Безопасность протокола IP (IPSec)

Безопасность протокола IP (IPSec) является моделью общих стандартов для обеспечения безопасных конфиденциальных подключений через IP-сети с помощью криптографических служб безопасности.

  • Перед тем как приступить к использованию IPSec на компьютере, ознакомьтесь с разделом Контрольный список: определение политики IPSEC.
  • Советы по использованию IPSec находятся в разделе Советы и рекомендации.
  • Справочные сведения по выполнению конкретных задач см. в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.
  • Инструкции по устранению неполадок содержатся в разделе Устранение неполадок.

Примечание

  • Компоненты служб, связанных с IPSec, были совместно разработаны корпорацией Майкрософт и Cisco Systems, Inc.


Контрольный список: Определение политики IPSEC

Действие | Справочные сведения
Создайте план безопасности. | Создание плана безопасности IPSec
Ознакомьтесь с основными понятиями IP-безопасности (IPSec) | Описание политики IPSec
Запустите оснастку «Политики безопасности IP» | Чтобы запустить оснастку «Политики безопасности IP»
Определите политику IPSec для каждого сценария в плане безопасности предприятия. | Определение политики IPSec
Назначьте политики IPSec. | Назначение политики IPSec


Советы и рекомендации

Оснастка «Политики безопасности IP» значительно упрощает внедрение IPSec. Ниже приведены советы и рекомендации по использованию ее преимуществ и избежанию проблем при внедрении.

  • Определите тип сведений, пересылаемых по сети. Это уязвимые финансовые данные, сведения о правах собственности или электронная почта? Специфика работы некоторых отделов может требовать более высокого уровня безопасности, чем в остальной части организации. Учтите следующие факторы.
    • Что требуется защитить?

      • Трафик между некоторыми компьютерами или между всеми компьютерами; только определенные протоколы или порты?

    • Какой метод безопасности следует использовать?

      • Следует ли обеспечить только целостность трафика или также его конфиденциальность, и насколько надежно?

    • Для каких подключений нужно обеспечивать безопасность?

      • Только для удаленных или для локальной сети тоже?

    • Кто будет управлять политикой?

      • Администраторы домена, серверов или локальных компьютеров?

    • Будет ли шифрование работать на всех нужных компьютерах?

      • Будут ли данные доступны для компьютеров с надежной криптографией (по алгоритму 3DES) и для компьютеров со стандартной криптографией (DES)?

  • Определите места хранения сведений, способ их пересылки по сети и компьютеры, с которых будет выполняться доступ к этим сведениям. Это позволит получить информацию о скорости, емкости и использовании сети до внедрения IPSec, что полезно для оптимизации быстродействия.
  • Оцените уязвимость сети для различных типов атак по сети. Дополнительные сведения см. в разделе Вопросы безопасности протокола IP.
  • Разработайте и задокументируйте план безопасности сети организации. Учтите следующее:
    • общую модель безопасности Windows 2000, включая модель Active Directory, а также порядок применения безопасности к объектам групповой политики. Дополнительные сведения см. в разделе Общие сведения об Active Directory;
    • требуемые сценарии связи, включая интрасеть, удаленный доступ, внешний доступ для деловых партнеров и связь между сайтами (маршрутизатор-маршрутизатор);
    • уровень безопасности, необходимый для каждого сценария. Например, можно решить, что конфиденциальность необходима только для связей через Интернет.
  • Разработайте, создайте и проверьте политики IPSec для каждого сценария. Это позволяет выявить и улучшить необходимые политики и структуры политик. При проверке сценариев использования используйте реальные объемы работ и приложения, чтобы получить достоверные данные. При начальных проверках можно просматривать содержимое пакетов с помощью сетевого монитора или средств прослушивания сети, используя метод безопасности Только обеспечение целостности или настроенный метод безопасности с протоколом AH, поскольку использование параметра Шифрование и обеспечение целостности или протокола ESP с шифрованием предотвращает просмотр пакетов.

Дополнительные сведения о планировании безопасности IPSec см. в разделе Создание плана безопасности IPSec. Сведения о специальных требованиях для развертывания IPSec см. в разделе Специальные аспекты IPSec.


Инструкции

  • Запуск оснастки «Политики безопасности IP»
  • Определение политики IPSec
  • Назначение политики IPSec
  • Управление политикой IPSec
  • Наблюдение за действиями политики IPSec


Запуск оснастки «Политики безопасности IP»

Рисунок Microsoft Windows

Чтобы запустить оснастку «Политики безопасности IP»

  • Чтобы запустить оснастку «Политики безопасности IP» с консоли управления Microsoft, выполните следующие действия.
    1. Нажмите кнопку Пуск, выберите команду Выполнить, введите MMC и нажмите кнопку OK.
    2. В меню Файл окна консоли управления выберите команду Добавить/удалить оснастку, а затем нажмите кнопку Добавить.
    3. Выберите Управление политикой безопасности IP и нажмите кнопку Добавить.
    4. Выберите компьютер, политиками IPSec которого требуется управлять.
      5. Чтобы | Выполните следующее действие
Управлять только компьютером, на котором выполняется консоль | Выберите Этот компьютер.
Управлять политиками IPSec для любого члена домена | Выберите Домен с Active Directory, членом которого является этот компьютер.
Управлять политиками IPSec для домена, членом которого компьютер, на котором выполняется консоль, не является | Выберите Другой домен с Active Directory.
Управлять удаленным компьютером | Выберите Другой компьютер.
    5. Нажмите кнопку Готово, кнопку Закрыть, а затем — кнопку OK.
  • Чтобы запустить оснастку «Политики безопасности IP» из групповой политики (Active Directory), выполните следующие действия.
    1. Откройте оснастку Active Directory — пользователи и компьютеры.
    2. В дереве консоли щелкните правой кнопкой мыши домен или подразделение, для которых требуется настроить групповую политику.

      Где?

      • Active Directory — пользователи и компьютеры [ИмяКонтроллераДомена.ИмяДомена]
      • Домен
      • Подразделение
      • ДочернееПодразделение...
    3. Выберите команду Свойства и откройте вкладку Групповая политика.
    4. Нажмите кнопку Изменить, чтобы открыть объект групповой политики, который требуется изменить. Или нажмите кнопку Создать для создания нового объекта групповой политики, а затем нажмите кнопку Изменить.
    5. В дереве консоли групповой политики выберите Политики безопасности IP на "Active Directory".

      Где?

      • Политика ИмяПолитики [ИмяКомпьютера]
      • Конфигурация компьютера
      • Конфигурация Windows
      • Параметры безопасности
      • Политики безопасности IP на "Active Directory"
  • Чтобы запустить оснастку «Политики безопасности IP» из политики «Локальный компьютер», выполните следующие действия.
    1. Нажмите кнопку Пуск, выберите команду Выполнить, введите MMC и нажмите кнопку OK.
    2. В меню Файл окна консоли управления выберите команду Добавить/удалить оснастку, а затем нажмите кнопку Добавить.
    3. Выберите оснастку Редактор объектов групповой политики и нажмите кнопку Добавить.
    4. Нажмите кнопку Готово, кнопку Закрыть, а затем — кнопку OK.
    5. В дереве консоли групповой политики выберите Политики безопасности IP на "Локальный компьютер".

      Где?

      • Политика "Локальный компьютер"
      • Конфигурация компьютера
      • Конфигурация Windows
      • Параметры безопасности
      • Политики безопасности IP на "Локальный компьютер"

Примечания

  • Для запуска оснастки «Active Directory — пользователи и компьютеры» откройте подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена.
  • Чтобы сохранить параметры консоли, выберите в меню Файл команду Сохранить.
  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.
  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для управления политиками в удаленном домене необходимо использовать компьютер, являющийся членом домена, имеющего доверительные отношения с нужным удаленным доменом. Политики в удаленном домене невозможно настраивать с компьютера, являющегося членом рабочей группы (автономного компьютера).
  • Для получения сведений о просмотре сохраненной консоли щелкните ссылку «См. также».
  • Чтобы изменить первоначальный выбор, запустите консоль управления Microsoft (MMC), снова добавьте эту оснастку и сохраните консоль. Если требуется несколько конфигураций, консоль следует сохранить под другим именем.

См. также


Определение политики IPSec

  • Добавление и изменение политики IPSec
  • Определение правил
  • Определение дополнительных параметров IPSec


Добавление и изменение политики IPSec

Рисунок Microsoft Windows

Чтобы добавить или изменить политику IPSec

  1. В оснастке «Политики безопасности IP» выберите создание новой политики или изменение текущей.
    2. Чтобы | Выполните следующее действие
Создать новую политику | В дереве консоли щелкните узел Политики безопасности IP на имя. Затем выберите в меню Действие команду Создать политику безопасности IP. Выполняйте инструкции мастера политики безопасности IP до вывода на экран диалогового окна Свойства для новой политики.
Изменить существующую политику | Дважды щелкните нужную политику.
  2. На вкладке Общие введите уникальное имя в поле Имя.
  3. В поле Описание введите описание политики безопасности, например укажите группы или домены, которые она затрагивает.
  4. Если компьютер является частью домена, введите значение в поле Проверять политику на наличие изменений каждые число минут, чтобы задать частоту выполнения агентом политики IPSec проверки Active Directory на наличие обновлений
  5. При наличии особых потребностей в безопасности при обмене ключами нажмите кнопку Дополнительно.
  6. Откройте вкладку Правила и создайте или измените все необходимые правила для политики.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Для получения сведений о настройке дополнительных параметров щелкните ссылку «См. также».
  • Для получения сведений о настройке правил щелкните ссылку «См. также».

См. также


Определение правил

  • Добавление и изменение правил
  • Активизация правил
  • Определение методов проверки подлинности IPSec
  • Указание типов подключения IPSec
  • Задание туннеля IPSec
  • Определение списков фильтров IP
  • Определение действий фильтра


Добавление и изменение правил

Рисунок Microsoft Windows

Чтобы добавить и изменить правила

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Выберите, следует ли использовать мастер правил безопасности:
    • чтобы использовать мастер правил безопасности для добавления правила, убедитесь в том, что флажок Использовать мастер установлен, нажмите кнопку Добавить и следуйте выводимым на экран инструкциям;
    • для добавления правила вручную убедитесь, что флажок Использовать мастер снят, и нажмите кнопку Добавить.
  3. Чтобы изменить правило, дважды щелкните нужное правило.
  4. Определите свойства на вкладках Список фильтров IP, Действие фильтра, Тип подключения, Методы проверки подлинности и Параметры туннеля.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Новые правила автоматически применяются к изменяемой или создаваемой политике.
  • Правила для политики в оснастке «Политики безопасности IP» отображаются в обратном алфавитном порядке по имени списка фильтров, выбранного для каждого из правил. Это не отражает порядок применения правил в политике. Драйвер IPSec автоматически упорядочивает правила от наиболее конкретных списков фильтров к наименее конкретным. Например, правило, содержащее список фильтров, указывающий отдельные IP-адреса и порты TCP, драйвер IPSec поместит выше правила, содержащего список фильтров, указывающий все адреса в подсети.
  • Правило отклика по умолчанию автоматически добавляется (и активизируется, если выбран соответствующий режим) в каждую новую политику IPSec. Если не требуется, чтобы это правило было частью политики, можно отменить его, сняв флажок рядом с параметром <Динамический>. Удаление правила отклика по умолчанию невозможно.

См. также


Активизация правил

Рисунок Microsoft Windows

Чтобы активизировать правила

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Установите флажки для правил, которые требуется активизировать, или снимите флажки для отключения правил.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Определение методов проверки подлинности IPSec

Рисунок Microsoft Windows

Чтобы определить методы проверки подлинности IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить.
  3. На вкладке Методы проверки подлинности нажмите кнопку Добавить. При изменении настроек существующего метода выберите изменяемый метод проверки подлинности и нажмите кнопку Изменить.
  4. Методы проверки подлинности.
    • Выберите Стандарт службы каталогов (протокол Kerberos V5), чтобы использовать протокол безопасности Kerberos V5 для служб проверки подлинности, если это правило применяется к компьютерам, которые проверяются доменом Windows 2000 Active Directory или доверенным доменом Active Directory.
    • Чтобы использовать для служб проверки подлинности сертификат открытого ключа, выберите Использовать сертификат данного центра сертификации (ЦС) и нажмите кнопку Обзор для выбора корневого центра сертификации.
    • Чтобы указать для использования при проверке подлинности собственный ключ, выберите Использовать данную строку для защиты обмена ключами.

Важно!

  • Значение общего ключа хранится в политике IPSec в пригодном для чтения формате. По умолчанию политика IPSec, хранящаяся в Active Directory, может быть прочитана любым пользователем, прошедшим проверку, но изменять ее могут только администраторы каталога. Таким образом, указание значения ключа проверки подлинности в политике, расположенной в каталоге, не обеспечивает достаточную защиту. Используйте ключи проверки подлинности только в том случае, когда политика IPSec хранится и управляется локально на компьютере, к которому она применяется. Для безопасного управления политикой IPSec, хранящейся в Active Directory, на контроллере домена должна быть запущена оснастка «Политики безопасности IP».

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Метод проверки подлинности Стандарт службы каталогов (протокол Kerberos V5) не поддерживается на компьютерах с Windows XP Home Edition.
  • Если для проверки подлинности выбирается сертификат, необходимо выбрать центр сертификации (чаще всего — корневой центр сертификации для сертификата, установленного на компьютере). Оставлять это поле пустым нельзя.
  • Для проверки подлинности с помощью общего ключа каждый участник политики IPSec должен использовать один и тот же общий ключ, иначе проверку подлинности выполнить будет невозможно.
  • Чтобы удалить выделенный метод, нажмите кнопку Удалить.
  • Чтобы переместить выделенный метод на один уровень вверх, нажмите кнопку Вверх. Нажимайте кнопку, пока метод не займет нужный уровень предпочтения.
  • Чтобы переместить выделенный метод на один уровень вниз, нажмите кнопку Вниз. Нажимайте кнопку, пока метод не займет нужный уровень предпочтения.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Если фильтры более чем в одном правиле применяются к трафику между одной и той же парой IP-адресов, то список методов проверки подлинности в обоих правилах должен совпадать. В противном случае запросы безопасности, инициируемые одним правилом, могут совпасть с фильтром другого правила, имея при этом отличный метод проверки подлинности. В этом случае происходит сбой согласования правил безопасности. Если одним правилом инициировано успешное сопоставление безопасности основного режима между двумя IP-адресами, другие правила, фильтрующие другой трафик, не выполняют согласование проверки подлинности и основного ключа (сопоставления безопасности основного режима). Вместо этого другие правила используют то же сопоставление безопасности основного режима (алгоритмы и ключи сеансов) при согласовании безопасности для трафика, совпадающего с их фильтрами.

См. также


Указание типов подключения IPSec

Рисунок Microsoft Windows

Чтобы указать типы подключения IPSEC

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Выберите правило, которое требуется изменить, и нажмите кнопку Изменить.
  3. На вкладке Тип подключения выберите тип сетевых подключений, для которых будет применяться данное правило:
    • чтобы применить правило ко всем сетевым подключениям, созданным на данном компьютере, выберите Все сетевые подключения;
    • чтобы применить правило ко всем локальным подключениям, созданным на данном компьютере, выберите Локальное сетевое подключение;
    • чтобы применить правило к удаленным сетевым подключениям, созданным на данном компьютере, выберите Удаленный доступ.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Задание туннеля IPSec

Рисунок Microsoft Windows

Чтобы задать туннель IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить.
  3. На вкладке Параметры туннеля укажите компьютер, который будет конечной точкой туннеля:
    4. Чтобы | Выполните следующее действие
Отключить туннелирование для данного правила | Выберите Это правило не указывает туннель IPSec.
Использовать туннелированную связь с конкретной конечной точкой туннеля | Выберите Конечная точка туннеля указана данным IP-адресом и введите IP-адрес конечной точки туннеля.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Поскольку отражение фильтров для туннелированного трафика невозможно, необходимо настроить два правила. Одно правило используется для исходящего трафика, другое — для входящего. В правиле для исходящего трафика конечной точкой туннеля является IP-адрес узла IPSec на другом конце туннеля. В правилах для входящего трафика конечной точкой туннеля является IP-адрес локального компьютера.
  • Туннели IPSec используются главным образом для обеспечения взаимодействия с другими маршрутизаторами, шлюзами или конечными системами, которые не поддерживают туннелирование L2TP/IPSec или PPTP. Режим туннеля IPSec поддерживается как дополнительное средство, используемое только при туннелировании от шлюза к шлюзу и для конфигураций сервер-сервер или сервер-шлюз. Туннели IPSec не поддерживаются для сценариев удаленного клиентского доступа к виртуальной частной сети. Для удаленного клиентского доступа к виртуальной частной сети следует использовать туннели L2TP/IPSec или PPTP.

См. также


Определение списков фильтров IP

  • Добавление и изменение списков фильтров IP
  • Добавление и изменение фильтров IPSec
  • Настройка дополнительных параметров фильтра IPSec
  • Выбор фильтра IP для правила
  • Управление несколькими списками фильтров IP


Добавление и изменение списков фильтров IP

Рисунок Microsoft Windows

Чтобы добавить или изменить список фильтров IP

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. В диалоговом окне свойств политики безопасности IP выберите правило, в которое требуется добавить новый список фильтров IP, и нажмите кнопку Изменить.
  3. При добавлении нового списка фильтров IPSEC нажмите кнопку Добавить на вкладке Список фильтров IP. При изменении существующего списка фильтров выберите нужный список фильтров и нажмите кнопку Изменить.
  4. Введите уникальное имя для списка.
  5. Введите описание (например, укажите типы трафика, которые представляет данный список).
  6. Создайте фильтры.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Для просмотра процедур создания фильтров и сведений о дополнительных параметрах фильтра щелкните ссылку «См. также».

См. также


Добавление и изменение фильтров IPSec

Рисунок Microsoft Windows

Чтобы добавить или изменить фильтр IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, содержащее список фильтров IP, который требуется изменить.
  3. Выполните одно из следующих действий:
    • при добавлении фильтра IPSec нажмите кнопку Добавить на вкладке Список фильтров IP;
    • при изменении существующего списка фильтров IP дважды щелкните нужный список фильтров IP.
  4. В диалоговом окне Список фильтров IP выполните одно из следующих действий.
    Чтобы | Выполните следующее действие
    Воспользоваться мастером фильтров IP для создания фильтра | Убедитесь, что флажок Использовать мастер установлен, и нажмите кнопку Добавить.
    Создать фильтр вручную | Снимите флажок Использовать мастер и нажмите кнопку Добавить.
    Изменить существующий фильтр | Дважды щелкните нужный фильтр.
  5. На вкладке Адресация выберите Адрес источника пакетов.
    Параметр | Задает защиту для пакетов, полученных
    Мой IP-адрес | со всех IP-адресов на компьютере, для которого предназначается данный фильтр.
    Любой IP-адрес | от любого компьютера
    Определенное DNS-имя | узла с DNS-именем, указанным в поле Имя узла. Указанное DNS-имя разрешается в IP-адреса, после чего для полученных IP-адресов автоматически создаются фильтры. Этот параметр доступен только при создании новых фильтров.
    Определенный IP-адрес | с IP-адреса, указанного в поле IP-адрес.
    Определенная подсеть IP | с IP-адреса, указанного в поле IP-адрес, из подсети, маска которой указана в поле Маска подсети.
  6. Перейдите в группу Адрес назначения пакетов и повторите шаг 5 для адреса назначения.
  7. Установите флажок Отраженные в нужное положение.
    Чтобы | Выполните следующее действие
    Автоматически создать на основе заданных параметров два фильтра: один для исходящего трафика на адрес назначения, а другой — для входящего трафика с этого адреса | Установите флажок Отраженные.
    Создать один фильтр на основе указанных параметров | Снимите флажок Отраженные.
    Создать фильтр для туннеля IPSec | Снимите флажок Отраженные. Для туннелей IPSec следует создать два списка фильтров: один список для описания трафика, отправляемого по туннелю (исходящий трафик), другой для описания трафика, получаемого по туннелю (входящий). Затем создайте два правила, использующих заданные в политике списки фильтров входящего и исходящего трафика.
  8. На вкладке Описание введите описание фильтра в поле Описание (например, укажите компьютеры и типы трафика, к которым применяется данный фильтр).
  9. При необходимости в дополнительной фильтрации IP по конкретному протоколу или номеру порта настройте дополнительные параметры фильтра на вкладке Протокол.

Внимание!

  • Фильтры являются самой важной частью политики IPSec для компьютера, защищаемого с помощью IPSec. В случае неправильного указания фильтров в политиках клиента или сервера или изменения IP-адресов до обновления фильтров политики безопасность может не обеспечиваться.
    • Никогда не используйте в фильтрах IPSec IP-адреса, назначенные службой DHCP. Используйте Мой IP-адрес в качестве адреса источника или назначения в политике, используемой компьютером, применяющим адреса DHCP. В этом случае изменения в IP-адресах будут автоматически обновлять фильтр Мой IP-адрес.
    • В политике компьютера, который будет запрашивать для своего трафика защиту IPSec, в качестве адреса назначения фильтра следует использовать статический IP-адрес компьютера назначения. В список фильтров необходимо включить все IP-адреса назначения.
    • При добавлении нового статического IP-адреса для защищенного компьютера выполните следующие действия.
      • Измените фильтры политики IPSec на всех клиентах и серверах, посылающих запросы безопасности на защищенный компьютер. Убедитесь в том, что политики клиентов были обновлены перед добавлением нового адреса.
      • Проверьте политику, используемую на защищенном компьютере. Если фильтры указывают статические IP-адреса для локальных подключений, то после добавления в интерфейс нового IP-адреса измените и сохраните новый список фильтров, включив в него новый статический IP-адрес. Фильтры Мой IP-адрес будут автоматически обновлены при добавлении нового статического IP-адреса.
    • Если защищенный компьютер является веб-сервером, а клиенты используют прокси-сервер, убедитесь в том, что IPSec используется для защиты подключений по всем сетевым путям:
      • между веб-сервером и всеми клиентами с непосредственным подключением;
      • между веб-сервером и прокси-сервером;
      • между прокси-сервером и всеми клиентами прокси-сервера.
    • Следующие фильтры определены внутри системы для разрешения (не защиты) данного трафика.
      • Обмен ключами в Интернете (IKE): Адрес источника = Любой, Адрес приемника = Любой, Протокол = UDP, Порт источника = 500, Порт приемника = 500
      • Многоадресный IP-трафик
      • Широковещательный IP-трафик
      • Kerberos V5: Адрес источника = Любой, Адрес приемника = Любой, Протокол = UDP, Порт источника = 88, Порт приемника = 88
      • RSVP (Resource Reservation Protocol): Адрес источника = Любой, Адрес приемника = Любой, Протокол = 46

      По умолчанию пропускается весь трафик Kerberos и RSVP. Однако трафик Kerberos и RSVP можно защитить, изменив следующий раздел реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSEC. Добавьте новый параметр NoDefaultExempt и присвойте ему значение 1. Добавьте новый параметр NoDefaultExempt и присвойте ему значение 1. Дополнительные сведения о добавлении параметров в разделы реестра см. в разделе Чтобы добавить параметр.

      Внимание!

