítási lépés, különösen akkor, ha több rendszergazda végzi az IPSec-házirendek szerkesztését és hozzárendelését. További tudnivalókért tanulmányozza A házirend integritásának ellenőrzése című témakört.


Az IPSec-házirend hozzárendelésének ellenőrzése

A következő eszközökkel ellenőrizhető, hogy aktív-e kijelölt házirend.

IPSec-figyelő

  1. Kattintson a Start menü Futtatás parancsára.
  2. Írja be az ipsecmon Szamítógép_neve parancsot.

Az IPSec-figyelő segédprogram megjelenése után a párbeszédpanel jobb alsó sarkában látható üzenet jelzi, hogy engedélyezve van-e a számítógépen az IPSec. Az IPSec engedélyezéséhez házirendet kell kijelölni. Az IPSec-figyelő segédprogram Biztonsági hozzárendelések listájában csak akkor látható házirend, ha jelenleg van aktív biztonsági hozzárendelés egy másik számítógéphez.

Biztonsági beállítások

Az érvényben levő helyi házirendek a Csoportházirend beépülő modul konzolján a biztonsági beállítások és a számítógépen jelenleg érvényben levő házirendek megnyitásával jeleníthető meg. További tudnivalókért tanulmányozza az Érvényben levő biztonsági beállítások megjelenítése című témakört. Az IPSec-házirend hozzárendelésével kapcsolatos tudnivalókért tanulmányozza az IPSec-házirend hozzárendelése a csoportházirendhez – áttekintés vagy az IPSec-házirend aktiválása a számítógépen című témakört.

Az Eseménynapló beépülő modul és a biztonsági napló

Az IPSec-házirendügynök házirendjének forrását bejegyzések elhelyezésével jelzi a rendszernaplóban. Jelzi az aktív házirendben az Active Directory címtárban található házirendek változásának ellenőrzésére beállított lekérdezési intervallumot is. A helyi számítógép aktív IPSec-házirendjét módosító rendszergazda azonnal életbe léptetheti a módosításokat.

Az Eseménynapló megtekintésekor megjelenik az is, hogy a számítógép helyi házirendet vagy az Active Directory címtárban található házirendet használja-e. Speciálisan az IPSec-házirendügynök által a rendszernaplóba bejegyzett információs bejegyzések.

További tudnivalókért tanulmányozza Az Eseménynapló beépülő modul és a biztonsági napló című témakört.

TCP/IP-tulajdonságok

A TCP/IP tulajdonságainak megjelenítésekor látható az aktív IPSec-házirend. Ha a számítógép helyi IPSec-házirendet futtat, a név módosítható formában jelenik meg. Ha a számítógép Csoportházirenden keresztül hozzárendelt házirendet futtat, a név jelenik meg és nem módosítható.


Az IPSec témakörrel foglalkozó webhelyek

A következő webhelyek Internet-biztonsággal (IPSec) kapcsolatos hivatkozásokat tartalmaznak:

  • Az International Engineering Task Force webhelye. Az IETF webhelyén található IPSec munkacsoport lapja RFC dokumentumokra, internetes dokumentumokra és más, az Internet-biztonsággal (IPSec) kapcsolatos helyekre mutató hivatkozásokat tartalmaz.
  • A Windows 2000 biztonsági szolgáltatásainak használatával kapcsolatos legfrissebb javaslatok a Microsoft webhelyén elérhető, a Microsoft biztonsági útmutatásait tartalmazó webhelyen találhatók. (http://www.microsoft.com/)
  • Az IPSechez kapcsolódó szabványokkal és technológiákkal, valamint a számítógép-biztonsággal kapcsolatos tudnivalókért látogassa meg a National Institute of Standards and Technology Information Technology Laboratory számítógépes biztonsággal foglalkozó divíziójának webhelyét.

Megjegyzés


IP-biztonság: alapvető tudnivalók

Az IP-biztonság (IPSec):
  • Hosszú távon a biztonságos hálózatkezelés jövője.
  • A magánhálózatot és az Internetet érő támadások elleni agresszív védekezés a könnyű használhatóság megőrzése mellett.
  • Titkosításon alapuló védelmi szolgáltatásokból és biztonsági protokollokból álló csomag.
  • Végponttól végpontig tartó biztonság. A kommunikációban részt vevő számítógépek közül az IPSec-védelemről csak a küldő és a fogadó számítógépnek kell tudnia.
  • Biztosítható a munkacsoportok, a helyi hálózat számítógépei, a tartomány ügyfelei és kiszolgálói, a fizikailag esetleg távol levő fiókirodák, az extranetek és a vándorló ügyfelek közötti kommunikáció védelme, valamint a számítógépek távoli adminisztrációja.

A Windows 2000 operációs rendszerben megvalósított IPSec az IETF (Internet Engineering Task Force) IPSec munkacsoportja által kidolgozott ipari szabványon alapul.


Az IPSec-házirend helyével kapcsolatos hiba

Ilyen hiba akkor keletkezik, ha a házirendügynök érvénytelen tárolóhelyről próbálja meg letölteni a házirendet. A házirend letöltési helyének meghatározása és a hiba javítása:

  1. Az Eseménynapló beépülő modullal, a biztonsági napló vizsgálatával. (Az Eseménynapló beépülő modullal kapcsolatos tudnivalókért tanulmányozza az Eseménynapló megtekintése című témakört.) Az Active Directory címtárban tárolt házirend használata esetén a lekérdezési eseményeknek meg kell jelenniük.
  2. Amennyiben tartományházirend helyett helyi házirendet kíván használni:
    • Jelentkezzen ki a tartományból és indítsa újra a számítógépet.
    • A könyvtárban helyezze át az alkalmazott Csoportházirend-objektumot, így nem kapja meg a tartományházirendet.
  3. Ellenőrizheti a házirendügynök naplóját is. Előfordulhat, hogy ehhez be kell kapcsolni a rendszerleíró adatbázis naplóra vonatkozó beállításait.
  4. Nézze meg a Rendszergyökér\IPSecPA.log fájlt egy szövegszerkesztőben. Amennyiben az utolsó néhány sorban nem található meg a házirend forrása, hajtsa végre a következő lépést.
  5. A következő parancsot az itt látható módon pontosan írja be a parancssorba. Ezek a parancsok megkülönböztetik a kis- és nagybetűket, és a kis- és nagybetűk helytelen használata esetén a rendszer nem hajtja végre ezeket a parancsokat:

    findstr Using rendszergyökér\ipsecpa.log

    6. A naplófájl jelzi, hogy csoportházirendet vagy a számítógép helyi házirendjét használja-e a számítógép.


Kiszolgálóspecifikus

Az információ nem érhető el.

A keresett információ csak a Windows 2000 Server dokumentációjában található meg. Nem tartalmazza sem a Windows 2000 Professional, sem a Windows 2000 Administration Tools dokumentációja.

Az előző témakörhöz való visszatéréshez kattintson a Vissza gombra.