      • Ошибка при изменении реестра может серьезно повредить систему. Перед изменением реестра создайте резервную копию всех важных данных.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений о настройке параметров протокола IP, порта TCP или порта UDP для фильтра щелкните ссылку «См. также».
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Для правил туннеля IPSEC поддерживаются только фильтры на основе адресов. Фильтры на основе протоколов и портов не поддерживаются. Туннельные фильтры не должны быть отраженными.
  • В первую очередь применяются наиболее конкретные фильтры. Порядок фильтров в списке значения не имеет.
  • Если исходящий пакет не совпадает ни с одним фильтром, он отправляется без защиты.
  • Если входящий пакет не совпадает ни с одним фильтром, он пропускается.
  • При получении запроса безопасности IKE для поиска совпадающего фильтра используется IP-адрес источника запроса. Ответ IKE зависит от связанных с фильтром туннеля и действия.
  • Параметр Определенное DNS-имя используется при создании фильтров для создания фильтров на основе IP-адресов путем разрешения DNS-имени в IP-адреса. Имя компьютера используется один раз при разрешении DNS-имен в IP-адреса при создании фильтра. После создания фильтра имя компьютера не используется.
  • Фильтры передачи данных между сторонами подключения используются после всех фильтров, используемых в правилах туннеля.

См. также


Настройка дополнительных параметров фильтра IPSec

Рисунок Microsoft Windows

Чтобы настроить дополнительные параметры фильтра IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, содержащее список фильтров IP, который требуется изменить.
  3. На вкладке Список фильтров IP дважды щелкните список фильтров, который требуется изменить.
  4. В диалоговом окне Список фильтров IP дважды щелкните фильтр, который требуется изменить.
  5. В окне Свойства: Фильтр откройте вкладку Протокол и выберите значение из списка Выберите тип протокола:
    6. Чтобы фильтровать | Выполните следующее действие
Любые пакеты, отправленные по любому из протоколов семейства TCP/IP | Выберите значение Любой.
Пакеты, отправленные по конкретному протоколу | Выберите нужный протокол.
Пакеты, отправленные по протоколу, не входящему в список | Выберите Другое и введите номер протокола.
  6. При выборе протокола TCP или UDP можно также фильтровать пакеты по порту источника.
    • Для фильтрации пакетов, отправленных на любой порт, используемый выбранным типом протокола, выберите Пакеты из любого порта.
    • Для фильтрации пакетов, отправленных на конкретный порт, используемый выбранным типом протокола, выберите Пакеты из этого порта и введите номер порта.

    7. При выборе протокола TCP или UDP можно также фильтровать пакеты по порту назначения.

    • Для фильтрации пакетов, полученных на любой порт, используемый выбранным типом протокола, выберите Пакеты на любой порт.
    • Чтобы фильтровать только пакеты, полученные на порт с указанным номером, выберите Пакеты на этот порт.

Важно!

  • Если значения точно неизвестны, обратитесь за этими сведениями к системному или сетевому администратору или щелкните ссылку «См. также» и выберите «Ресурсы Windows». Указание неправильных значений может привести к блокированию или нарушению защиты связи.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для туннелирования IPSec поддерживаются только фильтры на основе адресов. Фильтры на основе протоколов и портов не поддерживаются.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Выбор фильтра IP для правила

Рисунок Microsoft Windows

Чтобы выбрать список фильтров IP для правила

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить.
  3. На вкладке Список фильтров IP выберите список фильтров IP, который требуется назначить в качестве активного списка для данного правила.

    4. Выбранный список фильтров IP станет активным списком для данного правила.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Управление несколькими списками фильтров IP

Рисунок Microsoft Windows

Чтобы управлять несколькими списками фильтров IP

  1. В оснастке «Политики безопасности IP» в дереве консоли щелкните узел Политики безопасности IP на имя.
  2. В меню Действие выберите команду Управление списками IP-фильтра и действиями фильтра.
  3. На вкладке Управление списками фильтров IP нажмите кнопку Добавить. Если требуется изменить существующий список, дважды щелкните нужный список.
  4. Определите фильтры для списка фильтров.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Определение действий фильтра

  • Добавление и изменение действий фильтра
  • Добавление и изменение методов безопасности IPSec
  • Настройка дополнительных методов безопасности IPSec
  • Выбор действия фильтра для правила
  • Управление несколькими действиями фильтра


Добавление и изменение действий фильтра

Рисунок Microsoft Windows

Чтобы добавить и изменить действия фильтра

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить, а затем откройте вкладку Действие фильтра.
  3. Выберите, следует ли использовать мастер настройки действий фильтра:
    • чтобы использовать мастер, помогающий последовательно выполнить операции по настройке действия фильтра, убедитесь в том, что флажок Использовать мастер установлен, а затем следуйте выводимым на экран инструкциям;
    • для добавления действия фильтра вручную убедитесь, что флажок Использовать мастер снят, и нажмите кнопку Добавить.
  4. Чтобы изменить действие фильтра, дважды щелкните нужное действие фильтра.
  5. Выберите тип действия фильтра.
    • Выберите Разрешить, чтобы разрешить получение или отправку незашифрованных пакетов. Безопасность для этих пакетов запрашиваться не будет.
    • Выберите Блокировать, чтобы отбрасывать пакеты. Безопасность для этих пакетов запрашиваться не будет.
    • Выберите Согласовать безопасность, чтобы использовать для обеспечения безопасности пакетов методы безопасности из списка Методы безопасности в порядке предпочтения. Запросы безопасности для этих пакетов будут приниматься.
  6. Если выбрано действие Согласовать безопасность, добавьте новые или измените существующие методы безопасности для действия фильтра.
  7. Если входящие незащищенные пакеты блокировать не требуется, но необходимо обеспечить безопасность исходящих запросов и последующего двустороннего обмена данными, установите флажок Принимать небезопасную связь, но отвечать с помощью IPSec.
  8. Если требуется сделать возможной связь с другими компьютерами, не поддерживающими IPSec, и обеспечить продолжение связи при отсутствии ответа на запрос согласования безопасности IPSec, установите флажок Разрешать связь с компьютерами, не поддерживающими IPSec. При сбое начального согласования IPSec будут выполняться повторные попытки согласования IPSec с интервалом в пять минут.
  9. Если требуется запретить повторное использование основного ключа или базового материала основного ключа для создания ключа сеанса, установите флажок Сеансовые циклы безопасной пересылки (PFS).
  10. На вкладке Общие введите уникальное имя в поле Имя.
  11. Введите описание в поле Описание. Например, можно указать уровни безопасности, представляемые данным действием ключа.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Типы действий фильтра Разрешить и Блокировать, а также параметры Разрешать связь с компьютерами, не поддерживающими IPSec и Принимать небезопасную связь, но отвечать с помощью IPSec для правила отклика по умолчанию недоступны.
  • При выборе параметра «Сеансовые циклы безопасной пересылки (PFS)» новый материал для создания основного ключа создается для каждого сеанса. Этот параметр обеспечивает максимальную безопасность. Однако при его выборе возрастает вычислительная нагрузка и увеличивается время, необходимое для создания ключа. Для успешной установки подключения инициирующая и отвечающая стороны должны иметь одинаковые параметры.

См. также


Добавление и изменение методов безопасности IPSec

Рисунок Microsoft Windows

Чтобы добавить или изменить методы безопасности IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Выберите правило, которое требуется изменить, и нажмите кнопку Изменить.
  3. На вкладке Действие фильтра дважды щелкните действие фильтра, которое требуется изменить.
  4. На вкладке Методы безопасности выберите параметр Согласовать безопасности (необязательно).
  5. Выберите добавление нового метода безопасности или изменение существующего:
    • для добавления нового метода нажмите кнопку Добавить;
    • для изменения существующего метода дважды щелкните нужный метод безопасности.
  6. Задайте уровень безопасности.
    • Шифрование и обеспечение целостности

      • Используется протокол ESP для обеспечения конфиденциальности данных (шифрование) с алгоритмом 3DES, проверка целостности и подлинности данных с алгоритмом SHA1 (Secure Hash Algorithm 1), а также стандартные параметры времени жизни ключа (100 МБ, 1 час).

    • Только обеспечение целостности

      • Используется протокол ESP для обеспечения целостности данных и проверки подлинности с алгоритмом проверки целостности SHA1 и стандартными параметрами времени жизни ключа (100 МБ, 1 час). ESP не настраивается для обеспечения конфиденциальности данных (шифрование).

    • Настраиваемая безопасность

      • Нажмите кнопку Параметры для настройки метода безопасности или параметров времени жизни ключа.

  7. Повторите эту процедуру для настройки дополнительных методов безопасности для действия фильтра.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Для удаления выделенного метода безопасности нажмите кнопку Удалить.
  • Для перемещения выделенного метода безопасности на один уровень вверх нажмите кнопку Вверх. Нажимайте кнопку до тех пор, пока метод не займет нужный уровень предпочтения.
  • Для перемещения выделенного метода безопасности на один уровень вниз нажмите кнопку Вниз. Нажимайте кнопку до тех пор, пока метод не займет нужный уровень предпочтения.
  • Для получения сведений о влиянии времени жизни ключа на безопасность щелкните ссылку «См. также».
  • При согласовании безопасности инициирующая сторона предлагает отвечающей свой список методов безопасности. Отвечающая сторона принимает первый метод (в направлении сверху вниз), найденный в любом месте своего списка методов. Если ни один из предложенных методов не совпадает с записью в списке методов отвечающей стороны, происходит сбой согласования.
  • На компьютерах, работающих под управлением Windows 2000, для использования алгоритма 3DES необходимо установить пакет High Encryption Pack или пакет обновления Service Pack 2. Если компьютер, работающий под управлением Windows 2000, принимает использование 3DES, но на нем не установлен пакет High Encryption Pack или пакет обновления Service Pack 2 (или более поздний), то в методе безопасности используется менее надежный алгоритм DES. Компьютеры, работающие под управлением Windows XP, поддерживают 3DES и не требуют установки пакета High Encryption Pack.

См. также


Настройка дополнительных методов безопасности IPSec

Рисунок Microsoft Windows

Чтобы настроить дополнительные методы безопасности IPSec

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить.
  3. На вкладке Действие фильтра дважды щелкните действие фильтра, которое требуется изменить.
  4. Выберите добавление нового метода безопасности или изменение существующего.
  5. Чтобы добавить новый метод безопасности, нажмите кнопку Добавить на вкладке Методы безопасности.
  6. Для изменения существующего метода дважды щелкните нужный метод безопасности.
  7. Выберите вариант Настраиваемая безопасность и нажмите кнопку Параметры.
  8. Чтобы обеспечить целостность сведений об адресации пакета (заголовок IP) и данных, установите флажок Целостность данных и адресов без шифрования (AH).
  9. При выборе протокола AH выберите алгоритм проверки целостности данных. Выберите одно из следующих значений:
    • MD5 для использования алгоритма проверки целостности MD5 (Message Digest 5), применяющего 128-разрядный ключ;
    • SHA1 для использования алгоритма проверки целостности SHA1 (Secure Hash Algorithm 1), применяющего 160-разрядный ключ.
  10. Чтобы обеспечить и целостность, и шифрование (защиту) данных, установите флажок Целостность данных с шифрованием (ESP).
  11. При выборе протокола ESP выберите алгоритм проверки целостности данных. Выберите одно из следующих значений:
    • <Нет>, чтобы не использовать целостность данных.

      • Если включено использование протокола AH, то для улучшения быстродействия можно выбрать значение Нет.

    • MD5 для использования алгоритма проверки целостности MD5, применяющего 128-разрядный ключ;
    • SHA1 для использования алгоритма проверки целостности SHA1, применяющего 160-разрядный ключ.
  12. При выборе протокола ESP выберите алгоритм для обеспечения конфиденциальности данных. Выберите одно из следующих значений:
    • <Нет>, чтобы не использовать шифрование.
    • DES для использования алгоритма DES (Data Encryption Standard) с одним 56-разрядным ключом;
    • 3DES для использования алгоритма тройного шифрования с тремя уникальными 56-разрядных ключами.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Невозможно выбрать значение <Нет> для ESP-алгоритмов поддержки целостности данных и шифрования одновременно.
  • Для получения дополнительных сведений о параметрах шифрования щелкните ссылку «См. также».
  • При указании параметров ключа будьте внимательны. Стандартные параметры ключа работают в большинстве сред и взаимодействуют с другими продуктами. Если безопасность требует сокращения времени жизни ключа, можно задать нужные значения в каждом методе безопасности. В общем случае используются наименьшие значения, заданные в явном виде для инициирующей и отвечающей сторон.
  • Сокращение времени жизни ключа не повышает безопасность данных. Короткое время жизни ключа только снижает объем данных, которыми сможет воспользоваться злоумышленник в случае взлома одного из ключей шифрования. Вместо уменьшения времени жизни ключа для защиты данных лучше воспользоваться более надежным алгоритмом шифрования, таким как 3DES.
  • Прежде чем изменять стандартное время жизни ключа, подробно изучите механизм использования времени жизни и смены ключей. Для получения дополнительных сведений щелкните ссылку «См. также».

См. также


Выбор действия фильтра для правила

Рисунок Microsoft Windows

Чтобы выбрать действие фильтра для правила

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Дважды щелкните правило, которое требуется изменить.
  3. На вкладке Действие фильтра выберите действие фильтра, которое требуется активизировать для данного правила.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Если они не были удалены, можно активировать одно из стандартных действий для фильтров: Разрешить, Запрос безопасности (необязательно) или Требовать безопасность.

См. также


Управление несколькими действиями фильтра

Рисунок Microsoft Windows

Чтобы управлять несколькими действиями фильтра

  1. В оснастке «Политики безопасности IP» в дереве консоли щелкните узел Политики безопасности IP на имя.
  2. В меню Действие выберите команду Управление списками IP-фильтра и действиями фильтра.
  3. На вкладке Управление действиями фильтра нажмите кнопку Добавить. Для изменения существующего действия фильтра выберите нужное действие фильтра в списке Действия фильтра и нажмите кнопку Изменить.
  4. Настройте действие фильтра.
  5. Если нужно, определите методы безопасности для действия фильтра.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Определение дополнительных параметров IPSec

  • Настройка обмена ключами
  • Создание методов безопасности для обмена ключами


Настройка обмена ключами

Рисунок Microsoft Windows

Чтобы настроить обмен ключами

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Откройте вкладку Общие и нажмите кнопку Дополнительно.
  3. Чтобы включить режим принудительной повторной проверки подлинности и согласования нового материала для создания основного ключа при каждом запросе нового ключа сеанса, установиет флажок Основной ключ безопасной пересылки (PFS).
  4. Если требуется задать другой режим, введите значение в поле Проверять подлинность и создавать новый ключ через каждые (минут), что вызовет проверку подлинности и создание нового ключа через заданный интервал.
  5. Если требуется задать другой параметр, введите значение в поле Проверять подлинность и создавать новый ключ через каждые (сеансов), чтобы задать максимальное число сеансов использования одного основного ключа или одного материала для создания ключа сеанса. По достижении этого предела будет выполняться проверка подлинности и создание нового ключа. При установке флажка Основной ключ безопасной пересылки (PFS) в качестве предельного числа сеансов задается значение 1, которое невозможно изменить.
  6. При наличии особых потребностей в отношении методов безопасности при обмене основными ключами нажмите кнопку Методы.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Компоненты служб, связанных с IPSec, были совместно разработаны корпорацией Майкрософт и Cisco Systems, Inc.
  • Используйте флажок Основной ключ безопасной пересылки (PFS), когда он необходим для обеспечения взаимодействия. По умолчанию этот флажок снят, что позволяет работать в большинстве сред и взаимодействовать с большинством других продуктов.
  • Задание нулевого (0) предела числа сеансов приводит к созданию нового ключа только через заданный интервал времени.
  • Включение основного ключа безопасной пересылки (PFS) может сказаться на быстродействии, поскольку для каждого быстрого режима требуется новое согласование основного режима.

См. также


Создание методов безопасности для обмена ключами

Рисунок Microsoft Windows

Чтобы создать метод безопасности для обмена ключами

  1. В оснастке «Политики безопасности IP» дважды щелкните политику, которую требуется изменить.
  2. Откройте вкладку Общие, нажмите кнопку Дополнительно, а затем — кнопку Методы.
  3. Нажмите кнопку Добавить. Если требуется перенастроить существующий метод, дважды щелкните нужный метод безопасности.
  4. Выберите Алгоритм проверки целостности:
    • для использования 128-разрядного ключа (работает быстрее) выберите MD5;
    • для использования 160-разрядного ключа (более надежен и совместим со стандартом FIPS [Federal Information Processing Standard]) выберите SHA1.
  5. Выберите Алгоритм шифрования:
    • для использования алгоритма тройного шифрования и трех уникальных 56-разрядных ключей выберите 3DES;
    • для использования алгоритма DES (Data Encryption Standard) и одного 56-разрядного ключа выберите DES. Этот вариант рекомендуется при необходимости подключения к компьютерам, не имеющим 3DES, или когда не требуется высокая безопасность.
  6. Выберите значение в поле Группа Диффи-Хелмана, чтобы задать длину базовых данных для создания ключа:
    • Низкая (1) для создания 768 разрядов базовых данных для создания основного ключа;
    • Средняя (2) для создания 1024 разрядов базовых данных для создания основного ключа (выше надежность).

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Компоненты служб, связанных с IPSec, были совместно разработаны корпорацией Майкрософт и Cisco Systems, Inc.
  • Метод безопасности для обмена ключами представляет собой комбинацию трех параметров (алгоритм проверки целостности, алгоритм шифрования и группа Диффи-Хелмана). Для успешной установки подключения инициирующая и отвечающая стороны должны иметь общий метод, использующий одинаковые параметры.
  • Для удаления выделенного метода безопасности нажмите кнопку Удалить.
  • Для перемещения выделенного метода безопасности на один уровень вверх нажмите кнопку Вверх. Нажимайте кнопку до тех пор, пока метод не займет нужный уровень предпочтения.
  • Для перемещения выделенного метода безопасности на один уровень вниз нажмите кнопку Вниз. Нажимайте кнопку до тех пор, пока метод не займет нужный уровень предпочтения.
  • Для получения дополнительных сведений о параметрах шифрования щелкните ссылку «См. также».

См. также


Назначение политики IPSec

  • Назначение и отмена назначения политики IPSec в групповой политике
  • Назначение и отмена назначения политики IPSec на компьютере


Назначение и отмена назначения политики IPSec в групповой политике

Рисунок Microsoft Windows

Чтобы назначить и отменить назначение политики IPSec в групповой политике

  • Для групповой политике на основе Active Directory, выполните следующие действия.
    1. Откройте оснастку Active Directory — пользователи и компьютеры.
    2. В дереве консоли щелкните правой кнопкой мыши домен или подразделение, для которых требуется настроить групповую политику.

      Где?

      • Active Directory — пользователи и компьютеры [ИмяКонтроллераДомена.ИмяДомена]
      • Домен
      • Подразделение
      • ДочернееПодразделение...
    3. Выберите команду Свойства и откройте вкладку Групповая политика.
    4. Нажмите кнопку Изменить, чтобы открыть объект групповой политики, который требуется изменить. Или нажмите кнопку Создать для создания нового объекта групповой политики, а затем нажмите кнопку Изменить.
    5. В дереве консоли групповой политики выберите Политики безопасности IP на "Active Directory".

      Где?

      • Политика ИмяПолитики [ИмяКомпьютера]
      • Конфигурация компьютера
      • Конфигурация Windows
      • Параметры безопасности
      • Политики безопасности IP на "Active Directory"
    6. В области сведений щелкните правой кнопкой политику, которую требуется назначить, и выберите команду Назначить. Чтобы отменить текущую назначенную политику, щелкните нужную политику правой кнопкой и выберите команду Снять.
  • Для политики локального компьютера выполните следующие действия.
    1. Нажмите кнопку Пуск, выберите команду Выполнить, введите MMC и нажмите кнопку OK.
    2. В меню Файл окна консоли управления выберите команду Добавить/удалить оснастку, а затем нажмите кнопку Добавить.
    3. Выберите оснастку Редактор объектов групповой политики и нажмите кнопку Добавить.
    4. Нажмите кнопку Готово, кнопку Закрыть, а затем — кнопку OK.
    5. В дереве консоли групповой политики выберите Политики безопасности IP на "Локальный компьютер".

      Где?

      • Политика "Локальный компьютер"
      • Конфигурация компьютера
      • Конфигурация Windows
      • Параметры безопасности
      • Политики безопасности IP на "Локальный компьютер"
    6. В области сведений щелкните правой кнопкой политику, которую требуется назначить, и выберите команду Назначить. Чтобы отменить текущую назначенную политику, щелкните нужную политику правой кнопкой и выберите команду Снять.

Важно!

  • Политика IPSec может оставаться активной даже после удаления политики IPSec или объекта групповой политики, которым она назначена. Таким образом, перед удалением политики или объекта групповой политики необходимо снять назначение политики IPSec. Во избежание затруднений используйте следующую процедуру.
    1. Снимите назначение политики IPSec в объекте групповой политики.
    2. Подождите, пока это изменение не будет распространено (обычно для этого требуется около 24 часов).
    3. Удалите политику IPSec или объект групповой политики.

    Если удалить политику IPSec или объект групповой политики без соблюдения данной процедуры, компьютеры в контейнере Active Directory, которому назначена политика IPSec, могут считать, что политику IPSec найти не удается, и будут использовать кэшированную копию.

Примечания

  • Для запуска оснастки «Active Directory — пользователи и компьютеры» откройте подключение к удаленному рабочему столу контроллера домена Windows 2000 или рядового сервера, на котором установлены средства администрирования Windows 2000. Для выполнения данной процедуры необходимо войти в систему на сервере в качестве администратора домена.
  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.
  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Настройки вступят в силу при следующем обновлении групповой политики.
  • Если имеется назначенная политика и пользователь назначает новую политику, то текущая назначенная политика автоматически отменяется.
  • С помощью оснастки «Политики безопасности IP на "Active Directory"» можно только настроить политику, но нельзя назначить ее. Для назначения политики для контейнеров Active Directory необходимо использовать узел «Политики безопасности IP на "Active Directory"» в оснастке «Групповая политика».
  • При необходимости отключить IPSec только для конкретного компьютера можно отключить на этом компьютере Службы IPSEC.

См. также


Назначение и отмена назначения политики IPSec на компьютере

Рисунок Microsoft Windows

Чтобы назначить или отменить назначение политики IPSec на компьютере

  1. В оснастке «Управление политикой безопасности IP» щелкните в дереве консоли узел Политики безопасности IP на имя.
  2. Щелкните правой кнопкой политику, которую требуется назначить, и выберите команду Назначить. Чтобы отменить текущую назначенную политику, щелкните нужную политику правой кнопкой и выберите команду Снять.

Примечания

  • Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Если имеется назначенная политика и пользователь назначает новую политику, то текущая назначенная политика автоматически отменяется.
  • При необходимости отключить безопасность IP можно отключить на компьютере службы IPSEC.
  • Если компьютер является членом домена Windows 2000 и политика IPSec назначена на уровне домена, то назначенная политика локального компьютера не используется.

См. также


Управление политикой IPSec

  • Перезапуск служб IPSec
  • Восстановление политик IPSec по умолчанию
  • Экспорт политик IPSec
  • Импорт политик IPSec
  • Обновление списка политик IPSec
  • Удаление политики IPSec
  • Переименование политики IPSec
  • Экспорт списка политик IPSec


Перезапуск служб IPSec

Рисунок Microsoft Windows

Чтобы перезапустить службы IPSec

  1. Откройте оснастку Службы.
  2. Щелкните правой кнопкой Службы IPSEC.
  3. Выберите команду Перезапустить.

Примечания

  • XOX
  • Перезапуск служб IPSec может быть необходим для прояснения старых сопоставлений безопасности, мягких сопоставлений безопасности или для загрузки политики из Active Directory на клиенты домена.
  • Службы IPSec также можно перезапустить из командной строки, введя следующие команды:

    • net stop policyagent

    net start policyagent

    На компьютерах с Windows 2000 Server и службой маршрутизации и удаленного доступа для перезапуска служб IPSec используется следующая последовательность команд.

    1. Остановите службу маршрутизации и удаленного доступа с помощью команды net stop remoteaccess.
    2. Остановите службы IPSec с помощью команды net stop policyagent.
    3. Запустите службы IPSec с помощью команды net start policyagent.
    4. Запустите службу маршрутизации и удаленного доступа с помощью команды net start remoteaccess.
  • Для определения возможных причин сбоя в случае, если агент политики не будет запущен, пользуйтесь окном «Просмотр событий».

См. также


Восстановление политик IPSec по умолчанию

Рисунок Microsoft Windows

Чтобы восстановить политики IPSec по умолчанию

  1. В оснастке «Управление политикой безопасности IP» щелкните в дереве консоли узел Политики безопасности IP на имя.
  2. Выберите в меню Действие команду Все задачи, а затем Восстановить политики по умолчанию.
  3. В ответ на запрос нажмите кнопку Да.

Важно!

  • При восстановлении политик IPSec по умолчанию отменяются все изменения, внесенные в исходные стандартные политики, даже изменения их имен. Если политики по умолчанию были изменены и отмена внесенных изменений нежелательна, восстанавливать политики по умолчанию не следует.

Примечания

  • Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Восстановление политик IPSec по умолчанию доступно только для политик IPSec конкретного компьютера. Восстановление политик IPSec по умолчанию для политики IPSec на основе Active Directory невозможно.

См. также


Экспорт политик IPSec

Рисунок Microsoft Windows

Чтобы экспортировать политику IPSec

  1. В оснастке «Политики безопасности IP» в дереве консоли щелкните узел Политики безопасности IP на имя.
  2. Выберите в меню Действие команду Все задачи, а затем — команду Экспортировать политики.
  3. Введите путь и имя файла, в котором требуется сохранить сведения политики, а затем нажмите кнопку Сохранить.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Импорт политик IPSec

Рисунок Microsoft Windows

Чтобы импортировать политику IPSec

  1. В оснастке «Политики безопасности IP» в дереве консоли щелкните узел Политики безопасности IP на имя.
  2. Выберите в меню Действие команду Все задачи, а затем — Импортировать политики.
  3. Введите путь и имя файла, из которого требуется импортировать сведения политики IPSec.
  4. Нажмите кнопку Открыть.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • При совпадении имен импортируемые политики IPSec заменяют существующие политики IPSec.

См. также


Обновление списка политик IPSec

Рисунок Microsoft Windows

Чтобы обновить список политик IPSec

  1. В оснастке «Управление политикой безопасности IP» в дереве консоли щелкните правой кнопкой узел Политики безопасности IP на имя.
  2. Выберите команду Обновить.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • Данная процедура необходима только для обновления списка политик после выполнения добавлений или удалений с помощью другого инструмента управления.

См. также


Удаление политики IPSec

Рисунок Microsoft Windows

Чтобы удалить политику IPSec

  1. В оснастке «Политики безопасности IP» щелкните правой кнопкой политику, которую требуется удалить, и выберите команду Удалить.
  2. В ответ на запрос нажмите кнопку Да.

Важно!

  • Политика IPSec на основе Active Directory может остаться активной даже после ее удаления. Поэтому перед удалением такой политики IPSec необходимо отменить ее назначение. Во избежание затруднений используйте следующую процедуру.
    1. Снимите назначение политики IPSec в объекте групповой политики.
    2. Подождите, пока это изменение не будет распространено (обычно для этого требуется около 24 часов).
    3. Удалите политику IPSec.

    Если удалить политику IPSec без выполнения следующей процедуры, компьютеры в контейнере Active Directory, которому назначена политика IPSec, могут считать, что политику IPSec найти не удается, и будут использовать кэшированную копию.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Переименование политики IPSec

Рисунок Microsoft Windows

Чтобы переименовать политику IPSec

  1. В оснастке «Политики безопасности IP» щелкните правой кнопкой политику, которую требуется переименовать, и выберите команду Переименовать.
  2. Введите новое имя и нажмите клавишу ENTER.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».

См. также


Экспорт списка политик IPSec

Рисунок Microsoft Windows

Чтобы экспортировать список политик IPSec

  1. В оснастке «Политики безопасности IP» в дереве консоли щелкните правой кнопкой узел Политики безопасности IP на имя и выберите команду Экспортировать список.
  2. Если требуется сохранить только политику, выделенную в области сведений, установите флажок Сохранить только выделенные строки.
  3. Введите имя файла, в котором требуется сохранить выбранную политику IPSec или отображаемый список политик IPSec, а затем нажмите кнопку Сохранить.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Для получения сведений об открытии оснастки «Политики безопасности IP» щелкните ссылку «См. также».
  • При выполнении данной процедуры экспортируются не сами политики IPSec, а только текстовый список политик, отображаемых в области сведений.

См. также


Наблюдение за действиями политики IPSec

  • Запуск оснастки «Монитор IP-безопасности»
  • Добавление компьютера в оснастку «Монитор IP-безопасности»
  • Просмотр статистики безопасности IP
  • Просмотр сведений основного режима
  • Просмотр сведений быстрого режима
  • Поиск совпадающего специального фильтра
  • Изменение интервала автоматического обновления
  • Включение разрешения DNS-имен


Запуск оснастки «Монитор IP-безопасности»

Рисунок Microsoft Windows

Чтобы запустить оснастку «Монитор IP-безопасности»

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите MMC и нажмите кнопку OK.
  2. В меню Файл окна консоли управления выберите команду Добавить/удалить оснастку, а затем нажмите кнопку Добавить.
  3. В диалоговом окне Изолированная оснастка выберите Монитор IP-безопасности и нажмите кнопку Добавить.
  4. Нажмите кнопку Закрыть, затем кнопку OK.

Примечания

  • Чтобы сохранить параметры консоли, выберите в меню Файл команду Сохранить.
  • Для получения сведений о просмотре сохраненной консоли щелкните ссылку «См. также».
  • Чтобы изменить первоначальный выбор, запустите консоль управления Microsoft (MMC), снова добавьте эту оснастку и сохраните консоль. Если требуется несколько конфигураций, консоль следует сохранить под другим именем.

См. также


Добавление компьютера в оснастку «Монитор IP-безопасности»

Рисунок Microsoft Windows

Чтобы добавить компьютер в оснастку «Монитор IP-безопасности»

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. В дереве консоли щелкните правой кнопкой узел Монитор IP-безопасности и выберите команду Добавить компьютер.
  3. В диалоговом окне Добавить компьютер выполните следующие действия:
    • для добавления локального компьютера выберите этот компьютер;
    • для добавления удаленного компьютера выберите другой компьютер и введите имя удаленного компьютера. Также можно нажать кнопку Обзор и найти нужный компьютер в сети.

Примечания

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».
  • Если службы IPSec не запущены на компьютере, за которым ведется наблюдение, в качестве значка сервера отображается значок остановленной службы. Чтобы обновить оснастку «Монитор IP-безопасности» после перезапуска служб IPSec на этом компьютере, щелкните значок компьютера правой кнопкой и выберите команду Обновить.
  • Оснастка «Монитор IP-безопасности» может использоваться только для мониторинга IP-безопасности на компьютерах с Windows XP. Для мониторинга IP-безопасности на компьютерах с Windows 2000 используется команда ipsecmon в командной строке Windows 2000.

См. также


Просмотр статистики безопасности IP

Рисунок Microsoft Windows

Чтобы просмотреть статистику безопасности IP

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Щелкните правой кнопкой мыши имя сервера.

    Где?

    • Монитор IP-безопасности
    • ИмяСервера
  3. Выберите команду Статистика.

Примечание

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».

См. также


Просмотр сведений основного режима

Рисунок Microsoft Windows

Чтобы просмотреть сведения основного режима

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Дважды щелкните узел Основной режим.

    Где?

    • Монитор IP-безопасности
    • ИмяСервера
    • Основной режим
  3. Для просмотра сведений основного режима выполните одно из следующих действий.
    • Для получения сведений об универсальном фильтре щелкните узел Универсальные фильтры, а затем дважды щелкните нужный фильтр в области сведений.
    • Для получения сведений о специальном фильтре щелкните узел Специальные фильтры. Для поиска специального фильтра основного режима щелкните узел Специальные фильтры правой кнопкой и выберите команду Найти совпадающие фильтры.
    • Для получения сведений о политике IKE щелкните в дереве консоли узел Политики IKE, а затем дважды щелкните нужную политику в области сведений.
    • Для получения сведений о сопоставлении безопасности щелкните узел Сопоставления безопасности, а затем дважды щелкните нужное сопоставление безопасности в области сведений.

Примечание

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».

См. также


Просмотр сведений быстрого режима

Рисунок Microsoft Windows

Чтобы просмотреть сведения быстрого режима

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Дважды щелкните узел Быстрый режим.

    Где?

    • Монитор IP-безопасности
    • ИмяСервера
    • Быстрый режим
  3. Для просмотра сведений быстрого режима выполните одно из следующих действий.
    • Для получения сведений об универсальном фильтре щелкните узел Универсальные фильтры, а затем дважды щелкните нужный фильтр в области сведений.
    • Для получения сведений о специальном фильтре щелкните узел Специальные фильтры. Для поиска специального фильтра быстрого режима щелкните узел Специальные фильтры правой кнопкой и выберите команду Найти совпадающие фильтры.
    • Для получения сведений о политике согласования щелкните в дереве консоли узел Политики согласования, а затем дважды щелкните нужную политику в области сведений.
    • Для получения сведений о сопоставлении безопасности щелкните узел Сопоставления безопасности, а затем дважды щелкните нужное сопоставление безопасности в области сведений.

Примечания

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».
  • В сведениях быстрого режима не отображаются блокирующие или разрешающие фильтры.
  • Хотя для быстрого режима создается два отдельных сопоставления безопасности (одно для входящего трафика и одно для исходящего), оснастка «Монитор IP-безопасности» отображает единое сопоставление безопасности быстрого режима.

См. также


Поиск совпадающего специального фильтра

Рисунок Microsoft Windows

Чтобы найти совпадающий специальный фильтр

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Для поиска фильтра основного режима выполните следующие действия.
    1. Дважды щелкните узел Основной режим.

      Где?

      • Монитор IP-безопасности
      • ИмяСервера
      • Основной режим
    2. В дереве консоли щелкните правой кнопкой узел Специальные фильтры и выберите команду Найти совпадающие фильтры.
    3. В диалоговом окне Поиск совпадающих фильтров основного режима укажите нужные параметры фильтра и нажмите кнопку Найти.
  3. Для поиска фильтра быстрого режима выполните следующие действия.
    1. Дважды щелкните узел Быстрый режим.

      Где?

      • Монитор IP-безопасности
      • ИмяСервера
      • Быстрый режим
    2. В дереве консоли щелкните правой кнопкой узел Специальные фильтры и выберите команду Найти совпадающие фильтры.
    3. В диалоговом окне Поиск совпадающих фильтров быстрого режима укажите нужные параметры фильтра и нажмите кнопку Найти.

Примечание

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».

См. также


Изменение интервала автоматического обновления

Рисунок Microsoft Windows

Чтобы изменить интервал автоматического обновления

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Щелкните правой кнопкой мыши имя сервера.

    Где?

    • Монитор IP-безопасности
    • ИмяСервера
  3. Выберите команду Свойства.
  4. Настройте интервал автоматического обновления и нажмите кнопку OK.

Примечание

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».

См. также


Включение разрешения DNS-имен

Рисунок Microsoft Windows

Чтобы включить разрешение DNS-имен

  1. Создайте консоль, содержащую оснастку «Монитор IP-безопасности». Или откройте сохраненный файл консоли, содержащей оснастку «Монитор IP-безопасности».
  2. Щелкните правой кнопкой мыши имя сервера.

    Где?

    • Монитор IP-безопасности
    • ИмяСервера
  3. Выберите команду Свойства.
  4. Установите флажок Включить DNS.

Примечания

  • Для получения сведений о запуске оснастки «Монитор IP-безопасности» щелкните ссылку «См. также».
  • Флажок Включить DNS задает режим использования обратных запросов DNS и сообщений о состоянии адаптера NetBIOS для разрешения DNS- или NetBIOS-имени компьютера, связанного с IP-адресом, при отображении источников и назначений. Для разрешения IP-адреса компьютера в его DNS-имя необходимо, чтобы в инфраструктуре DNS присутствовали соответствующие обратные домены и записи указателя (PTR), настроенные вручную или с помощью динамического обновления DNS. Для разрешения IP-адреса компьютера в его NetBIOS-имя необходимо включить на компьютере NetBIOS через TCP/IP.

См. также


Основные понятия

В этом разделе рассмотрены следующие темы.

  • Общие сведения о безопасности протокола IP
  • Общее представление о безопасности протокола IP
  • Внедрение безопасности протокола IP
  • Администрирование безопасности протокола IP
  • Ресурсы


Общие сведения о безопасности протокола IP

В этом разделе рассмотрены следующие темы.

  • Определение безопасности протокола IP
  • Вопросы безопасности протокола IP
  • Основные сведения о политике безопасности IPSec
  • Всесторонняя защита
  • Защита от атак
  • Защита третьего уровня сети
  • Безопасность, основанная на политике
  • Упрощенная процедура внедрения


Определение безопасности протокола IP

Безопасность протокола IP (IPSec) является моделью общих стандартов для обеспечения безопасных конфиденциальных подключений через IP-сети с помощью криптографических служб безопасности. Реализация IPSec в Windows XP основана на стандартах, разработанных рабочей группой IETF (Internet Engineering Task Force).

IPSec представляет долгосрочное направление в области сетевой безопасности. Эта технология обеспечивает агрессивную защиту от атак из частных сетей и Интернета, используя модель безопасности «узел-узел». Об использовании IPSec должны знать только два компьютера — отправляющая и принимающая стороны связи. В Windows XP IPSec обеспечивает возможность защиты связей между рабочими группами, компьютерами локальной сети, клиентами и серверами домена, дочерними подразделениями организации (которые могут быть удаленными), внешними сетями и мобильными клиентами.


Вопросы безопасности протокола IP

Без защиты как общедоступные, так и частные сети уязвимы для несанкционированного наблюдения и доступа. Внутренние атаки могут быть результатом отсутствия защиты или использования минимальной защиты. Опасность внешних атак на частную сеть представляют подключения к Интернету и внешним сетям. Один лишь контроль за доступом пользователей при помощи паролей не защищает данные, передаваемые по сети.

Общие типы сетевых атак

Без принятия мер безопасности и контроля данные могут подвергнуться атаке. Некоторые атаки являются пассивными, то есть за данными только ведется наблюдение. Другие атаки являются активными и предполагают изменение данных с намерением повредить или уничтожить эти данные или саму сеть. Сети и данные уязвимы для любых из перечисленных ниже типов атак при отсутствии плана безопасности.

Прослушивание

Обычно большая часть обмена данными через сеть происходит в незашифрованном формате, что позволяет злоумышленникам, получившим доступ к путям передачи данных в сети, наблюдать за трафиком и интерпретировать (читать) его. Наблюдение злоумышленниками за линиями связи называется незаконным доступом или прослушиванием. Возможность злоумышленников наблюдать за сетью является самой серьезной проблемой безопасности, с которой могут сталкиваться администраторы в организации. Без надежных служб шифрования, основанных на криптографии, данные можно прочесть во время их передачи по сети.

Изменение данных

После прочтения данных злоумышленником следующим логическим шагом часто является их изменение. Для изменения данных в пакете злоумышленнику не обязательно знать, кем и кому они отправлены. Даже при отсутствии потребности в защите всех связей изменение каких-либо сообщений на пути их следования нежелательно. Например, при обмене заявками на приобретение нежелательно изменение сведений о наименовании товара, объеме заказа и его стоимости.

Подмена идентификации (подмена IP-адреса)

Большинство сетей и операционных систем использует IP-адреса для идентификации компьютеров в качестве полноправных узлов сети. В некоторых случаях возможно использование фальшивых IP-адресов. Такое использование IP-адресов называют подменой идентификации. Злоумышленники могут использовать специальные программы для создания пакетов IP, выглядящих как отправленные с действующих адресов в интрасети организации.

После получения доступа к сети с помощью действительного IP-адреса злоумышленник может изменять, перенаправлять или удалять данные. Кроме того, злоумышленник получает возможность проведения других типов атак, описанных ниже.

Атаки на пароли

Большинство планов безопасности операционных систем и сетей предусматривает управление доступом с помощью паролей. Доступ к ресурсам компьютера и сети определяется именем пользователя и паролем.

Ранние версии компонентов операционной системы не всегда защищают сведения об идентификации во время их передачи по сети для проверки. Это может позволить определить действующие имя пользователя и пароль с помощью прослушивания сети, а затем использовать полученные сведения для получения доступа к сети.

Злоумышленник, нашедший действующую учетную запись и получивший к ней доступ, пользуется теми же правами, что и владелец этой учетной записи. Например, если пользователь имеет права администратора, злоумышленник сможет создавать дополнительные учетные записи для последующего доступа.

После получения доступа к сети с помощью действующей учетной записи злоумышленник сможет выполнять любые из следующих задач:

  • получение списка действующих имен пользователей и компьютеров и сведений о сети;
  • изменение конфигураций серверов и сети, включая таблицы управления доступом и маршрутизации;
  • изменение, перенаправление или удаление данных.

Атаки на службу

В отличие от атак на пароли, атаки на службу мешают нормальному использованию компьютера или сети действующими пользователями.

После получения доступа к сети злоумышленник сможет выполнять любые из следующих задач.

  • Сбить с толку сотрудников информационных систем, чтобы они не обнаружили проникновение сразу же. Это дает злоумышленнику возможность выполнения дополнительных атак.
  • Отправить в приложения или сетевые службы недопустимые данные, вызывающие закрытие или неправильную работу приложений или служб.
  • Повысить трафик до прекращения работы компьютера или всей сети.
  • Блокировать трафик, что приведет к потере доступа к ресурсам сети пользователями, прошедшими проверку.

Атаки «третьего»

Как видно из названия, атаки «третьего» подразумевают вклинивание злоумышленника между двумя сторонами соединения и активное наблюдение, перехват или управление обменом данными без ведома отправителя и получателя. Например, злоумышленник может согласовать ключи шифрования с обеими сторонами соединения. Затем каждая из сторон отправляет зашифрованные данные злоумышленнику, который может расшифровать эти данные. При обмене данными на низких сетевых уровнях компьютеры могут оказаться не в состоянии определить, с какими именно компьютерами ведется обмен данными.

Атаки с подбором ключа

Ключ представляет собой секретный код или число, необходимое для шифрования, расшифровки или проверки защищенных данных. Определить ключ злоумышленникам сложно, для этого процесса требуются значительные ресурсы, тем не менее это возможно. Определенный злоумышленником ключ называется подобранным ключом.

Злоумышленник использует подобранный ключ для получения доступа к защищенному соединению без ведома отправляющей или принимающей стороны. С помощью подобранного ключа злоумышленник может расшифровывать или изменять данные. Кроме того, злоумышленник может использовать подобранный ключ для вычисления других ключей, которые могут открывать доступ к другим защищенным соединениям.

Атаки с использованием средств прослушивания

Средство прослушивания представляет собой приложение или устройство, способное считывать, отслеживать и записывать обмены данными по сети и пакеты. Если пакеты не зашифрованы, средство прослушивания дает полное представление данных, находящихся внутри пакета. Даже инкапсулированные (туннельные) пакеты могут быть открыты и прочитаны, если они не зашифрованы.

С помощью средств прослушивания злоумышленник может выполнять следующие задачи:

  • анализировать сеть и получать доступ к сведениям, что может вызывать сбои в работе сети или повредить ее;
  • перехватывать конфиденциальные сообщения.

Атаки на уровне приложений

Атаки на уровне приложений нацелены на серверы приложений, вызывая сбой в работе операционной системы или приложений сервера. Это приводит к получению злоумышленником возможности обходить обычные средства управления доступом. Злоумышленник использует это преимущество, получая управление приложением, системой или сетью, и может выполнять любые из следующих действий:

  • читать, добавлять, удалять или изменять данные или операционную систему;
  • внедрить вирус, использующий компьютеры и программное обеспечение для копирования вирусов по всей сети;
  • внедрить прослушивающую программу для анализа сети и получения сведений, которые могут быть использованы для вывода сети из строя;
  • принудительно завершать работу приложений или операционных систем;
  • отключать другие средства безопасности для проведения атак в будущем.


Основные сведения о политике безопасности IPSec

IPSec представляет собой долгосрочное направление в области сетевой безопасности. Создавая ключевую линию обороны на случай атак из частной сети и Интернета, IPSec в то же время обеспечивает баланс между безопасностью и простотой использования.

IPSec имеет две цели.

  1. Защитить содержимое пакетов IP.
  2. Обеспечить защиту от сетевых атак путем фильтрации пакетов и принуждения к использованию доверенных соединений.

Обе цели достигаются за счет использования служб защиты на основе криптографии, протоколов безопасности и динамического управления ключами. Такая основа обеспечивает надежность и гибкость для защиты соединений между компьютерами частной сети, доменами, сайтами, удаленными сайтами, внешними сетями и клиентами удаленного доступа. Она даже позволяет блокировать прием или передачу конкретных типов трафика.

IPSec использует модель безопасности «узел-узел» с установкой доверия и безопасности между исходным и конечным IP-адресами. Сам по себе IP-адрес не имеет учетных данных, а система, представленная этим IP-адресом, имеет учетные данные, которые проверяются с помощью процесса проверки подлинности. О защищаемом трафике должны знать только два компьютера — отправляющий и принимающий. Каждый из компьютеров предпринимает меры безопасности на своей стороне соединения, исходя из предположения о том, что среда, через которую передаются данные, небезопасна. Для компьютеров, которые только маршрутизируют данные от исходной точки в конечную, поддержка IPSec необязательна, кроме случаев, когда между двумя компьютерами выполняется брандмауэрная фильтрация пакетов или преобразование сетевых адресов. Эта модель позволяет успешно развертывать IPSec для следующих сценариев.

  • Локальная сеть (клиент-сервер, одноранговая сеть).
  • Глобальная сеть (маршрутизатор-маршрутизатор, шлюз-шлюз).
  • Удаленный доступ (клиенты с удаленным подключением и доступ к Интернету через частные сети).

Как правило, на обеих сторонах соединения необходима конфигурация IPSec (называемая политикой IPSec) для задания параметров безопасности, позволяющих двум системам согласовать способ защиты трафика между ними. Реализация IPSec в Windows XP основана на промышленных стандартах, разработанных рабочей группой IETF (Internet Engineering Task Force). Компоненты служб, связанных с IPSec, были совместно разработаны корпорацией Майкрософт и Cisco Systems, Inc.


Всесторонняя защита

Данные должны быть защищены от несанкционированного перехвата, изменения или доступа. Сетевые атаки могут привести к прекращению работы системы и раскрытию конфиденциальных сведений.

Стратегии сетевой безопасности главным образом фокусируются только на предотвращении атак на частную сеть извне с помощью брандмауэров, защищенных маршрутизаторов (шлюзов безопасности) и проверки подлинности пользователей удаленного доступа. Это называется защитой периметра и не помогает защититься от атак из самой сети.

Методы безопасности, контролирующие доступ пользователей (например, проверка подлинности Kerberos V5), не помогают защититься от атак сетевого уровня, так как используют только имена и пароли пользователей. На многих компьютерах работает по несколько пользователей. В результате компьютеры часто остаются без присмотра после проверки имени пользователя и пароля. При использовании злоумышленником уже проверенных имени пользователя и пароля или компьютера защита на основе доступа пользователей не может предотвратить доступ злоумышленника к сетевым ресурсам.

Стратегии защиты на физическом уровне, используемые не так широко, защищают от использования физическую инфраструктуру сети и точки доступа. Однако, это редко гарантирует защиту всего пути данных через сеть, от источника до места назначения.

Наилучший уровень защиты обеспечивает модель IPSec «узел-узел». В соответствии с этой моделью компьютер защищает данные перед их передачей (до попадания данных в физическую инфраструктуру сети), а принимающий компьютер проверяет безопасность данных только после их получения. По этой причине IPSec следует включить в многоуровневый план безопасности предприятия. IPSec защищает личные данные в общедоступной среде, при помощью шифрования обеспечивая надежную защиту от атак. Защита всего сетевого трафика обеспечивается на уровне пакетов, а не для связи (потока пакетов) в целом. При использовании в сочетании с надежным контролем за доступом пользователей, защитой периметра и безопасностью на физическом уровне IPSec обеспечивает всестороннюю защиту данных.


Защита от атак

IPSec защищает данные таким образом, что расшифровать их при несанкционированном доступе крайне трудно или просто невозможно. Уровень предоставляемой защиты определяется надежностью уровней безопасности, заданных в структуре политики IPSec.

IPSec обладает рядом возможностей, предотвращающих или значительно снижающих эффективность атак, рассматриваемых в разделе Вопросы безопасности протокола IP.

  • Анализаторы пакетов (недостаточная конфиденциальность)

    • Протокол ESP (Encapsulating Security Payload) в IPSec обеспечивает конфиденциальность данных путем шифрования полезных данных в пакетах IP.

  • Изменение данных

    • IPSec применяет ключи шифрования, используемые только отправляющим и принимающим компьютерами, для создания криптографической контрольной суммы для каждого пакета IP. Любые изменения данных в пакете изменяют контрольную сумму, что указывает принимающему компьютеру, что пакет был изменен во время передачи.

  • Атаки с подменой идентификации, атаки на пароли, атаки на уровне приложений и атаки на службу

    • IPSec позволяет выполнять обмен и проверку идентификации без раскрытия этих сведений для интерпретации атакующим. Обоюдная проверка подлинности используется для установки доверительных отношений между взаимодействующими системами; обмениваться данными друг с другом могут только доверенные системы. После установки подлинности IPSec применяет ключи шифрования, используемые только отправляющим и принимающим компьютерами, для создания криптографической контрольной суммы для каждого пакета IP. Криптографическая контрольная сумма гарантирует, что каждый пакет мог быть отправлен только компьютерами, которым известны соответствующие ключи.

  • Атаки «третьего»

    • IPSec использует обоюдную проверку подлинности в сочетании с общими ключами шифрования.

  • Атаки на службу

    • Для определения состояния обмена данными (разрешен, защищен или блокирован) IPSec использует методологию фильтрации пакетов IP по диапазонам IP-адресов, протоколам IP или даже конкретным портам TCP и UDP.


Защита третьего уровня сети

Этот наиболее распространенный уровень безопасности, обеспечиваемый IPSec, требует модификации системы. Однако стратегическое внедрение IPSec на уровне IP (сетевой уровень 3) обеспечивает высокий уровень защиты, прозрачной для большинства приложений, служб и протоколов верхнего уровня. Развертывание IPSec не требует внесения изменений в существующие приложения или операционные системы, а политики можно либо определить централизованно в Active Directory, либо управлять ими локально на компьютере.

Внедрение безопасности на третьем уровне сети может обеспечить защиту для всех протоколов семейства TCP/IP, начиная с уровня IP и выше, таких как TCP, UDP, ICMP, Raw (протокол 255), а также для специальных протоколов, передающих данные на уровне IP. Основным преимуществом защиты сведений на нижнем уровне является то, что все приложения и службы, использующие IP для транспортировки данных, могут быть защищены с помощью IPSec без какого-либо изменения этих приложений или служб.

Другие службы безопасности, действующие выше третьего сетевого уровня, например SSL (Secure Sockets Layer), обеспечивают безопасность только для приложений, способных использовать SSL (например, для обозревателей Интернета). Для защиты соединений для всех приложений на компьютере с помощью SSL необходимо изменить каждое приложение. Службы безопасности, действующие ниже третьего сетевого уровня, такие как шифрование уровня связи, защищают только конкретную связь, но не обязательно все связи на пути следования данных. Это делает шифрование уровня связи непригодным для защиты данных, передаваемых с одного узла на другой через Интернет или интрасеть.


Безопасность, основанная на политике

Хотя более надежные методы безопасности, основанные на криптографии стали необходимыми для полной защиты обмена данными, они часто значительно усложняют администрирование. Для снижения нагрузки на администраторов IPSec использует администрирование на основе политик.

Для настройки служб безопасности IPSec используются политики IPSec, а не интерфейсы программирования приложений (API). Эти политики обеспечивают различные уровни безопасности для большинства типов трафика в большинстве существующих сетей.

Политики IPSec могут быть настроены в соответствии с имеющимися требованиям к безопасности компьютера, приложения, подразделения, домена, сайта или всего предприятия. С помощью оснастки «Политики безопасности IP» в Windows XP можно определять политики IPSec для компьютеров через Active Directory (для членов домена) или на локальном компьютере (для компьютеров, не входящих в домен).


Упрощенная процедура внедрения

Чтобы обеспечить безопасную связь с низкими затратами для владельца, Windows XP упрощает развертывание политик IPSec с помощью следующих средств.

  • Интеграция с моделями безопасности Windows 2000.

    • IPSec использует безопасный домен Windows 2000 как модель доверительных отношений. По умолчанию политики IPSec используют стандартный метод проверки подлинности Active Directory (по протоколу Kerberos V5) для идентификации компьютеров, участвующих в обмене данными, и установки доверия между ними. Компьютеры, входящие в домен Windows 2000 и находящиеся в доверенных доменах, могут легко устанавливать безопасные соединения IPSec.

  • Централизованное администрирование политик IPSec через Active Directory.

    • Политики IPSec могут назначаться через конфигурацию групповой политики доменов Active Directory и подразделений. Это позволяет назначать политику IPSec на уровне домена, сайта или подразделения и исключить излишнее администрирование, требующееся при задании конфигурации отдельных компьютеров.

  • Прозрачность IPSec для пользователей и приложений.

    • Интеграция на уровне IP (сетевой уровень 3) обеспечивает безопасность для любого протокола в наборе протоколов TCP/IP. Нет необходимости по отдельности определять параметры безопасности для каждого протокола в наборе TCP/IP, поскольку приложения, использующие TCP/IP, передают данные на уровень протокола IP, где и обеспечивается защита.

  • Гибкая конфигурация безопасности.

    • Допускается настройка служб безопасности в каждой политике для обеспечения большинства требований безопасности сети и передачи данных.

  • Автоматическое управление ключами

    • Службы обмена ключами в Интернете (IKE) динамически выполняют обмен и управление криптографическими ключами между компьютерами, поддерживающими связь.

  • Автоматическое согласование настроек безопасности.

    • Службы обмена ключами в Интернете (IKE) динамически согласовывают общий набор параметров безопасности между компьютерами на обеих сторонах соединения, что устраняет необходимость наличия на обоих компьютерах одинаково настроенных политик.

  • Поддержка инфраструктуры открытого ключа.

    • Поддерживается использование сертификатов открытого ключа для проверки подлинности. Это позволяет установить доверие и безопасную связь для компьютеров, не входящих в доверенный домен Windows 2000; имеющих операционную систему, отличную от Windows; компьютеров, не являющихся членами доверенных доменов; а также для случаев, когда доступ к компьютерам должен предоставляться группам, более узким, чем это допускается средствами проверки подлинности в домене.

  • Поддержка общего ключа

    • Если проверка подлинности с помощью протокола Kerberos V5 или сертификатов открытого ключа невозможна, можно задать конфигурацию проверки подлинности с общим ключом.

Примечание

  • Интеграция с моделью безопасности Windows 2000, централизованное администрирование политик IPSec через Active Directory и использование протокола Kerberos V5, описанные здесь, неприменимы к компьютерам с Windows XP Home Edition.


Общее представление о безопасности протокола IP

В данной главе рассматриваются ключевые вопросы и терминология, необходимые для начала работы со средствами безопасности IPSec. В этом разделе рассмотрены следующие темы.

  • Службы безопасности IPSec
  • Типы протокола IPSec
  • Компоненты IPSec
  • Процесс работы IPSec
  • Виртуальные частные сети и IPSec
  • Описание политики IPSec


Службы безопасности IPSec

IPSec обеспечивает высокий уровень безопасности с помощью служб на основе криптографии. Криптография позволяет безопасно передавать данные путем их хеширования (для обеспечения целостности и проверки подлинности) и шифрования (для обеспечения конфиденциальности).

Для защиты данных используется сочетание алгоритма шифрования и ключа. Алгоритм — это математический процесс защиты данных. Ключ — это секретный код или номер, необходимый для чтения, изменения или проверки защищенных данных.

IPSec предоставляет или использует следующие службы безопасности.

  • Свойства безопасности
  • Проверка подлинности с помощью сертификата открытого ключа
  • Проверка подлинности с помощью общего ключа
  • Криптография с применением открытого ключа
  • Обеспечение целостности данных с помощью хеш-функций
  • Обеспечение конфиденциальности данных с помощью шифрования
  • Управление ключами


Свойства безопасности

Для безопасных соединений IPSec поддерживает следующие свойства.

  • Защита от повторений

    • Гарантирует уникальность каждого пакета IP. Защиту от повторений также называют предотвращением повторов. Защита от повторений обеспечивает невозможность повтора или повторного использования сообщений, перехваченных злоумышленником, для установки сеанса или незаконного получения сведений. Это обеспечивает защиту от попыток перехвата сообщений с целью последующего (возможно, через несколько месяцев) использования идентичных сообщений для незаконного получения доступа к ресурсам.

  • Проверка целостности

    • Защищает данные от несанкционированного изменения при передаче, обеспечивая получение сведений в том же виде, в котором они были отправлены. Хеш-функции подписывают каждый пакет криптографической контрольной суммой с помощью общего секретного ключа. Ключ, используемый для вычисления контрольной суммы, имеется только у отправителя и получателя. Если содержимое пакета было изменено, проверка контрольной суммы оканчивается сбоем, и пакет отбрасывается.

  • Конфиденциальность (шифрование)

    • Гарантирует раскрытие данных только для указанных получателей. Данные пакетов шифруются перед передачей, что гарантирует невозможность их прочтения во время передачи даже при отслеживании или перехвате злоумышленником. Прочесть данные после их расшифровки смогут только участники соединения, имеющие общий секретный ключ. Это свойство является необязательным и зависит от параметров политики IPSec.

  • Проверка подлинности

    • Подтверждает, что сообщение могло быть отправлено только с компьютера, обладающего общим секретным ключом. Отправитель добавляет к сообщению код проверки подлинности сообщения с вычислением, содержащим общий секретный ключ. Получатель выполняет то же вычисление и, если результат не совпадает с кодом проверки подлинности сообщения, сообщение отбрасывается. Код проверки подлинности сообщения представляет собой то же, что и криптографическая контрольная сумма, используемая для проверки целостности.


Проверка подлинности с использованием открытого ключа на основе сертификата

Эффективно внедренная инфраструктура открытого ключа, в которой учетные данные безопасности могут быть представлены без их раскрытия, устраняет многие проблемы безопасности. IPSec работает с инфраструктурой открытого ключа для обеспечения проверки подлинности компьютеров на основе сертификатов.

Сертификат открытого ключа, гарантирующий соответствие истинных учетных данных заявленным, является одним из надежных типов проверки подлинности.

Сертификаты открытого ключа подобны цифровым паспортам. Они используются для удостоверения учетных данных компьютеров с операционными системами, отличными от Windows, автономных компьютеров, клиентов, не являющихся членами доверенного домена, а также компьютеров, не поддерживающих протокол проверки подлинности Kerberos V5 (метод проверки подлинности, используемый в Windows XP по умолчанию).


Проверка подлинности с помощью общего ключа

IPSec может использовать предварительные общие ключи для проверки подлинности. Предварительным ключ называют потому, что после согласования общего секретного ключа сторонами соединения он становится частью политики IPSec. Во время согласования безопасности отправитель перед отправкой зашифровывает сведения с помощью общего ключа, а получатель расшифровывает их с помощью того же ключа. Если получатель смог расшифровать сведения, подлинность учетных данных считается проверенной.

Частое использовать проверку подлинности с помощью предварительного общего ключа не рекомендуется, поскольку ключ проверки подлинности хранится (в незащищенном состоянии) в политике IPSec. Методология предварительных общих ключей предоставлена для обеспечения возможности взаимодействия с использованием стандартов IPSec.


Криптография с применением открытого ключа

IPSec внедряет криптографию с применением открытого ключа для проверки подлинности (подписание сертификатов) и обмена ключами (алгоритм Диффи-Хелмана). Криптография с применением открытого ключа обладает всеми возможностями криптографии с применением секретного ключа, но в целом более безопасна, поскольку требует двух ключей, один из которых используется для подписания и шифрования данных, а другой — для проверки подписи и расшифровки данных. Криптография с применением двух ключей называется асимметричной.

Каждый пользователь имеет личный (закрытый) ключ, неизвестный никому другому, и широко распространенный открытый ключ. Например, если Мария хочет отправить защищенное сообщение Ивану, она использует для шифрования сообщения открытый ключ Ивана. Расшифровать это сообщение сможет только Иван, поскольку для расшифровки требуется его закрытый ключ. Хотя ключи в паре связаны друг с другом, определить закрытый ключ по открытому ключу математически невозможно.


Обеспечение целостности данных с помощью хеш-функций

Подписание пакетов кодами HMAC обеспечивает проверку точного совпадения полученных и отправленных данных. Это называется проверкой целостности и имеет критическую важность при обмене данными через небезопасные среды.

Коды HMAC обеспечивают целостность путем создания хеша с ключом, математически обрабатывая сообщение с применением функции (алгоритма) хеширования в сочетании с общим секретным ключом. Хеш обычно описывается как подпись на пакете. Однако хеш отличается от цифровой подписи. Хеш использует секретный общий ключ, а цифровая подпись — технологию открытого ключа и закрытый ключ отправляющего компьютера. Цифровая подпись обеспечивает невозможность отрицания авторства, а хеш — нет. Функции хеширования также называют односторонними. С помощью односторонних функций легко получить хеш из сообщения, но определить исходное сообщение из хеша математически невозможно. Двусторонние функции, напротив, позволяют получить исходное сообщение из преобразованной формы. Примерами двусторонних функций являются схемы шифрования и расшифровки.

Хеш представляет собой криптографическую контрольную сумму или код целостности сообщения, который должен быть вычислен каждой стороной соединения для проверки сообщения. Например, отправляющий компьютер использует функцию хеширования и общий ключ для вычисления контрольной суммы сообщения, добавляемой в пакет. Принимающий компьютер должен выполнить ту же хеш-функцию над полученным сообщением и общим ключом, а затем сравнить результат с исходным (включенным в полученный пакет). Если сообщение было изменено на пути следования, значения хеша отличаются и пакет отбрасывается.

Для проверки целостности при настройке политики можно выбрать одну из двух хеш-функций.

  • Алгоритм MD5 (Message Digest 5) основан на RFC 1321.

    • Разработан как ответ на обнаруженную ненадежность алгоритма MD4. MD5 обрабатывает блоки данных в четыре прохода (MD4 выполнял три прохода), каждый раз используя различные числовые константы для каждого слова в сообщении. Число 32-разрядных констант, используемых при вычислениях по алгоритму MD5, равно 64, что в конечном счете дает 128-разрядный хеш, который используется для проверки целостности. Алгоритм MD5 обеспечивает целостность более надежно, чем MD4, хотя и более интенсивно использует ресурсы.

  • SHA1 (Secure Hash Algorithm 1) был разработан национальным институтом стандартов и технологии США (National Institute of Standards and Technology, NIST), как описано в документе FIPS (Federal Information Processing Standard) PUB 180-1.

    • Процесс SHA во многом напоминает MD5. Вычисления SHA1 создают 160-разрядный хеш, который используется для проверки целостности. Поскольку надежность хеша прямо пропорциональна его длине, SHA надежнее, чем MD5.


Обеспечение конфиденциальности данных с помощью шифрования

IPSec в Windows XP использует для обеспечения конфиденциальности (шифрования данных) принятый в США стандарт шифрования данных DES (Data Encryption Standard). Алгоритм DES был опубликован в 1977 Национальным бюро стандартов США. IPSec предоставляет возможность частой смены ключей во время обмена данными. Это предотвращает раскрытие всех данных в случае подбора одного ключа DES.

DES представляет собой блочный шифр, использующий 56-разрядный ключ. Блочный шифр — это алгоритм шифрования, оперирующий фиксированными блоками данных. DES зашифровывает данные 64-разрядными блоками с использованием 64-разрядного ключа. Ключ выглядит как 64-разрядным, но один разряд в каждых 8 байтах используется для проверки ошибок, то есть фактически ключ является 56-разрядным.

Для скрытия цепочек повторения идентичных блоков данных в пределах пакета используется CBC (Cipher Block Chaining). В качестве первого случайного блока для шифрования и расшифровки блока данных используется вектор инициализации (случайное начальное число). Для шифрования каждого последующего блока используются различные случайные блоки в сочетании с секретным ключом. Это гарантирует преобразование идентичных наборов незащищенных данных в уникальные блоки зашифрованных данных.

IPSec в Windows XP поддерживает следующие алгоритмы шифрования.

  • DES

    • Используется в ситуациях, когда высокий уровень безопасности не требуется, а вычислительная нагрузка 3DES нежелательна.

  • 3DES

    • Используется в ситуациях, когда требуется высокий уровень безопасности. 3DES обрабатывает каждый блок три раза, каждый раз используя уникальный 56-разрядный ключ:

    1. шифрование блока с ключом 1;
    2. расшифровка блока с ключом 2;
    3. шифрование блока с ключом 3.

    При расшифровке пакета процесс выполняется в обратном порядке.


Управление ключами

Ключ — это секретный код или число, необходимое для чтения, изменения или проверки защищенных данных. Ключи используются в сочетании с алгоритмами (математический процесс) защиты данных. Windows XP автоматически создает ключ и внедряет следующие свойства ключа для максимального повышения защиты.

  • Динамическая смена ключей

    • Политика IPSec задает частоту создания новых ключей во время обмена данными, используя так называемый метод динамической смены ключей. Данные пересылаются блоками, для защиты каждого из которых используется свой ключ. В случае получения злоумышленником части пересылаемых данных это предотвращает получение им остальных пересылаемых данных. Эта служба согласования безопасности по требованию и автоматического управления ключами поддерживается с помощью IKE согласно определениям в RFC 2409 «Обмен ключами в Интернете (IKE)».

    Политика IPSec позволяет управлять частотой создания новых ключей. Если значения не заданы, смена ключей выполняется автоматически с интервалом по умолчанию.

  • Длина ключа

    • При увеличении длины ключа на один бит число возможных вариантов ключа удваивается, что на порядок повышает надежность ключа. Политика IPSec предоставляет несколько алгоритмов для использования коротких или длинных ключей.

  • Создание ключа: алгоритм Диффи-Хелмана.

    • Для обеспечения безопасности связи двух компьютеров необходимо, чтобы они могли получить один общий ключ (ключ сеанса), не пересылая его друг другу через сеть.

    Алгоритм Диффи-Хелмана предшествует шифрованию RSA (Rivest-Shamir-Adleman) и обеспечивает лучшее быстродействие. Это один из старейших и наиболее безопасных алгоритмов, используемых для обмена ключами. Стороны соединения обмениваются сведениями о ключе, которые Windows XP дополнительно защищает подписью хеш-функции. Обмен собственно ключами никогда не производится, однако после обмена материалом для ключа каждая из сторон может создать идентичные общие ключи.

    Материал для ключа Диффи-Хелмана, которым обмениваются стороны соединения, может быть основан на 768 или 1024 битах материала для ключа, называемых группами Диффи-Хелмана. Надежность группы Диффи-Хелмана пропорциональна надежности ключа, вычисляемого после обмена данными Диффи-Хелмана. Надежные группы Диффи-Хелмана в сочетании с ключами большой длины повышают объем вычислений, необходимых для подбора ключа.

    IPSec использует алгоритм Диффи-Хелмана для предоставления материала для создания всех прочих ключей шифрования. Алгоритм Диффи-Хелмана не обеспечивает проверку подлинности. Реализация IPSec в Windows XP предусматривает проверку подлинности учетных данных после обмена данными Диффи-Хелмана, что обеспечивает защиту от атак «третьего».


Типы протокола IPSec

Протоколы IPSec обеспечивают защиту данных и подлинности для каждого пакета IP, добавляя в каждый пакет собственные заголовки.

Сведения об использовании протоколов AH и ESP в транспортном и туннельном режимах см. в следующих разделах:

  • Режим транспорта
  • Туннельный режим


Режим транспорта

Режим транспорта обеспечивает защиту полезных данных IP с помощью заголовков AH или ESP. Типичными полезными данными IP являются TCP-сегменты (содержащие заголовок TCP и данные TCP-сегмента), сообщение UDP (содержащее заголовок UDP и данные сообщения UDP) и сообщение ICMP (содержащее заголовок ICMP и данные сообщения ICMP).

Режим транспорта AH

AH (Authentication Header — заголовок проверки подлинности) обеспечивает проверку подлинности, целостность и отсутствие повторов для всего пакета (заголовка IP и полезных данных). Конфиденциальность при этом не обеспечивается, то есть данные не шифруются. Данные доступны для чтения, но защищены от изменения. Для подписания пакетов AH использует алгоритмы хеширования с ключами. Дополнительные сведения см. в разделе Обеспечение целостности данных с помощью хеш-функций.

Например, Мария с компьютера А отправляет данные Ивану на компьютер Б. Заголовок IP (заголовок AH) и данные защищены алгоритмом поддержки целостности. Это позволяет Ивану быть уверенным в том, что данные были отправлены именно Марией и не были изменены.

Проверка целостности и подлинности обеспечивается путем вставки заголовка AH между заголовком IP и полезными данными IP, как показано на следующей иллюстрации.

AH

Заголовок AH определяется в заголовке IP номером IP-протокола 51. Заголовок AH может быть использован отдельно или вместе с протоколом ESP.

Заголовок AH содержит следующие поля.

  • Следующий заголовок

    • Определяет полезные данные IP с помощью номера IP-протокола. Например, номер 6 обозначает протокол TCP.

  • Длина

    • Указывает длину заголовка AH.

  • Индекс параметров безопасности (Security Parameters Index, SPI)

    • Используется в сочетании с адресом назначения и протоколом безопасности (AH или ESP) для идентификации правильного сопоставления безопасности для соединения. Получатель использует это значение для определения сопоставления безопасности, идентифицирующего пакет.

  • Порядковый номер

    • Обеспечивает защиту от повторов для сопоставления безопасности. Порядковый номер является 32-разрядным последовательно возрастающим числом (начиная с 1), которое указывает номер пакета, отправленного по безопасной связи. Порядковый номер не может повторяться в течение времени жизни сопоставления безопасности. Получатель проверяет это поле, чтобы убедиться в том, что пакет для сопоставления безопасности с таким номером не был получен ранее. Если пакет был уже получен, он не принимается.

  • Данные проверки подлинности

    • Содержат значение проверки целостности (также называемое кодом проверки подлинности сообщения), которое используется для проверки как подлинности, так и целостности сообщения. Для проверки целостности получатель вычисляет значение проверки целостности и сверяет его с этим значением (которое вычисляется отправителем). Значение проверки подлинности вычисляется для заголовка IP, заголовка AH и полезных данных IP.

Подпись пакета с заголовком AH

Заголовок AH подписывает для проверки целостности весь пакет, за исключением некоторых полей в заголовке IP, которые могут быть изменены при передаче (например, полей срока жизни и типа службы). Если помимо заголовка AH используется другой заголовок IPSec, заголовок AH вставляется перед любыми другими заголовками IPSec. Подпись пакета AH показана на следующей иллюстрации.

Подпись пакета с заголовком AH

Режим транспорта ESP

ESP (Encapsulating Security Payload) обеспечивает конфиденциальность полезных данных IP (в дополнение к проверке подлинности, целостности и отсутствию повторов). ESP в режиме транспорта не подписывает весь пакет. Обеспечивается защита только полезных данных IP, но не заголовка IP. ESP может использоваться отдельно или в сочетании с AH.

Например, Мария с компьютера А отправляет данные Ивану на компьютер Б. Полезные данные IP зашифрованы и подписаны для целостности. При получении, после завершения процесса проверки целостности, полезные данные пакета расшифровываются. Иван может быть уверен в том, что данные отправлены именно Марией, что они не были изменены, а также в том, что никто другой не смог их прочесть.

ESP определяется в заголовке IP номером IP-протокола 50. Как показано на следующем рисунке, заголовок ESP размещается перед полезными данными IP, а трейлер ESP и трейлер проверки подлинности ESP помещаются за полезными данными IP.

Заголовок ESP

Заголовок ESP состоит из следующих полей.

  • Индекс параметров безопасности

    • Идентифицирует правильное сопоставление безопасности для соединения при использовании в сочетании с адресом назначения и протоколом безопасности (AH или ESP). Получатель использует это значение для определения сопоставления безопасности, с которым следует идентифицировать данный пакет.

  • Порядковый номер

    • Обеспечивает защиту от повторов для сопоставления безопасности. Порядковый номер является 32-разрядным последовательно возрастающим числом (начиная с 1), которое указывает номер пакета, отправленного по безопасной связи. Порядковый номер не может повторяться в течение времени жизни сопоставления безопасности. Получатель проверяет это поле, чтобы убедиться в том, что пакет для сопоставления безопасности с таким номером не был получен ранее. Если пакет был уже получен, он не принимается.

Трейлер ESP состоит из следующих полей.

  • Балласт

    • От 0 до 255 байт, используемых для придания зашифрованным полезным данным вместе с балластом размера в байтах, требуемого алгоритмом шифрования.

  • Длина балласта

    • Указывает длину поля балласта (в байтах). Получатель использует это поле для удаления балластных байтов после расшифровки полезных данных вместе с балластом.

  • Следующий заголовок

    • Указывает тип полезных данных, например TCP или UDP.

Трейлер проверки подлинности ESP состоит из следующего поля.

  • Данные проверки подлинности

    • Содержит значение проверки целостности (также называемое кодом проверки подлинности сообщения), которое используется для проверки как подлинности, так и целостности сообщения. Для проверки целостности получатель вычисляет значение проверки целостности и сверяет его с этим значением (которое вычисляется отправителем). Значение проверки подлинности вычисляется для заголовка ESP, полезных данных IP и трейлера ESP.

Подпись пакета и шифрование

Как показано на следующей иллюстрации, ESP обеспечивает защиту полезных данных IP. Подписанная часть пакета показывает, где была поставлена подпись, удостоверяющая его целостность и подлинность. Зашифрованная часть пакета показывает, что информация является защищенной и конфиденциальной.

ESP

Заголовок IP не подписан и не обязательно защищен от изменения. Для обеспечения целостности и проверки подлинности данных для заголовка IP используются ESP и AH.


Туннельный режим

Туннельный режим обеспечивает защиту всего пакета IP, рассматривая его как полезные данные AH или ESP. При использовании туннельного режима весь пакет IP инкапсулируется в заголовок AH или ESP и дополнительный заголовок IP. IP-адреса внешнего заголовка IP указывают конечные точки туннеля, а IP-адреса инкапсулированного заголовка IP указывают исходную точку и точку назначения пакета.

Туннельный режим AH

Как показано на следующей иллюстрации, туннельный режим AH инкапсулирует пакет IP в заголовки AH и IP и подписывает весь пакет для проверки целостности и подлинности.

Туннельный режим AH

Туннельный режим ESP

Как показано на следующей иллюстрации, туннельный режим ESP инкапсулирует пакет IP в заголовки ESP и IP и трейлер проверки подлинности ESP.

Туннельный режим ESP

Подписанная часть пакета показывает, где была поставлена подпись, удостоверяющая его целостность и подлинность. Зашифрованная часть пакета показывает, что информация является защищенной и конфиденциальной.

Поскольку к пакету для туннелирования добавляется новый заголовок, все, что следует после заголовка ESP (за исключением трейлера проверки подлинности ESP), подписывается, так как является инкапсулированным в туннелированный пакет. Исходный заголовок помещается после заголовка ESP. Трейлер ESP добавляется ко всему пакету до выполнения шифрования. Все, что следует за заголовком ESP, кроме трейлера проверки подлинности ESP, зашифровывается. В том числе исходный заголовок, который при этом рассматривается как часть пакета, содержащая данные.

Затем все полезные данные ESP инкапсулируются в новый туннельный заголовок, который не зашифровывается. Сведения в туннельном заголовке используются только для маршрутизации пакета из исходной точки в точку назначения.

При отправке через общедоступную сеть такой пакет маршрутизируется на IP-адрес сервера туннеля принимающей интрасети. В большинстве случаев пакет предназначается компьютеру в интрасети. Сервер туннеля расшифровывает пакет, отбрасывает заголовок ESP и использует исходный заголовок IP для маршрутизации пакета на компьютер интрасети.

При туннелировании возможно сочетание ESP и AH для обеспечения как конфиденциальности туннелированного пакета IP, так и проверки целостности и подлинности всего пакета.

Использование туннелей IPSec

Туннели IPSec обеспечивают безопасность только для трафика IP. Туннель предназначен для защиты трафика между двумя IP-адресами либо между двумя подсетями IP. Если туннель используется между двумя компьютерами, а не между двумя маршрутизаторами (также называемыми шлюзами), адрес IP за пределами полезных данных AH или ESP совпадает с IP-адресом внутри полезных данных AH или ESP. В Windows XP IPSec не поддерживает туннели для конкретных протоколов или портов. Конфигурация выполняется с использованием оснасток «Политики безопасности IP» и «Групповая политика» путем настройки и включения двух следующих правил.

  1. Правило исходящего трафика для туннеля.

    2. Для правила исходящего трафика следует настроить список фильтров, описывающих трафик, отправляемый через туннель, и IP-адрес конечной точки туннеля (компьютера или маршрутизатора на другом конце туннеля).

  2. Правило входящего трафика для туннеля.

    3. Для правила входящего трафика следует настроить список фильтров, описывающих трафик, принимаемый через туннель, и IP-адрес локальной конечной точки туннеля (компьютера или маршрутизатора на этом конце туннеля).

Кроме того, для каждого правила необходимо указать действия фильтров, методы безопасности и другие параметры.

Общие сведения о параметрах политики туннеля IPSec см. в разделе Конечная точка туннеля. Сведения о настройке туннеля IPSec см. в разделе Задание туннеля IPSec. Сведения об использовании туннелирования для виртуальных частных сетей см. в разделе Виртуальные частные сети и IPSec.


Компоненты IPSec

Следующие разделы описывают компоненты IPSec, устанавливаемые с Windows XP.

  • Служба агента политики IPSec
  • Обмен ключами в Интернете
  • Защита ключа
  • Драйвер IPSec


Служба агента политики IPSec

Агент политики IPSec предназначен для загрузки сведений политики и передачи их в другие компоненты IPSec, которым эти сведения необходимы для обеспечения работы служб безопасности, как показано на следующей иллюстрации.

Агент политики IPSec

Агент политики IPSec — это служба, которая расположена на каждом компьютере с Windows XP и которая отображается с списке системных служб оснастки «Службы» как Службы IPSEC. Агент политики IPSec выполняет следующие действия:

  • загружает соответствующую политику IPSec (если таковая назначена) из Active Directory, если компьютер является членом домена, или из локального реестра, если компьютер не является членом домена;
  • опрашивает Active Directory на наличие изменений в конфигурации политики (для политик на основе домена);
  • отправляет сведения назначенной политики IPSec в драйвер IPSec.

Если компьютер является членом домена, загрузка политики выполняется при загрузке системы, через заданный в политике IPSec интервал, а также через стандартный интервал опроса Winlogon. Запросить политику из Active Directory также можно вручную с помощью команды gpupdate /target:computer.

Ниже перечислены дополнительные аспекты поведения политики IPSec для компьютера, входящего в состав домена:

  • если сведения политики IPSec для компьютеров в составе домена настраиваются централизованно, то сведения политики IPSec хранятся в Active Directory и кэшируются в локальном реестре компьютера, к которому эта политика применяется;
  • если компьютер временно отключен от домена, а политика находится в кэше, то при восстановлении подключения компьютера к домену сведения новой политики для этого компьютера заменяют старые (кэшированные) сведения;
  • если компьютер является автономным или членом домена, не использующим Active Directory для хранения политик, то политика IPSec хранится в локальном реестре.

Агент политики IPSec запускается автоматически при загрузке системы. При отсутствии политик IPSec в Active Directory или реестре, либо если агент политики IPSec не может подключиться к Active Directory, агент политики IPSec ожидает назначения или активизации политики.


Обмен ключами в Интернете

Перед началом безопасного обмена данными между двумя компьютерами должно быть установлено соглашение. Как показано на следующем рисунке, два компьютера принимают соглашение о способе обмена и защиты данных путем сопоставления безопасности.

Служба ISAKMP/Oakley

Для создания соглашения между двумя компьютерами рабочая группа IETF ввела стандартный метод сопоставления безопасности и разрешения обмена ключами, названный обменом ключами в Интернете (Internet Key Exchange, IKE). Этот метод:

  • централизует управление сопоставлением безопасности, сокращая время подключения;
  • создает общие секретные ключи, используемые для защиты данных, и управляет ими.

Этот процесс не только защищает обмен данными между компьютерами, но защищает и удаленные компьютеры, запрашивающие безопасный доступ к корпоративной сети. Кроме того, данный процесс работает при каждом выполнении шлюзом безопасности согласования для конечного компьютера назначения (конечной точки).

Определение сопоставления безопасности

Сопоставление безопасности представляет собой сочетание согласованного ключа, протокола безопасности и индекса параметров безопасности, в совокупности определяющих механизмы безопасности, используемые для защиты данных, передаваемых между сторонами соединения. Индекс параметров безопасности (Security Parameters Index, SPI) представляет собой уникальное определяющее значение в сопоставлении безопасности, используемое для различения нескольких сопоставлений безопасности, существующих на принимающем компьютере. Несколько сопоставлений безопасности могут существовать, например, на компьютере, имеющем безопасную связь с несколькими компьютерами одновременно. Такая ситуация возникает преимущественно в случаях, когда компьютер является файловым сервером или сервером удаленного доступа, обслуживающим несколько клиентов. В таких ситуациях принимающий компьютер определяет сопоставление безопасности для обработки входящих пакетов с помощью SPI.

Этап I или сопоставление безопасности основного режима

Для обеспечения успешной и безопасной связи IKE выполняет двухэтапную операцию. Конфиденциальность и проверка подлинности на каждом этапе обеспечиваются использованием алгоритмов шифрования и проверки подлинности, согласованных между двумя компьютерами во время согласования безопасности. Благодаря разделению на два этапа, ключ может быть создан очень быстро.

В ходе первого этапа два компьютера создают безопасный канал с проверкой подлинности. Этот процесс называют этапом I или сопоставлением безопасности основного режима. Во время этого обмена IKE автоматически обеспечивает необходимую защиту.

Этап I или согласование основного режима

Ниже перечислены шаги, выполняемые при согласовании основного режима.

  1. Согласование политики.

    2. Следующие четыре обязательных параметра согласуются как часть сопоставления безопасности основного режима:

    • алгоритм шифрования (DES, 3DES);
    • алгоритм хеширования (MD5 или SHA1);
    • метод проверки подлинности (Kerberos V5, сертификат или предварительный ключ);
    • группа Диффи-Хелмана, используемая для базовых данных ключа.

    Если для проверки подлинности используются сертификаты или предварительные ключи, обеспечивается защита учетной записи компьютера. Однако, если для проверки подлинности используется Kerberos V5, учетная запись компьютера остается незашифрованной до тех пор, пока не будут зашифрованы все учетные данные во время проверки подлинности.

  2. Обмен ключами Диффи-Хелмана (открытыми значениями).

    3. Обмен ключами как таковыми не выполняется никогда. Передаются только общие сведения, необходимые алгоритму определения ключа Диффи-Хелмана для создания общего секретного ключа. После этого обмена служба IKE на каждом из компьютеров создает основной ключ, используемый для защиты проверки подлинности.

  3. Проверка подлинности.

    4. Компьютеры выполняют попытку проверить подлинность предоставленных ключей Диффи-Хелмана. Без проверки подлинности при обмене ключами Диффи-Хелмана соединение будет уязвимо для атак «третьего». При сбое проверки подлинности связь прекращается. Основной ключ, в сочетании с согласованными алгоритмами и методами, используется для проверки учетных данных. Все сведения учетной записи (включая тип, порт и протокол) хешируются и зашифровываются с использованием ключей, созданных по результатам обмена сведениями о группе Диффи-Хелмана на шаге 2. Независимо от используемого метода проверки подлинности сведения об учетных записях защищены как от изменения, так и от расшифровки.

Отправитель предлагает получателю сопоставление безопасности. Отвечающая сторона не может изменить предложение. В случае изменения предложения инициирующая сторона отклоняет сообщение отвечающей стороны. Отвечающая сторона отправляет либо ответ о принятии предложения, либо предлагает альтернативы.

Сообщения, отправляемые на этом этапе, автоматически повторяются пять раз. При получении ответа до завершения цикла повторов начинается согласование стандартного сопоставления безопасности. Незащищенные связи, если таковые допускаются политикой IPSec, начинаются после короткого интервала. Это называется возвратом к небезопасной связи. Даже в случае возврата к небезопасной связи попытки согласования безопасной связи выполняются с интервалом в 5 минут.

Число возможных обменов не ограничено. Возможное число формируемых сопоставлений безопасности ограничено лишь ресурсами системы.

Дополнительные сведения о возврате к небезопасной связи см. в разделе Действие фильтра.

Этап II или сопоставление безопасности быстрого режима

На данном этапе сопоставления безопасности согласуются от имени драйвера IPSec.

Этап II или согласование быстрого режима

Ниже перечислены шаги, выполняемые при согласовании быстрого режима.

  1. Согласование политики.

    2. Компьютеры IPSec обмениваются следующими требованиями к защите передачи данных:

    • протокол IPSec (AH или ESP);
    • алгоритм хеширования для проверки целостности и подлинности (MD5 или SHA1);
    • алгоритм шифрования (3DES или DES), если запрашивается.

    Достигается соглашение по общим параметрам, и устанавливаются два сопоставления безопасности: одно для входящих связей, а другое для исходящих.

  2. Обновление или обмен материалом для создания ключа сеанса.

    3. IKE обновляет сведения о ключе, после чего создаются новые общие ключи для проверки целостности подлинности и шифрования (если согласовано) пакетов. Если требуется смена ключей, происходит либо второй обмен данными Диффи-Хелмана (см. в описании согласования основного режима), либо используется обновление исходного ключа.

  3. Сопоставления безопасности и ключи передаются в драйвер IPSec вместе с SPI.

Второе согласование параметров безопасности и материала для создания ключа (в целях защиты данных) защищено сопоставлением безопасности основного режима. Подобно обеспечению защиты учетных данных на этапе I, второй этап обеспечивает защиту путем обновления материала для создания ключа перед отправкой данных. IKE может сохранять полезные данные обмена ключей для дополнительного обмена данными Диффи-Хелмана, если этот обмен необходим; таким образом, включается безопасность пересылки основного ключа. В противном случае IKE обновляет материал для создания ключа, используя данные Диффи-Хелмана, обмен которыми выполняется в основном режиме.

Быстрый режим завершается созданием пары сопоставлений безопасности, каждое из которых имеет собственный SPI и ключ. Одно сопоставление безопасности используется для входящих связей, а другое — для исходящих.

Примечание

  • Хотя устанавливается два отдельных сопоставления безопасности быстрого режима, в оснастке «Монитор IP-безопасности» отображается одно общее сопоставление безопасности.

Алгоритм повтора сообщения аналогичен процессу, используемому при согласовании основного режима. Однако если при втором или еще более позднем согласовании одного и того же сопоставления безопасности основного режима время ожидания этого процесса по какой-либо причине истекает, выполняется попытка повторного согласования сопоставления безопасности основного режима. Если сообщение для данного этапа получено без установки сопоставления безопасности основного режима, оно отклоняется.

Использование одного сопоставления безопасности основного режима для нескольких сопоставлений безопасности быстрого режима ускоряет данный процесс. Повторное согласование безопасности и проверка подлинности не требуются до тех пор, пока не закончится срок действия сопоставления безопасности основного режима. Допустимое число согласований сопоставления безопасности быстрого режима определяется параметрами политики IPSec.

Примечание

  • Частая смена ключей одного и того же сопоставления безопасности основного режима может сделать общий секретный ключ уязвимым для атак на известный незашифрованный текст. Атака на известный незашифрованный текст осуществляется с использованием средств прослушивания сети, когда злоумышленник использует зашифрованные данные для определения ключа по известному куску незашифрованного текста.

Сроки жизни сопоставлений безопасности

Сопоставление безопасности основного режима кэшируется для обеспечения возможности согласования сопоставлений безопасности быстрого режима (если не включен параметр «Основной ключ безопасной пересылки (PFS)»). По завершении времени жизни основного ключа или ключа сеанса сопоставление безопасности согласовывается заново. В дополнение к этому, ключ обновляется или генерируется заново.

Когда истекает время ожидания по умолчанию для сопоставления безопасности основного режима или завершается время жизни основного ключа или ключа сеанса, отвечающей стороне отправляется сообщение об удалении. Сообщение IKE об удалении предписывает отвечающей стороне завершить срок действия сопоставления безопасности основного режима. Это предотвращает создание новых сопоставлений безопасности быстрого режима на основе устаревшего сопоставления безопасности основного режима. IKE не прекращает срок действия сопоставления безопасности быстрого режима, поскольку число секунд или байтов, ограничивающее срок жизни ключа, содержит только драйвер IPSec.

При значительном изменении срока жизни основного ключа и ключей сеансов следует соблюдать осторожность. Например, если задать для основного ключа срок жизни в 8 часов, а для ключа сеанса — в 2 часа, то сопоставление безопасности быстрого режима сможет действовать почти два часа после истечения срока действия сопоставления безопасности основного режима. Это возможно при создании сопоставления безопасности быстрого режима незадолго до истечения срока действия сопоставления безопасности основного режима.


Защита ключа

Следующие средства улучшают основные простые числа (материал для создания ключа) и надежность основного ключа и ключей сеансов.

Время жизни ключа

Параметры времени жизни ключа определяют время создания нового ключа, а не способ его создания. Время жизни ключа, также называемое динамической сменой ключа, позволяет принудительно создавать новые ключи через заданный интервал. Например, если связь продолжается в течение 10 000 секунд, а для ключа задано время жизни в 1 000 секунд, за время обмена данными будет создано 10 ключей. Благодаря этому, если даже злоумышленник сможет расшифровать часть перехваченных данных, остальные данные будут защищены. Время жизни может быть задано как для основных ключей, так и для ключей сеансов. По завершении времени жизни любого из ключей соответствующее сопоставление безопасности также согласовывается заново. В дополнение к этому, ключ обновляется или генерируется заново. Объем данных, обрабатываемых одним ключом, не должен превышать 100 мегабайт. Для обеспечения защиты, адекватной типу передаваемых данных, можно проверить текущие правила безопасности и шифрования.

Предел обновления ключа сеанса

Неоднократная смена ключа сеанса может привести к раскрытию общего секрета Диффи-Хелмана. Поэтому применяется предел обновления ключа сеанса.

Например, Мария, работающая на компьютере А, отправляет сообщение Ивану на компьютер Б, а несколько минут спустя отправляет Ивану еще одно сообщение. Поскольку сопоставление безопасности было установлено недавно, для создания ключа сеанса может быть использован тот же материал. Если требуется ограничить повторное использование материала ключа, задайте меньший предел обновления.

При включенном параметре «Основной ключ безопасной пересылки (PFS)» предел обновления ключа сеанса не используется. Задание в качестве предела обновлений ключа сеанса значения 1 идентично включению PFS основного ключа. Если заданы и срок жизни основного ключа, и предел обновления ключа сеанса, смена ключа выполняется по достижении любого из этих пределов. По умолчанию политика IPSec не ограничивает обновление ключа сеанса.

Группы Диффи-Хелмана

Группы Диффи-Хелмана используются для определения длины основных простых чисел (материала для ключа), используемых при обменен ключами. Надежность любого полученного ключа частично зависит от силы группы Диффи-Хелмана, на которой основаны простые числа.

Каждая группа Диффи-Хелмана определяет длину используемого материала для ключа. Группа 2 (средняя) надежнее, чем группа 1 (низкая). Группа 1 предоставляет 768 бит материала для создания ключа, в то время как группа 2 — 1024 бита. При использовании большей группы ключ, определяемый по результатам обмена, имеет больший размер и является более устойчивым к попыткам подбора.

IKE согласовывает использование группы, гарантируя невозможность сбоя согласования по причине несовпадения групп Диффи-Хелмана на сторонах соединения.

Если включена PFS основного ключа, новый ключ Диффи-Хелмана согласовывается при первом согласовании сопоставления безопасности быстрого режима. Этот новый ключ устраняет зависимость ключа сеанса от обмена данными Диффи-Хелмана, выполняемого для основного ключа.

Если инициирующая сторона использует PFS ключей сеансов, отвечающая сторона также должна использовать PFS ключей сеансов. Однако если инициирующая сторона не использует PFS ключей сеансов, а отвечающая сторона использует PFS ключей сеансов, происходит сбой согласования.

Для согласования сопоставлений безопасности основного и быстрого режимов используется одна и та же группа Диффи-Хелмана. При включенном PFS ключей сеансов группа Диффи-Хелмана (несмотря на то, что она задается как часть согласования сопоставления безопасности основного режима) влияет на все смены ключа во время установки ключа сеанса.

Полная безопасность пересылки

В отличие от времени жизни ключа, полная безопасность пересылки (perfect forward secrecy, PFS) определяет способ создания ключа, а не время его создания. Точнее, PFS гарантирует, что раскрытие одного ключа открывает доступ только к данным, защищенным этим ключом, не обязательно ко всем передаваемым данным. Для этого PFS обеспечивает невозможность использования ключа, применяемого для защиты передаваемых данных в любом из режимов, для создания дополнительных ключей. Кроме того, если используемый ключ был получен из конкретного базового материала, этот материал невозможно использовать для создания других ключей.

PFS основного ключа требует повторной проверки подлинности и интенсивно использует ресурсы. При его включении IKE требует повторной проверки учетных данных, что повышает нагрузку на контроллеры доменов при использовании для проверки подлинности протокола Kerberos V5. Для каждого согласования быстрого режима требуется новое согласование основного режима.

PFS ключей сеансов может использоваться без повторной проверки подлинности и использует ресурсы менее интенсивно. Применение PFS ключей сеансов вызывает обмен данными Диффи-Хелмана для создания нового материала для ключа. Для этого требуется всего четыре сообщения и не требуется проверка подлинности.

Полную безопасность пересылки (PFS) не обязательно включать на обеих сторонах соединения, поскольку она не является частью согласования сопоставления безопасности. Если отвечающая сторона требует PFS, а срок действия сопоставления безопасности быстрого режима отправляющей стороны истек, сообщение отправителя просто отбрасывается и запрашивается новое согласование. Отправитель прекращает действие сопоставления безопасности основного режима и начинает новое согласование. PFS может быть задано отдельно как для основных ключей, так и для ключей сеансов.


Драйвер IPSec

Драйвер IPSec получает список активных фильтров от агента политики IPSec, как показано на следующей иллюстрации, а затем сверяет все входящие и исходящие пакеты с фильтрами в этом списке.

Драйвер IPSec

Если пакет совпадает с фильтром, к нему применяется действие фильтра. Если пакет не соответствует ни одному из фильтров, он без изменения возвращается в драйвер TCP/IP для приема или передачи.

Если действие фильтра разрешает передачу, то пакет принимается или отправляется без изменений. Если действие блокирует передачу, пакет отбрасывается. Если действие требуется согласования безопасности, выполняется согласование сопоставлений безопасности основного и быстрого режимов.

Согласованное сопоставление безопасности быстрого режима ключи используются для обработки как входящего, так и исходящего трафика. Драйвер IPSec хранит все текущие сопоставления безопасности быстрого режима в базе данных. Драйвер IPSec использует индекс параметров безопасности для правильного применения сопоставлений безопасности к пакетам.

Если исходящий пакет IP совпадает со списком фильтров IP, предусматривающим согласование безопасности, драйвер IPSec включает этот пакет в очередь, а затем оповещает обмен ключами в Интернете (IKE), который начинает согласование безопасности с IP-адресом назначения пакета. Если до завершения согласования IKE с одним и тем же фильтром совпадает несколько исходящих пакетов, имеющих один адрес назначения, то сохраняется только последний отправленный пакет.

После успешного завершения согласования безопасности драйвер IPSec на отправляющем компьютере выполняет следующие действия.

  1. Принимает от IKE сопоставление безопасности, содержащее ключ сеанса.
  2. Находит в базе данных исходящее сопоставление безопасности и вставляет индекс параметров безопасности из сопоставления безопасности в заголовок AH или ESP.
  3. Подписывает пакеты (и зашифровывает их, если требуется конфиденциальность).
  4. Отправляет пакеты на уровень IP для пересылки на компьютер назначения.

В случае сбоя согласования драйвер IPSec отбрасывает пакет.

Если входящий пакет, защищенный IPSec, соответствует списку фильтров IP, драйвер IPSec на принимающем компьютере выполняет следующие действия.:

  1. Принимает от IKE ключ сеанса, сопоставление безопасности и индекс параметров безопасности.
  2. Находит в своей базе данных входящее сопоставление безопасности по адресу назначения и индексу параметров безопасности.
  3. Проверяет подпись и, если требуется, расшифровывает пакет.
  4. Сверяет пакет IP с фильтром, что гарантирует прием только согласованного трафика.
  5. Отправляет пакеты в драйвер TCP/IP для передачи в принимающее приложение.

При получении небезопасного пакета IP драйвер IPSec сверяет его со всеми фильтрами в списке. При совпадении с фильтром, действие которого требует безопасности IP или блокирует пакет, пакет отбрасывается.

Драйвер IPSec сначала сверяет все небезопасные пакеты со списком фильтров, задающим туннели IPSec, а затем со всеми фильтрами передачи данных между сторонами подключения. Определенные типы пакетов IP драйвер IPSec не фильтрует. Дополнительные сведения см. в разделе Добавление и изменение фильтров IPSec


Процесс работы IPSec

Данный раздел описывает работу IPSec на примере компонентов IPSec для двух компьютеров интрасети, как показано на следующей иллюстрации.

Процесс работы IPSec

Для простоты используется пример интрасети, в которой компьютер имеет активную политику IPSec.

  1. Мария, работающая с приложением на компьютере A, отправляет сообщение Ивану на компьютер B.
  2. Драйвер IPSec на компьютере A проверяет свои списки фильтров IP, чтобы определить, требуется ли обеспечение безопасности этих пакетов.
  3. Драйвер IPSec уведомляет IKE о необходимости начать согласование.
  4. Служба IKE на компьютере B получает сообщение, запрашивающее согласование безопасности.
  5. Два компьютера устанавливают сопоставление безопасности основного режима и общий основной ключ.

    6. Примечание

    • Если компьютеры A и B уже имеют сопоставление безопасности основного режима со времени предыдущего обмена данными (при условии, что безопасность пересылки основного ключа отключена и срок жизни ключа не истек), компьютеры начинают установку сопоставления безопасности быстрого режима.
  6. Пара сопоставлений безопасности быстрого режима согласована. Одно сопоставление безопасности является входящим, а другое — исходящим. Сопоставления безопасности включают индекс параметров безопасности и ключи, используемые для защиты информации.
  7. Драйвер IPSec на компьютере A использует исходящее сопоставление безопасности для подписания и, если требуется, шифрования пакетов.
  8. Драйвер передает пакеты на уровень IP, который пересылает их на компьютер B.
  9. Драйвер сетевого адаптера на компьютере B принимает зашифрованные пакеты и передает их в драйвер IPSec.
  10. Драйвер IPSec на компьютере B использует входящее сопоставление безопасности для проверки подлинности и целостности и, если требуется, расшифровки пакетов.
  11. Драйвер передает проверенные и расшифрованные пакеты драйверу TCP/IP, который передает их в принимающее приложение на компьютере B.

Любые маршрутизаторы или коммутаторы между компьютерами, обменивающимися данными, просто пересылают зашифрованные пакеты IP к месту их назначения. Однако при наличии на пути данных брандмауэра, маршрутизатора безопасности или прокси-сервера пересылка трафика IPSec и IKE может быть не выполнена.

Передача согласований безопасности через преобразователи сетевых адресов (NAT) невозможна. Сообщения согласования IKE содержат IP-адреса в зашифрованной или подписанной части сообщения. Эти адреса не могут быть преобразованы NAT, поскольку NAT не имеет общего секретного ключа, позволяющего изменить зашифрованный адрес в сообщении или изменить незашифрованный адрес без нарушения значения проверки целостности.


Виртуальные частные сети и IPSec

Туннелирование — это процесс инкапсуляции, маршрутизации и деинкапсуляции. При туннелировании исходный пакет помещается (инкапсулируется) внутрь нового пакета. Этот новый пакет может обладать новыми сведениями адресации и маршрутизации, что позволяет передавать его через сеть. Когда туннелирование сочетается с конфиденциальностью данных, данные исходного пакета (а также исходные адреса источника и назначения) не раскрываются для прослушивающих трафик в сети. Сеть при этом может быть любая: как частная интрасеть, так и Интернет. Когда инкапсулированные пакеты достигают места назначения, инкапсуляция удаляется, а для маршрутизации пакета к конечной точке используется заголовок исходного пакета.

Туннель представляет собой логический путь данных, по которому передаются инкапсулированные пакеты. Для исходных сторон подключения (источника и места назначения) туннель обычно прозрачен и выглядит как еще одна связь от точки к точке в сетевом пути. Для них маршрутизаторы, коммутаторы, прокси-серверы или другие шлюзы безопасности между начальной и конечной точками туннеля незаметны и не имеют значения. В сочетании с конфиденциальностью данных туннелирование может использоваться для виртуальных частных сетей (VPN).

В Windows XP предоставляются два типа туннелирования с использованием IPSec.

  1. Сочетание протокола L2TP (Layer Two Tunneling Protocol) и IPSec (L2TP/IPSec). L2TP используется для туннелирования данных через общие или частные сети, такие как Интернет, и IPSec Encapsulating Security Payload (ESP) используется для шифрования данных. L2TP/IPSec может использоваться для туннелирования трафика IP или IPX (Internetwork Packet Exchange).
  2. Туннельный режим IPSec, при котором собственно IPSec выполняет инкапсуляцию только для трафика IP.

Инкапсулированные пакеты проходят через сеть по туннелю. В данном примере сеть представляет собой Интернет. Шлюз может находиться между Интернетом и частной сетью. В качестве шлюза может использоваться маршрутизатор, брандмауэр, прокси-сервер или другой шлюз безопасности. Кроме того, два шлюза могут использоваться в пределах частной сети для защиты трафика между частями сети, не имеющими доверительных отношений.

L2TP и IPSec

L2TP и IPSec используются совместно для обеспечения туннелирования и безопасности пакетов IP, IPX и других протоколов в любой сети IP. IPSec также может выполнять туннелирование без L2TP, но это рекомендуется только для обеспечения взаимодействия, когда один из шлюзов не поддерживает L2TP или PPTP.

L2TP инкапсулирует исходный пакет сначала в PPP-пакет (выполняя, где возможно, сжатие), а затем в UDP-сообщение с помощью порта 1701. UDP-сообщение является полезными данными IP, поэтому L2TP использует IPSec для защиты туннеля. Протокол IKE по умолчанию использует при согласовании безопасности для туннеля L2TP проверку подлинности на основе сертификата или общего ключа. Если сопоставления безопасности основного и быстрого режимов IPSec успешно установлены, L2TP согласовывает туннель, включая параметры сжатия и проверки подлинности пользователя, и выполняет проверку подлинности пользователя на основе PPP.

Настройка L2TP/IPSEC для клиентов удаленного доступа к виртуальной частной сети выполняется с помощью компонента Сетевые подключения. Настройка для сервера удаленного доступа к виртуальной частной сети и для туннелей между шлюзами выполняется с помощью оснастки «Маршрутизация и удаленный доступ».

Туннельный пакет при использовании L2TP и IPSec

Исходный пакет, показанный здесь как полезные данные PPP, содержит исходные адреса источника и назначения, используемые в частной сети. Внешний заголовок IP, показанный как заголовок IP, содержит адреса источника и назначения клиента и сервера VPN в общедоступной сети. Заголовок L2TP содержит сведения об управлении туннелем L2TP. Заголовок PPP указывает протокол исходного пакета (например, IP или IPX).

Дополнительные сведения об использовании L2TP и IPSec см. в разделах Удаленная связь и Специальные аспекты IPSec.

Примечание

  • XOX

Туннелирование IPSec

Туннельный режим IPSEC в первую очередь используется для обеспечения взаимодействия с другими маршрутизаторами, шлюзами или конечными системами, которые не поддерживают туннелирование L2TP/IPSec или PPTP для виртуальных частных сетей. Туннельный режим IPSec поддерживается как дополнительное средство только при туннелировании от шлюза к шлюзу и для определенных конфигураций сервер-сервер или сервер-шлюз. Для сценариев удаленного клиентского доступа к виртуальным частным сетям туннельный режим IPSec не поддерживается. Для удаленного клиентского доступа к виртуальной частной сети следует использовать туннели L2TP/IPSec или PPTP.

Сведения о туннельном режиме IPSec и настройке туннелей IPSec см. в разделе Туннельный режим.


Описание политики IPSec

Политика IPSec состоит из следующих компонентов:

  • Общие параметры политики IPSec

    • Параметры, которые применяются независимо от настройки правил. Они задают название политики, ее описание (для административных целей), а также параметры и методы обмена ключами.

  • Правила

    • Одно или несколько правил IPSec, определяющие необходимые типы трафиков для изучения IPSec, как обрабатывать трафик, как проверять подлинность соединения IPSec, и др.

После создания политики могут применяться к домену, сайту, подразделению и локальному уровню. Дополнительные сведения см. в разделе Применение политик IPSec.


Общие параметры политики IPSec

Общие параметры для политики IPSec состоят из следующих типов.

  • Имя

    • Имя политики.

  • Описание

    • Необязательный текст, описывающий назначение политики IPSec. Рекомендуется указать и обновлять описание, предоставляя в нем краткую сводку параметров и правил политики.

  • Интервал опроса политики на предмет ее изменения

    • Число минут между последовательными опросами политик IPSec на основе Active Directory для выявления изменений. При таком опросе не обнаруживаются изменения членства в домене или в подразделении, а также назначение или отмена назначения новой политики. Эти события регистрируются при поиске изменений в групповой политике службой Winlogon, который выполняется каждые 90 минут.

  • Параметры обмена ключами

    • Способ создания новых ключей и частота их обновления.

  • Методы обмена ключами

    • Способы защиты учетных данных при обмене ключами.

Параметры и методы обмена ключами, используемые по умолчанию, настроены для работы с большинством реализаций IPSec. При отсутствии специальных требований безопасности изменять параметры по умолчанию не следует.


Параметры обмена ключами

Ниже описаны приемы, позволяющие повысить стойкости ключей, защищающих этап обмена ключами.

Время жизни ключа

Параметры времени жизни задают периодичность создания нового ключа. По завершении времени жизни любого из ключей соответствующее сопоставление безопасности также согласовывается заново. Процесс создания новых ключей через определенный интервал называется динамической сменой ключей. Параметры времени жизни позволяют задать конкретный интервал создания нового ключа (смены ключа). Например, если связь продолжается в течение 100 минут, а для ключа задано время жизни в 10 минут, за время обмена данными будет создано 10 ключей, по одному через каждые 10 минут. Использование нескольких ключей гарантирует, что если злоумышленнику удастся получить ключ к одной части подключения, безопасность всего подключения не будет нарушена. Автоматическая смена ключей обеспечивается по умолчанию. Параметры по умолчанию можно изменить и либо ограничить время жизни основного ключа в минутах или числом ключей сеансов, либо включить безопасную пересылку основного ключа (PFS).

При задании сильно различающихся значений времени жизни следует соблюдать осторожность, поскольку это также определяет время жизни сопоставления безопасности. Например, задание для основного ключа времени жизни в 8 часов (480 минут), а для ключа сеанса (устанавливается в параметрах действия фильтра) — в 2 часа может привести к тому, что сопоставление безопасности быстрого режима будет существовать почти 2 часа после окончания срока действия сопоставления безопасности основного режима. Такая ситуация может возникнуть в случае создания нового сопоставления безопасности быстрого режима непосредственно перед окончанием срока действия сопоставления безопасности основного режима.

  • Ограничение повторного использования ключа сеанса

    • Неоднократное повторное использование одного и того же основного ключа может снизить его надежность. Например, если Иван, работающий на компьютере А, отправляет сообщение Марии на компьютер Б, а несколько минут спустя отправляет Марии еще одно сообщение, возможно использование тех же сведений основного ключа, поскольку сопоставление безопасности между компьютерами было установлено недавно. Число таких повторных использований основного ключа можно ограничить.

    При включении безопасности пересылки основного ключа будет задано число повторных использований основного ключа, равное 1. При включенной безопасности пересылки основного ключа создание нового ключа происходит каждый раз. Если указано и время жизни основного ключа в минутах, и предел использования ключа сеанса, новый ключ будет создаваться по достижении любого из этих значений.

  • Основной ключ безопасной пересылки (PFS)

    • Определяет способ создания нового ключа сеанса. Включение безопасной пересылки основного ключа (PFS) обеспечивает невозможность использования материала основного ключа для создания более чем одного ключа сеанса.

    Следует соблюдать осторожность при использовании PFS, поскольку этот режим требует перепроверки подлинности и может повлиять на быстродействие. Включать этот режим на обеих сторонах подключения не обязательно.

Сведения о способах настройки параметров и методов обмена ключами см. в разделах Настройка обмена ключами и Создание методов безопасности для обмена ключами.


Методы обмена ключами

Помимо параметров ключа, можно настроить методы безопасности для согласования IKE основного режима. Обычно, во избежание излишней загрузки администраторов, рекомендуется оставлять стандартные настройки IKE (такие как PFS и время жизни ключа) и методы безопасности без изменений. Это обеспечивает стандартный (средний) уровень безопасности. Если принятый план безопасности предусматривает высокий уровень безопасности, стандартные методы безопасности можно изменить.

Можно выбрать алгоритмы проверки целостности и шифрования. Здесь доступны те же алгоритмы, которые доступны для методов безопасности быстрого режима: MD5 и SHA1 для проверки целостности; DES и 3DES для шифрования.

Группы Диффи-Хелмана

Группы Диффи-Хелмана используются для определения длины основных простых чисел, используемых при обмене ключами. Надежность любого полученного ключа частично зависит от надежности группы Диффи-Хелмана, на которой основаны простые числа.

Группа 2 (средняя) надежнее, чем группа 1 (низкая). Группа 1 предоставляет 768 бит материала для создания ключа, в то время как группа 2 — 1024 бита. Если на сторонах подключения указаны разные группы, происходит сбой согласования безопасности. Во время согласования изменение группы невозможно.

Чем выше группа, тем больше материала используется для создания ключа. Поэтому ключ, полученный при обмене Диффи-Хелмана более высокой группы, будет более надежным.

Группа Диффи-Хелмана настраивается как часть параметров обмена ключами основного режима. Новые ключи сеанса, создаваемые во время быстрого режима, создаются из материала основного ключа основного режима Диффи-Хелмана, если не включены сеансовые циклы безопасной пересылки (PFS). Если включен режим PFS для основного ключа или ключей сеанса, перед созданием нового ключа сеанса выполняется новый обмен ключами Диффи-Хелмана для получения нового материала для основного ключа. Отличие между режимами PFS основного ключа и ключей сеансов состоит в том, что PFS основного ключа помимо обмена Диффи-Хелмана требует перепроверки подлинности сопоставления безопасности основного режима.

Сведения о способах настройки параметров и методов обмена ключами см. в разделах Настройка обмена ключами и Создание методов безопасности для обмена ключами.


Правила

Политика IPSec состоит из одного или нескольких правил, определяющих характеристики IPSec. Конфигурация правил IPSec задается на вкладке Правила в окне свойств политики IPSec. Каждое правило IPSec содержит следующие элементы конфигурации.

  • Список фильтров

    • Выбирается единственный список фильтров, содержащий один или несколько предопределенных фильтров пакетов, описывающих типы трафика, к которым применяется действие фильтра из этого правила. Конфигурация списка фильтров задается на вкладке Список фильтров IP в окне свойств правила IPSec в политике IPSec.

  • Действие фильтра

    • Выбирается единственное действие фильтра, включающее тип требуемого действия (разрешить, блокировать или согласовать безопасность) для пакетов, отвечающих списку фильтров. Для действия фильтра безопасности данные согласования включают один или несколько методов безопасности, которые используются (в порядке приоритетов) при согласованиях IKE и других параметрах настройки IPSec. Каждый метод безопасности определяет протокол безопасности (такой как AH или ESP), конкретные алгоритмы шифрования и используемые параметры регенерации ключа шифрования. Конфигурация данных согласования задается на вкладке Действие фильтра в окне свойств правила IPSec в политике IPSec.

  • Методы проверки подлинности

    • Задаются один или несколько методов проверки подлинности (в порядке приоритетов), которые используются для проверки подлинности на обеих сторонах подключения IPSec во время согласований основного режима. Доступными методами проверки подлинности являются протокол Kerberos V5, использование сертификата, выданного конкретным центром сертификации, или использование общего ключа. Конфигурация данных согласования задается на вкладке Методы проверки подлинности в окне свойств правила IPSec в политике IPSec.

  • Конечная точка туннеля

    • Указывает, выполняется ли туннелирование трафика и, если выполняется, IP-адрес конечной точки туннеля. Для входящего трафика конечной точкой туннеля является IP-адрес другой стороны подключения IPSec. Для исходящего трафика конечной точкой туннеля является локальный IP-адрес. Конфигурация конечной точки туннеля задается на вкладке Параметры туннеля в окне свойств правила IPSec в политике IPSec. Для получения дополнительных сведений см. раздел Туннельный режим.

  • Тип подключения

    • Указывает применение правила к подключениям по локальной сети, подключениям удаленного доступа или к подключениям обоих типов. Конфигурация типа подключения задается на вкладке Тип подключения в окне свойств правила IPSec в политике IPSec.

Правила для политики в оснастке «Политики безопасности IP» отображаются в обратном алфавитном порядке по имени списка фильтров, выбранного для каждого из правил. Это не отражает порядок применения правил в политике. Драйвер IPSec автоматически упорядочивает правила от наиболее конкретных списков фильтров к наименее конкретным. Например, правило, содержащее список фильтров, указывающий отдельные IP-адреса и порты TCP, драйвер IPSec применит раньше правила, содержащего список фильтров, указывающий все адреса в подсети.

Правило отклика по умолчанию

Правило отклика по умолчанию, которое возможно использовать для всех политик, использует список фильтров IP <Динамический> и действие фильтра Отклик по умолчанию, когда список правил просматривается в оснастке «Политики безопасности IP». Правило отклика по умолчанию невозможно удалить, но можно отключить. Это правило активизируется для всех политик по умолчанию, и пользователь имеет возможность включить его при создании новых политик IPSec с помощью мастера политики безопасности IP.

Правило отклика по умолчанию обеспечивает ответ компьютера на запросы безопасного соединения. Если в активной политике не определено правило для компьютера, запрашивающего безопасное соединение, применяется правило отклика по умолчанию и выполняется согласование безопасности. Например, когда выполняется безопасное соединение компьютера A с компьютером B и компьютер B не имеет фильтра входящего трафика, определенного для компьютера A, применяется правило отклика по умолчанию.

Для правила отклика по умолчанию могут быть заданы методы проверки подлинности и тип подключения. Список фильтров <Динамический> указывает на то, что список фильтров не настраивается, а фильтры создаются автоматически на основе полученных пакетов согласования IKE. Действие фильтра Отклик по умолчанию указывает, что действие фильтра (разрешить, блокировать или согласовать безопасность) невозможно задать в конфигурации. Однако можно задать следующее.

  • Методы безопасности и их приоритеты на вкладке Методы безопасности в окне свойств правила отклика по умолчанию в оснастке «Политики безопасности IP».
  • Методы проверки подлинности и их приоритеты на вкладке Методы проверки подлинности в окне свойств правила отклика по умолчанию в оснастке «Политики безопасности IP». Метод проверки подлинности по умолчанию в правиле отклика по умолчанию для новых политик IPSec задается в мастере политики безопасности IP.


Список фильтров

Список фильтров IP запускает согласование безопасности на основе совпадения источника, назначения и типа трафика IP. Этот тип фильтрации пакетов IP позволяет сетевому администратору точно определить трафик IP, который будет защищен. Каждый список фильтров IP содержит один или несколько фильтров, которые определяют IP-адреса и типы трафика. Один список фильтров IP может использоваться для нескольких сценариев связи.

IPSec требует указания в списке фильтров как для входящего, так и для исходящего трафика между компьютерами. Фильтры входящего трафика применяются для входящего трафика, позволяя принимающему компьютеру отвечать на запросы безопасной связи или сверять трафик со списком фильтров IP. Фильтры исходящего трафика применяются для пакетов, отправляемых с компьютера по адресу назначения, запуская согласование безопасности, выполняемое перед отправкой данных. Например, если требуется выполнить безопасный обмен данными между компьютерами А и Б:

  • активная политика IPSec на компьютере А должна иметь фильтр для всех исходящих пакетов, отправляемых на компьютер Б (адрес источника — A, адрес назначения — Б);
  • активная политика IPSec на компьютере А должна иметь фильтр для всех входящих пакетов, отправляемых с компьютера Б (адрес источника — Б, адрес назначения — А).

Кроме того, каждая сторона должна иметь отраженный фильтр:

  • активная политика IPSec на компьютере Б должна иметь фильтр для всех входящих пакетов, отправляемых с компьютера A (адрес источника — A, адрес назначения — Б);
  • активная политика IPSec на компьютере B должна иметь фильтр для всех исходящих пакетов, отправляемых на компьютер A (адрес источника — Б, адрес назначения — A).

Параметры фильтра

Каждый фильтр определяет конкретную часть входящего и исходящего сетевого трафика, которая должна быть защищена. Фильтр должен охватывать весь трафик, к которому применяется соответствующее правило. Ниже перечислены параметры фильтра.

  • Адреса источника и назначения пакета IP. Допускается настройка любого IP-адреса, назначенного участнику соединения IPSec, одного IP-адреса, IP-адресов по имени DNS или группы адресов для задания масок подсетей IP.
  • Протокол, по которому передаются данные. Автоматически охватывает все протоколы семейства TCP/IP. Однако для удовлетворения особых потребностей можно указать отдельный протокол, включая настраиваемый протокол.
  • Исходный порт и порт назначения для протоколов TCP и UDP. По умолчанию охвачены все порты TCP и UDP, но можно указать только конкретный порт TCP или UDP.

Сведения о настройке списков фильтров IP см. в разделе Добавление и изменение списков фильтров IP.

Для определенных типов трафика, таких как трафик SNMP или шлюзов безопасности, могут требоваться специальные фильтры. Дополнительные сведения см. в разделе Специальные аспекты IPSec.


Действие фильтра

Действие фильтра определяет требования безопасности для передачи данных. Возможные настройки действия фильтра описаны ниже.

  • Разрешение трафика (Разрешить)

    • IPSec пропускает трафик в драйвер TCP/IP и от него без изменения или требования безопасности. Этот параметр подходит для трафика от конкретных компьютеров, не поддерживающих IPSec. При использовании этого типа действий фильтра следите за тем, чтобы список фильтров IP охватывал минимальный диапазон, не пропуская трафик, для которого требуется защита.

  • Блокировать трафик (Блокировать)

    • IPSec отклоняет трафик без уведомления. При выборе блокирующего действия фильтра список фильтров IP должен быть как можно меньше, чтобы не блокировать связь с компьютерами, прошедшими проверку.

  • Согласовать IPSec (Согласовать безопасность)

    • IPSec требуется согласования сопоставлений безопасности и отправки или приема трафика, защищенного с помощью IPSec. После выбора согласования IPSec можно также настроить следующее.

    • Методы безопасности и их порядок

      • Дополнительные сведения см. в разделе Методы безопасности IPSec.

    • Допустимость начального входящего небезопасного трафика (Принимать небезопасную связь, но отвечать с помощью IPSec)

      • IPSec разрешает отсутствие защиты IPSec для всех входящих пакетов, совпадающих с настроенным списком фильтров. Однако исходящий ответ на входящий пакет должен быть защищен. Этот параметр полезен при использовании для клиентов правила отклика по умолчанию. Если группа сервера настроена с использованием правила, защищающего соединения с любыми IP-адресами и принимающего небезопасную связь, отвечая только с использованием защиты, включение на клиентских компьютерах правила отклика по умолчанию обеспечивает ответ клиентов на запрос сервера о согласовании безопасности. Во избежание атак на службу этот параметр должен быть отключен для защищенных компьютеров, подключенных к Интернету.

    • Включение связи с компьютерами, не поддерживающими IPSec (Разрешать связь с компьютерами, не поддерживающими IPSec)

      • При необходимости IPSec возвращается к небезопасной связи. Опять же, может потребоваться предельное сокращение списка фильтров IP. В противном случае любая связь, для которой действует правило, содержащее это действие фильтра, при сбое согласования по любой причине может начать отправлять данные без защиты. В ситуациях, когда возможны небезопасные соединения, эти параметры можно отключить. Однако связь с компьютерами, не способными инициировать использование IPSec (например, с устаревшими системами), может блокироваться. Во избежание атак на службу этот параметр должен быть отключен для защищенных компьютеров, подключенных к Интернету.

    • Создание ключей сеанса из нового материала (Сеансовые циклы безопасной пересылки (PFS))

      • Определяет возможность использования материала существующего основного ключа для создания нового ключа сеанса. Включение сеансовых циклов безопасной пересылки (PFS) обеспечивает невозможность использования материала основного ключа для создания более чем одного ключа сеанса. Когда включен режим PFS для ключей сеанса, перед созданием нового ключа сеанса выполняется новый обмен ключами Диффи-Хелмана для создания нового материала для ключа. Сеансовые циклы PFS не требуют перепроверки подлинности, поэтому используют меньше ресурсов, чем PFS основного ключа.

Сведения о настройке действий фильтров см. в разделе Добавление и изменение действий фильтра.

Методы безопасности IPSec

Каждый метод безопасности определяет требования к безопасности подключения, к которому применяется соответствующее правило. Создание нескольких методов безопасности повышает шансы нахождения общего метода для двух компьютеров. Компонент IKE считывает список методов безопасности в порядке убывания и отправляет список разрешенных методов безопасности другой стороне соединения. Выбирается первый общий метод. Как правило, наиболее безопасные методы помещаются в начало списка, а наименее безопасные — в конец списка.

Предопределенные методы безопасности

Следующие методы безопасности являются предопределенными.

  • Шифрование и обеспечение целостности

    • Используется протокол ESP для обеспечения конфиденциальности данных (шифрование) с алгоритмом 3DES, проверка целостности и подлинности данных с алгоритмом SHA1 (Secure Hash Algorithm 1), а также стандартные параметры времени жизни ключа (100 МБ, 1 час). Если требуется одновременно защита данных и адресации (заголовка IP), можно создать настраиваемый метод безопасности. Если шифрование не требуется, используйте метод Только обеспечение целостности.

  • Только обеспечение целостности

    • Используется протокол ESP для обеспечения целостности данных и проверки подлинности с алгоритмом проверки целостности SHA1 и стандартными параметрами времени жизни ключа (100 МБ, 1 час). В этой конфигурации ESP не обеспечивает конфиденциальность данных (шифрование). Этот метод годится в ситуациях, когда план безопасности предусматривает стандартные методы безопасности.

Настраиваемые методы безопасности

Если предопределенные параметры Шифрование и обеспечение целостности или Только обеспечение целостности не отвечают имеющимся требованиям, можно задать настроенные методы безопасности. Например, настраиваемые методы можно использовать в ситуациях, когда требуется задать шифрование и целостность адреса, более надежные алгоритмы или параметры времени жизни ключа. При настройке метода безопасности можно выбирать следующие параметры.

  • Протоколы безопасности

    • Когда требуется проверка целостности заголовка IP и шифрование данных, в настраиваемом методе безопасности можно включить оба протокола: AH (Целостность данных и адресов без шифрования) и ESP (Целостность данных с шифрованием). При включении обоих протоколов необходимо указать алгоритм проверки целостности для ESP. Алгоритм, выбранный для AH, обеспечивает проверку целостности.

  • Алгоритм проверки целостности
    • Алгоритм MD5 (Message Digest 5) создает 128-разрядный ключ.
    • Алгоритм SHA (Secure Hash Algorithm) создает 160-разрядный ключ. Алгоритм SHA1 надежнее алгоритма MD5 и совместим со стандартом FIPS (Federal Information Processing Standard).
  • Алгоритм шифрования
    • Алгоритм 3DES надежнее всех алгоритмов DES и несколько снижает быстродействие. 3DES обрабатывает каждый блок три раза с использованием трех уникальных 56-разрядных ключей.
    • Алгоритм DES используется в ситуациях, когда высокий уровень безопасности не требуется, а вычислительная нагрузка 3DES нежелательна. DES использует один 56-разрядный ключ.
  • Параметры ключа сеанса

    • Параметры ключа определяют время создания нового ключа, а не способ его создания. Время жизни можно задать в килобайтах переданных данных, в секундах или обоими способами. Например, если связь продолжается в течение 10 000 секунд, а для ключа задано время жизни в 1000 секунд, за время обмена данными будет создано 10 ключей. Это обеспечивает невозможность расшифровки всех передаваемых данных даже в случае, если злоумышленнику удастся определить один ключ сеанса и расшифровать часть данных. По умолчанию новые ключи сеансов создаются для каждых 100 МБ данных или каждый час. Имейте в виду, что по окончании времени жизни ключа, помимо обновления или пересоздания ключа, сопоставление безопасности также согласовывается заново.

Взаимодействие параметров шифрования

При использовании IPSec для обеспечения конфиденциальности данных, передаваемых между компьютером с Windows XP (или компьютером с Windows 2000, на котором установлен пакет High Encryption Pack) и другим компьютером, не использующим 3DES, список методов безопасности должен включать DES. В противном случае компьютер, с которым выполняется попытка установить связь, может оказаться неспособен достичь соглашения безопасности с вашим компьютером. Если не требуется сохранение конфиденциальности данных, можно выбрать формат ESP с алгоритмом поддержки целостности и установить значение шифрования <Нет>. Также можно выбрать формат AH с алгоритмом проверки целостности.

Сведения о настройке методов безопасности см. в разделе Добавление и изменение методов безопасности IPSec.


Методы проверки подлинности

Каждое правило задает список методов проверки подлинности. Каждый метод проверки подлинности задает требования по выполнению проверки подлинности для подключений, к которым применяется соответствующее правило. Для успешной установки связи стороны должны иметь по крайней мере один общий метод проверки подлинности. Создание нескольких методов проверки подлинности повышает шансы нахождения общего метода для двух компьютеров.

Независимо от числа настроенных методов проверки подлинности для пары компьютеров может быть задан только один. При наличии нескольких правил, применяющихся к одной паре компьютеров, необходимо настроить в этих правилах список методов проверки подлинности таким образом, чтобы компьютеры могли использовать один и тот же метод проверки подлинности. Например, если одно правило для пары компьютеров задает только метод проверки подлинности Kerberos и фильтрацию только данных TCP, а другое правило задает проверку подлинности только с использованием сертификата и фильтрацию только данных UDP, связь установлена не будет.

  • Протокол безопасности Kerberos V5 используется для проверки подлинности по умолчанию. Этот метод может использоваться для всех клиентов, использующих протокол Kerberos V5, которые входят в доверенный домен (независимо от того, работают ли они под управлением Windows XP Professional или Windows 2000).
  • Сертификаты общего ключа обычно используются в следующих случаях: доступ к Интернету, удаленный доступ к ресурсам организации, связь с внешними деловыми партнерами, а также на компьютерах, на которых не выполняется протокол безопасности Kerberos V5. Для этого требуется настроить по крайней мере один доверенный центр сертификации. Windows XP и Windows 2000 поддерживают сертификаты X.509 Version 3, в том числе сертификаты, созданные коммерческими центрами сертификации.
  • Можно указать предварительный общий ключ. Это секретный ключ, используемый двумя пользователями. Использование такого ключа удобно и не требует выполнения на клиенте протокола Kerberos V5 или наличия сертификата открытого ключа. Обе стороны должны вручную настроить IPSec на использование общего ключа. Использование такого ключа — простой способ проверки подлинности компьютеров, на которых не установлена система Windows XP или Windows 2000, автономных компьютеров и всех клиентов, не использующих протокол Kerberos V5. Не забывайте, что этот ключ предназначен только для защиты проверки подлинности.

Сведения о настройке методов проверки подлинности см. в разделе Определение методов проверки подлинности IPSec.

Примечание

  • Возможность проверки подлинности с использованием протокола Kerberos V5 не поддерживается на компьютерах с Windows XP Home Edition, а также на компьютерах с любыми другими версиями Windows 2000 или Windows XP, не входящих в домен Active Directory.


Конечная точка туннеля

Как обсуждалось в разделе Виртуальные частные сети и IPSec, IPSec может выполнять туннелирование на третьем уровне для сценариев, в которых использование протокола L2TP (Layer Two Tunneling Protocol) невозможно. Если L2TP используется для удаленных подключений, настройка туннеля не требуется, поскольку клиентские и серверные компоненты VPN Windows XP автоматически создают соответствующие правила для защиты трафика L2TP.

Для создания на уровне 3 туннеля с IPSec воспользуйтесь оснасткой «Политики безопасности IP» или «Групповая политика», чтобы настроить и включить для соответствующей политики следующие два правила.

  1. Правило исходящего трафика для туннеля.

    2. Для правила исходящего трафика следует настроить список фильтров, описывающих трафик, отправляемый через туннель, и IP-адрес конечной точки туннеля (компьютера или маршрутизатора на другом конце туннеля).

  2. Правило входящего трафика для туннеля.

    3. Для правила входящего трафика следует настроить список фильтров, описывающих трафик, принимаемый через туннель, и IP-адрес локальной конечной точки туннеля (компьютера или маршрутизатора на этом конце туннеля).

Для каждого правила также необходимо задать действия фильтров, методы проверки подлинности и другие параметры.

Сведения о настройке конечных точек туннеля IPSec см. в разделе Задание туннеля IPSec. Дополнительные сведения о туннельном режиме IPSec см. в разделе Туннельный режим.

Дополнительные сведения о настройке туннелей IPSec см. в статье Q252735 "How to Configure IPSec Tunneling in Windows 2000" в базе знаний корпорации Майкрософт (Microsoft Knowledge Base).(http://search.support.microsoft.com/kb/)


Тип подключения

Для каждого правила IPSec на компьютере необходимо определить типы подключения, для которых оно будет действовать. Типы подключения применяются ко всем подключениям, отображаемым в окне Сетевые подключения на компьютере, для которого настраивается политика IPSec.

Для каждого правила задается один из типов подключения.

  • Все сетевые подключения. Правило применяется к связям через любые сетевые подключения, настроенные на данном компьютере.
  • Локальное сетевое подключение. Правило применяется только к связям через локальные сетевые подключения, настроенные на данном компьютере.
  • Подключение удаленного доступа. Правило применяется только к связям через удаленные сетевые подключения, настроенные на данном компьютере.

Сведения о настройке типов подключений см. в разделе Указание типов подключения IPSec.

Сведения о настройке сетевых подключений на компьютере см. в разделе Настройка сетевых подключений и подключений удаленного доступа.


Применение политик IPSec

Политики IPSec могут применены к локальным компьютерам, доменам, сайтам, организационным подразделениям или любым объектам групповой политики в Active Directory. Политики IPSec организации должны основываться на принятых в организации правилах безопасной работы. Политики могут содержать несколько правил, что позволяет применять одну политику к разным типам трафика.

Для хранения политик IPSec используются два расположения.

  1. Active Directory

    2. Если компьютер временно не подключен к доверенному домену Windows 2000, сведения политики кэшируются в локальном реестре. Дополнительные сведения см. в разделе Общие сведения об Active Directory.

  2. Локальный компьютер

    3. Локальные политики IPSec определяются в реестре для автономных компьютеров и компьютеров, не являющихся постоянно частью доверенного домена Windows 2000.

Windows XP содержит стандартные политики, которые можно использовать в качестве примера при создании собственных настраиваемых политик. Каждая определенная политика должна применяться к сценарию плана безопасности.

Групповая политика

Политики IPSec, назначенные объекту групповой политики в Active Directory, становятся частью групповой политики и переносятся на компьютеры, входящие в Active Directory при распространении групповой политики. Дополнительные сведения см. в разделе Основные сведения о групповой политике.

При назначении политики IPSec в Active Directory имейте в виду следующее.

  • Политики IPSec, назначенные на уровне домена, переопределяют любую активную локальную политику IPSec при подключении компьютера к соответствующему домену.
  • Политики IPSec, назначенные организационному подразделению, переопределяют политику IPSec, назначенную на уровне домена, на всех компьютерах, входящих в это организационное подразделение. Политика IPSec, назначенная организационному подразделению низшего уровня в иерархии домена, переопределяет политику IPSec, назначенную организационному подразделению высшего уровня, на всех компьютерах, входящих в это подразделение. Дополнительные сведения см. в разделе Политики, хранящиеся в Active Directory.

Сведения об определении политик IPSec см. в разделе Добавление и изменение политики IPSec.

Примечания

  • Описанная интеграция политик IPSec с Active Directory неприменима к компьютерам с Windows XP Home Edition.
  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.


Внедрение безопасности протокола IP

В этом разделе рассмотрены следующие темы.

  • Разработка и планирование политики IPSec
  • Вопросы безопасности IPSec
  • Внедрение IPSec


Разработка и планирование политики IPSec

Данный раздел содержит сведения о планировании и внедрении IPSec в предприятии. Общие сведения о внедрении IPSec содержатся также в разделе Советы и рекомендации.

См. следующие разделы.

  • Создание плана безопасности IPSec
  • Стандартные политики IPSec
  • Назначение политики IPSec
  • Специальные аспекты IPSec


Создание плана безопасности IPSec

Внедрение IPSec как в крупном домене, так и в небольшой рабочей группе означает отыскание баланса между обеспечением легкого доступа к сведениям для наибольшего числа пользователей и защитой важных сведений от несанкционированного доступа.

Для нахождения верного баланса требуется:

  • оценить риск и определить подходящий для организации уровень безопасности;
  • определить ценные сведения;
  • определить политики безопасности с использованием условий управления рисками для защиты определенных сведений;
  • определить наилучший способ внедрения политик в существующей организации;
  • обеспечить соответствие требованиям к управлению и технологии;
  • предоставить всем пользователям безопасный и эффективный доступ к соответствующим ресурсам, согласно их потребностям.

На выбор безопасности влияет также способ использования компьютеров. Например, требования к безопасности могут отличаться в зависимости от того, является ли компьютер контроллером домена, веб-сервером, сервером удаленного доступа, файловым сервером, сервером баз данных, клиентом интрасети или удаленным клиентом. Модель безопасности Windows 2000 и Windows XP призвана удовлетворять самым строгим требованиям безопасности. Однако само по себе программное обеспечение может быть менее эффективным без тщательного планирования и оценки, эффективных правил безопасности, их строгого соблюдения, аудита и продуманной разработки и назначения политики безопасности.

Строгого определения стандартной безопасности не существует. Параметры безопасности могут широко варьироваться в зависимости от политики и инфраструктур организации. При планировании внедрения IPSec рекомендуется ориентироваться на следующие уровни безопасности.

  • Минимальная безопасность

    • Компьютеры не обмениваются важными данными. IPSec по умолчанию не используется. Административные действия по отключению IPSec не требуются.

  • Стандартная безопасность

    • Компьютеры, особенно файловые серверы, используются для хранения ценных данных. Безопасность должна быть сбалансирована, чтобы не стать препятствием для выполнения пользователями их задач. В Windows XP имеются стандартные политики IPSec, которые обеспечивают защиту данных, но не требуют высшего уровня безопасности. Клиент (Ответ только) и Сервер (Запрос безопасности). Использование этих политик или аналогичных настраиваемых политик оптимизирует эффективность без ослабления безопасности.

  • Высокая безопасность

    • Компьютеры, хранящие весьма важные данные, находятся под угрозой кражи этих данных, случайного или злонамеренного разрушения системы (особенно при удаленном доступе) либо подключения к ним из какой-либо сети общего пользования. Предопределенная политика Сервер безопасности (Требуется безопасность) требует применения безопасности IPSec для всего входящего и исходящего трафика (кроме начального входящего соединения). Политика Сервер безопасности (Требуется безопасность) использует надежные методы безопасности. Небезопасные связи с компьютерами, не поддерживающими IPSec, не разрешаются.

От планирования — к настройке политики

После определения типов трафика, который требуется защитить, и необходимого уровня безопасности можно начинать настройку политики. Настройка политики IPSec в Windows XP состоит в переносе требований безопасности в одну или несколько политик IPSec, только одна из которых может быть назначена на уровне домена, сайта, подразделения или на локальном уровне. Каждая политика IPSec состоит из одного или нескольких правил IPSec. Каждое правило IPSec состоит из следующих элементов:

  • выбранный список фильтров;
  • выбранное действие фильтра;
  • выбранные методы проверки подлинности;
  • выбранный тип подключения;
  • выбранный параметр туннеля.

Политику IPSec можно настроить следующими способами.

  • Создайте новую политику и определите для нее набор правил, при необходимости добавив списки фильтров и действия фильтров.

    • При использовании данного способа сначала создается политика IPSec, а затем выполняется добавление и настройка правил. Списки фильтров (указывающие типы трафика) и действия фильтров (указывающие способ обработки трафика) добавляются при создании правила.

    Дополнительные сведения см. в разделах Добавление и изменение политики IPSec и Добавление и изменение правил.

  • Создайте набор списков фильтров и действий фильтров, а затем создайте политики и добавьте правила, объединяющие созданные списки фильтров и действия фильтров.

    • При использовании данного способа сначала создаются списки фильтров и действия фильтров. Затем создаются политики IPSec и выполняется добавление правил, объединяющих списки фильтров с соответствующими действиями фильтров. Кроме того, указываются методы проверки подлинности, типы подключения и параметры туннеля.

    Сведения о настройке отдельных списков фильтров IP и действий фильтров см. в разделах Управление несколькими списками фильтров IP и Управление несколькими действиями фильтра.

При использовании любого из описанных способов после создания политики IPSec должны быть назначены. Дополнительные сведения см. в разделе Назначение политики IPSec.

Примечания

  • Для определения политики IPSec на основе Active Directory требуются разрешения администратора для групповой политики. Для управления политикой IPSec на локальном или удаленном компьютере необходимо быть членом группы «Администраторы» на локальном или удаленном компьютере.
  • Описанная интеграция политик IPSec с Active Directory неприменима к компьютерам с Windows XP Home Edition.
  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.


Стандартные политики IPSec

Windows XP содержит набор предопределенных списков фильтров и действий фильтров IPSec, а также стандартные политики. Все это предназначено для использования в качестве примера. Использование для работы без изменения не рекомендуется. Для работы администратор IPSec или опытный пользователь должен создать новые настроенные политики.

Компьютеры, подключенные к Интернету, должны быть внимательно защищены от сетевых атак с помощью настроенных политик. Стандартные политики определены в качестве примера для интрасетей, поскольку они позволяют компьютеру принимать незащищенный трафик. Стандартные политики предназначены для компьютеров, входящих в состав домена Active Directory.

Предопределенные списки фильтров

Следующие предопределенные списки фильтров предоставлены в качестве примера для использования в стандартных политиках.

  • Полный ICMP трафик

    • Список фильтров для всего трафика ICMP (протокол IP 1), отправляемого и принимаемого между данным компьютером и всеми другими компьютерами.

  • Полный IP трафик

    • Список фильтров для всего трафика IP, отправляемого и принимаемого между данным компьютером и всеми другими компьютерами. Весь широковещательный, многоадресный трафик и трафик обмена ключами в Интернете исключается. По умолчанию также исключается весь трафик Kerberos и RSVP. Однако трафик Kerberos и RSVP можно защитить, изменив следующий раздел реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSEC. Добавьте новый параметр NoDefaultExempt и присвойте ему значение 1. Дополнительные сведения о добавлении параметров в разделы реестра см. в разделе Чтобы добавить параметр.

    Внимание!

    • Ошибка при изменении реестра может серьезно повредить систему. Перед изменением реестра создайте резервную копию всех важных данных.

Предопределенные действия фильтра

Следующие предопределенные действия фильтра предоставлены в качестве примера для использования в стандартных политиках.

  • Разрешить

    • Трафик разрешен (задается метод безопасности Разрешить).

  • Запрос безопасности (Возможный)

    • Обеспечивается безопасность трафика (задается метод безопасности Согласовать безопасность), однако действуют следующие исключения:

    • начальное входящее соединение разрешается. Это называется входящей транзитной пересылкой;
    • при сбое согласования безопасности после 3 секунд разрешается небезопасное соединение с компьютерами, не поддерживающими IPSec. Это действие фильтра защищает трафик, отправляемый на компьютеры, не поддерживающие IPSec, но разрешает незащищенный обмен данными, если таковой запрашивается. Это называется возвратом к небезопасной связи.

    Во избежание потенциальных атак на службу это действие фильтра не следует использовать в Интернете.

    В следующей таблице перечислены методы безопасности (в порядке предпочтения) для предопределенного действия фильтра Запрос безопасности (Возможный).

    Тип | Целостность AH | Конфиденциальность ESP | Целостность ESP | Время жизни ключа (Кбайт/с)
Настраиваемая безопасность | Не проверяется | 3DES | SHA1 | 100000/900
Настраиваемая безопасность | Не проверяется | DES | SHA1 | 100000/900
Настраиваемая безопасность | SHA1 | Не проверяется | Не проверяется | 100000/300
Настраиваемая безопасность | MD5 | Не проверяется | Не проверяется | 100000/300

    Согласование безопасности для трафика с использованием данного действия фильтра предпринимает попытку согласовать шифрование ESP (сначала 3DES, затем DES) с проверкой целостности SHA1, а затем с проверкой целостности AH (сначала SHA1, затем MD5).

  • Требуется безопасность

    • Обеспечивается безопасность трафика (задается метод безопасности Согласовать безопасность), однако разрешается начальное небезопасное соединение (включена входящая транзитная пересылка). Небезопасные связи с компьютерами, не поддерживающими IPSec, не разрешаются (возврат к небезопасной связи отключен). Например, разрешается пакет запроса соединения. Ответ компьютера на запрос соединения совпадает с исходящим фильтром, в результате чего отправителю незащищенного трафика отправляется запрос безопасности. В случае успешного согласования безопасности требуется защита трафика в обоих направлениях. В случае сбоя согласования безопасности исходящий трафик не разрешается. Компьютер может продолжать прием входящего небезопасного трафика и будет продолжать попытки согласования безопасности.

    Во избежание потенциальных атак на службу это действие фильтра не следует использовать в Интернете.

    В следующей таблице перечислены методы безопасности (в порядке предпочтения) для предопределенного действия фильтра Требуется безопасность.

    Тип | Целостность AH | Конфиденциальность ESP | Целостность ESP | Время жизни ключа (Кбайт/с)
Настраиваемая безопасность | Не проверяется | 3DES | SHA1 | 100000/900
Настраиваемая безопасность | Не проверяется | 3DES | MD5 | 100000/900
Настраиваемая безопасность | Не проверяется | DES | SHA1 | 100000/900
Настраиваемая безопасность | Не проверяется | DES | MD5 | 100000/900

    Согласование безопасности для трафика с использованием данного действия фильтра предпринимает попытку согласовать шифрование ESP (сначала 3DES, затем DES) с различными методами проверки подлинности ESP (сначала SHA1, затем MD5).

Наиболее безопасным является действие фильтра , согласовывающее безопасность и не принимающее небезопасный трафик (входящая транзитная пересылка отключена), а также не разрешающее соединения с компьютерами, не поддерживающими IPSec (возврат к небезопасной связи отключен). Такое действие фильтра называют закрытым. Если сервер использует такое действие фильтра, клиенты должны инициировать безопасные соединения до отправки любого трафика IP. В политике IPSec для клиентских компьютеров должны быть настроены дополнительные правила, принуждающие клиента согласовывать безопасность с сервером. Клиент, политика которого состоит только из правила отклика по умолчанию, неспособен обмениваться данными с закрытым сервером.

Предопределенные правила

Единственным предопределенным правилом, доступным во всех политиках, является правило отклика по умолчанию. Правило отклика по умолчанию создается в новой политике автоматически и не может быть создано вручную. Оно используется для отклика на запросы безопасности, когда другие правила неприменимы. Например, если политика клиента разрешает клиенту отвечать на запросы безопасности, но по умолчанию не защищает никакой трафик, активным в ней является только правило отклика по умолчанию. В некоторых случаях оно включено по умолчанию. Отключить правило отклика по умолчанию можно на вкладке Правила окна свойств политики. Кроме того, метод проверки подлинности и методы безопасности правила отклика по умолчанию можно изменять в соответствии с конкретными потребностями. Дополнительные сведения см. в разделе Правило отклика по умолчанию.

Стандартные политики

Следующие политики предоставлены в качестве примера для использования в стандартных политиках.

  • Клиент (Ответ только)

    • Пример политики для компьютеров, защищающих данные по запросу. Например, клиенты интрасети могут не требовать использования IPSec, кроме случаев, когда запрос исходит с другого компьютера. Эта политика позволяет компьютеру, на котором она активизирована, отвечать на запросы безопасной связи. Данная политика содержит правило отклика по умолчанию, которое создает динамические фильтры IPSec для входящего и исходящего трафика на основе запрошенных протокола и порта для безопасного соединения.

    Эта политика имеет следующие настройки:

    • Первое правило (правило отклика по умолчанию)
      • Список фильтров IP: <Динамический>
      • Действие фильтра: Отклик по умолчанию
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
  • Сервер (Запрос безопасности)

    • Пример политики для компьютеров, которые в большинстве случаев должны использовать безопасные соединения, допуская небезопасные соединения с компьютерами, не поддерживающими IPSec. В данной политике компьютер принимает незащищенный трафик, но всегда выполняет попытку защитить дополнительные связи, посылая отправителю запрос безопасности. Эта политика допускает полное отсутствие защиты трафика, если другой компьютер не поддерживает IPSec. Например, соединение с конкретными серверами может быть безопасным, в то же время разрешая серверу небезопасный обмен данными. Это позволяет работать с сервером различным клиентам (некоторые из которых поддерживают IPSec, а некоторые нет).

    Для проверки этой политики назначьте ее серверу и назначьте клиенту политику Клиент (Ответ только). При попытке клиентского компьютера установить подключение к серверу, сервер запрашивает безопасное подключение. Кроме того, попытайтесь установить связь с сервером с помощью компьютера, который не поддерживает IPSec или не имеет назначенной политики IPSec. При попытке клиентского компьютера установить подключение к серверу, сервер запрашивает безопасное подключение. Однако согласование завершается сбоем, и компьютер, не поддерживающий IPSec, подключается к серверу с использованием небезопасного соединения.

    Данная политика содержит правило запроса безопасности для всего IP-трафика, правило разрешения всего ICMP-трафика, а также правило отклика по умолчанию для ответа на запросы безопасности от других компьютеров.

    Эта политика имеет следующие настройки:

    • Первое правило
      • Список фильтров IP: Полный IP трафик
      • Действие фильтра: Запрос безопасности (Возможный)
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
    • Второе правило
      • Список фильтров IP: Полный ICMP трафик
      • Действие фильтра: Разрешить
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
    • Третье правило (правило отклика по умолчанию)
      • Список фильтров IP: <Динамический>
      • Действие фильтра: Отклик по умолчанию
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
  • Сервер безопасности (Требуется безопасность)

    • Пример политики для компьютеров, всегда требующих безопасной связи, таких как сервер, передающий секретные данные. Администраторы могут использовать эту политику IPSec в качестве примера для создания собственных настроенных политик IPSec. Фильтры, используемые в данной политике, требуют защиты всего исходящего трафика, допуская отсутствие защиты только для начального входящего запроса на соединение.

    Для проверки этой политики назначьте ее серверу и назначьте клиенту политику Клиент (Ответ только). При попытке клиентского компьютера установить подключение к серверу, сервер запрашивает безопасное подключение. Кроме того, попытайтесь установить связь с сервером с помощью компьютера, который не поддерживает IPSec или не имеет назначенной политики IPSec. При попытке клиентского компьютера установить подключение к серверу, сервер запрашивает безопасное подключение. Однако согласование завершается сбоем, и компьютер, не поддерживающий IPSec, не подключается к серверу.

    Данная политика содержит правило запроса безопасности для всего IP-трафика, правило разрешения всего ICMP-трафика, а также правило отклика по умолчанию для ответа на запросы безопасности от других компьютеров.

    • Первое правило
      • Список фильтров IP: Полный IP трафик
      • Действие фильтра: Требуется безопасность
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
    • Второе правило
      • Список фильтров IP: Полный ICMP трафик
      • Действие фильтра: Разрешить
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все
    • Третье правило (правило отклика по умолчанию)
      • Список фильтров IP: <Динамический>
      • Действие фильтра: Отклик по умолчанию
      • Проверка подлинности: Kerberos
      • Параметры туннеля: Нет
      • Тип подключения: Все


Назначение политики IPSec

Политику IPSec можно создать и изменить с помощью оснастки «Политики безопасности IP», доступной в консоли MMC. Эта оснастка позволяет управлять политикой централизовано (для клиентов Active Directory), локально (для компьютера, на котором выполняется оснастка) или удаленно для компьютера или домена. Настроенную консоль можно сохранить таким образом, чтобы она была доступна вновь в любое время. Дополнительные сведения см. в разделе Запуск оснастки «Политики безопасности IP».

Примечание

  • Политику IPSec можно назначить для компьютера, но невозможно назначить для домена Active Directory. Чтобы назначить политику IPSec в Active Directory, необходимо использовать групповую политику. Дополнительные сведения см. в разделе Назначение или отмена назначения политики IPSec в групповой политике.

Оснастка «Политики безопасности IP» позволяет управлять политиками и локального компьютера, и домена.

Политики, хранящиеся в Active Directory

Объект групповой политики определяет настройки доступа, конфигурирования и использования учетных записей и ресурсов. Политики IPSec могут быть назначены объекту групповой политики для узла, домена или организационного подразделения. Политика IPSec, применяемая к объекту групповой политики для объекта Active Directory, распространяется на все учетные записи компьютеров, затрагиваемые этим объектом групповой политики. Дополнительные сведения см. в разделе Общие сведения об Active Directory.

При назначении политики IPSec в Active Directory имейте в виду следующее.

  • Список всех политик IPSec доступен для назначения на любом уровне иерархии Active Directory. Однако только единственная политика IPSec может быть назначена на конкретном уровне в Active Directory.
  • Политики IPSec, настроенные и назначенные для домена, имеют приоритет над локальной активной политику IPSec на компьютере, являющемся членом этого домена.
  • Политики IPSec, назначенные организационным подразделениям в Active Directory, имеют приоритет над политикой на уровне домена для любого члена этого подразделения.
  • Подразделение наследует политику родительского организационного подразделения, если наследование политик не блокировано в явном виде или политика не назначена явно.
  • Политики IPSec разных подразделений никогда не объединяются.
  • Для назначения политик следует использовать наивысший возможный уровень иерархии Active Directory, чтобы уменьшить количество конфигураций и требования к администрированию.
  • Политика IPSec может оставаться активной даже после удаления объекта групповой политики, которому она назначена. Поэтому перед удалением объекта политики необходимо снять назначение политики IPSec. Во избежание затруднений используйте следующую процедуру.
    1. Снимите назначение политики IPSec в объекте групповой политики.
    2. Подождите, пока это изменение не будет распространено (обычно для этого требуется около 24 часов).
    3. Удалите объект групповой политики

    Если удалить объект групповой политики без выполнения следующей процедуры, компьютеры в контейнере Active Directory, которому назначена политика IPSec, будут считать, что политику IPSec найти не удается, и будут использовать кэшированную копию.

  • При архивировании и восстановлении групповой политики в Active Directory необходимо включать также политики IPSec для обеспечения совместимости.

Агент политики IPSec на компьютере с Windows XP Professional запрашивает в Active Directory обновления назначенной политики IPSec. При таком опросе не обнаруживаются изменения членства в домене или в подразделении, а также назначение или отмена назначения новой политики. Такие события регистрируются при поиске изменений в групповой политике службой Winlogon, который выполняется каждые 90 минут. Служба Winlogon обнаружит эти изменения, оповестит агент политики IPSec, после чего изменения будут применены.

Сведения о назначении политики IPSec объектам в Active Directory см. в разделе Назначение и отмена назначения политики IPSec в групповой политике.

Примечания

  • Описанная интеграция политики IPSec с Active Directory неприменима к компьютерам с Windows XP Home Edition.
  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.

Политика локального компьютера

Каждый компьютер, работающий под управлением Windows XP, имеет только один локальный объект групповой политики, часто называемый политикой локального компьютера. При использовании локального объекта групповой политики параметры групповой политики можно сохранять на отдельных компьютерах вне зависимости от того, являются ли они членами домена Active Directory. Локальный объект групповой можно переопределить с помощью объектов групповой политики, связанных с веб-узлами, доменами или подразделениями в среде Active Directory. В сети без домена Active Directory (без контроллера домена Windows 2000) поведение IPSec определяется параметрами локального объекта групповой политики, поскольку они не заменяются другими объектами групповой политики.

Сведения о локальном назначении политики IPSec см. в разделе Назначение или отмена назначения политики IPSec на компьютере.

Дополнительные сведения о групповой политике см. в разделе Основные сведения о групповой политике.


Специальные аспекты IPSec

Сведения данного раздела помогают упростить администрирование политик IPSec.

Списки IP-фильтров

При настройке списков фильтров IP рассмотрите возможность использования следующих методов.

  • Для применения одного фильтра к группе компьютеров используйте общие фильтры. Например, старайтесь использовать параметры Мой IP-адрес, Любой IP-адрес или адрес подсети вместо указания конкретных IP-адресов источника и назначения пакетов.
  • Определяйте фильтры, позволяющие группировать и защитить трафик из логически связанных сегментов или подсетей сети.
  • Имейте в виду, что при просмотре политики IPSec фильтры отображаются не в том порядке, в котором они применяются. Правила отображаются в обратном алфавитном порядке по именам указанных в них списков фильтров IP. При загрузке системы все фильтры загружаются агентом политики IPSec одновременно, после чего обрабатываются и сортируются от наиболее конкретных к наименее конкретным.

Действия фильтров

При настройке действий фильтров IP имейте в виду следующие особые требования.

  • Если требуется всегда блокировать какой-либо конкретный трафик (например, трафик, исходной или конечной точкой которого является недопустимый адрес или конкретный порт TCP), создайте блокирующее действие фильтра, выбрав на вкладке Методы безопасности вариант Блокировать.
  • Если какой-либо конкретный трафик всегда должен быть незащищенным, создайте разрешающее действие фильтра, выбрав на вкладке Методы безопасности вариант Разрешить.
  • При настройке особых методов безопасности для зашифрованного трафика следует выбрать уровень защиты ESP <Нет>, для случаев когда шифрование данных обеспечивается протоколом более высокого уровня.
  • При планировании сценариев для Интернета (таких как туннелирование IPSec между региональными отделениями организации) целесообразно применение списка методов безопасности, задающего только высокие уровни безопасности (например, шифрование только по алгоритму 3DES), короткое время жизни ключа (менее 50 Мбайт) и безопасную пересылку (PFS) для основного ключа и ключей сеансов. Это усиливает защиту ключа от взлома.

Подключения к виртуальной частной сети (VPN) по протоколу L2TP

При использовании протокола L2TP для подключений удаленного доступа или подключений между маршрутизаторами VPN стандартным методом проверки подлинности для сопоставлений безопасности основного режима является использование сертификатов. Сертификаты компьютеров должны быть установлены на обоих компьютерах: на сервере VPN и клиенте удаленного доступа (для подключений удаленного доступа) или на вызывающем и отвечающем маршрутизаторах (для подключений между маршрутизаторами VPN). Самым простым способом установки сертификатов компьютеров является настройка доменов Windows 2000 для автоматической выдачи сертификатов компьютеров членам домена. Дополнительные сведения см. в разделе Сертификаты компьютеров для виртуальных частных подключений по протоколу L2TP поверх IPSec.

Когда для подключений L2TP используется проверка подлинности с помощью сертификатов, список центров сертификации (ЦС) не является настраиваемым. Вместо этого каждый компьютер, участвующий в соединении по протоколу L2TP, отправляет другой стороне подключения IPSec список корневых ЦС, от которых он принимает сертификат для проверки подлинности. Корневые ЦС в этом списке соответствуют корневым ЦС, выдавшим сертификаты данному компьютеру. Например, если компьютеру A сертификаты были выданы корневыми ЦС CertAuth1 и CertAuth2, компьютер А при согласовании основного режима уведомляет другую сторону соединения IPSec о том, что будет принимать для проверки подлинности только сертификаты от ЦС CertAuth1 и CertAuth2. Если другая сторона соединения IPSec, компьютер B, не имеет действующего сертификата компьютера, выданного CertAuth1 или CertAuth2, согласование основного режима IPSec завершается сбоем.

Когда для подключений L2TP используется проверка подлинности с помощью сертификатов, список центров сертификации (ЦС) не является настраиваемым. Вместо этого для установки соединения по протоколу L2TP должно выполняться одно из следующих условий:

  • сертификаты компьютеров для клиента VPN и сервера VPN выданы одним и тем же ЦС;
  • сертификаты компьютеров для клиента VPN и сервера VPN выданы центрами сертификации, цепочка сертификатов которых восходит к одному корневому ЦС.

Общее правило таково: на клиенте VPN должен быть установлен сертификат компьютера, выданный ЦС, цепочка действующих сертификатов которого восходит к корневому ЦС, которому доверяет сервер VPN. Общее правило таково: на клиенте VPN должен быть установлен сертификат компьютера, выданный ЦС, цепочка действующих сертификатов которого восходит к корневому ЦС, которому доверяет сервер VPN.

Например, если клиенту VPN сертификаты компьютера были выданы корневыми ЦС CertAuth1 и CertAuth2, этот клиент при согласовании основного режима уведомляет сервер VPN о том, что будет принимать для проверки подлинности только сертификаты от ЦС CertAuth1 и CertAuth2. Если сервер VPN не имеет действующего сертификата компьютера, выданного ЦС, цепочка сертификатов от которого восходит к CertAuth1 или CertAuth2, согласование основного режима IPSec завершается сбоем.

Как правило, сертификаты компьютеров всем компьютерам организации выдает один ЦС. Благодаря этому, все компьютеры в организации имеют сертификаты от одного ЦС и для проверки подлинности запрашивают сертификаты от того же ЦС.

Клиенты VPN с Windows XP также поддерживают для создания соединений L2TP/IPSec проверку подлинности с предварительным общим ключом. Метод проверки подлинности с использованием предварительного общего ключа является слабым и рекомендуется только как временный метод на период развертывания инфраструктуры открытого ключа для получения сертификатов компьютеров или в случаях, когда проверку подлинности с использованием предварительного общего ключа запрашивает сервер VPN.

Для VPN-клиента удаленного доступа с Windows XP можно включить проверку подлинности с использованием предварительного общего ключа и настроить предварительный ключ, нажав кнопку Параметры IPSec на вкладке Безопасность окна свойств подключения VPN в компоненте Сетевые подключения.

Контроллеры доменов и серверы DHCP, DNS и WINS

Перед включением IPSec для компьютера, выполняющего функции контроллера домена или сервера DHCP, DNS или WINS, определите, все ли клиенты поддерживают IPSec. Если назначенная политика IPSec не допускает возврат к небезопасной связи (которая разрешает небезопасные связи с клиентами, не поддерживающими IPSec), согласование безопасности будет завершено сбоем и доступ к этим сетевым службам будет блокирован.

SNMP

Если используется протокол SNMP (Simple Network Management Protocol), а среди систем управления и агентов SNMP есть компьютеры с операционной системой Windows XP, на которых настроена политика IPSec, можно добавить в соответствующую политику IPSec правило, предотвращающее защиту сообщений SNMP. В списке фильтров должны быть указаны адреса источника и получателя для систем управления SNMP и агентов всего UDP-трафика, использующего порты 161 и 162. В качестве действия фильтра следует выбрать Разрешить, при этом будет пропущен любой трафик, совпадающий со списком фильтров IP.


Вопросы безопасности IPSec

Перед внедрением IPSec в организации следует рассмотреть следующие вопросы безопасности:

  • 3DES и компьютеры с Windows 2000;
  • метод проверки подлинности;
  • фильтрация пакетов брандмауэром;
  • защищенный трафик (сравнение использования AH и ESP);
  • незащищенный трафик (использование правила отклика по умолчанию).

3DES и компьютеры с Windows 2000

Политики IPSec позволяют выбрать надежный алгоритм шифрования, 3DES, обеспечивающий большую безопасность, чем алгоритм DES. Все компьютеры, которым назначена политика, принимают эту политику. На компьютерах, работающих под управлением Windows 2000, для использования алгоритма 3DES необходимо установить пакет High Encryption Pack или пакет обновления Service Pack 2. Если компьютер, работающий под управлением Windows 2000, принимает использование 3DES, но на нем не установлен пакет High Encryption Pack или пакет обновления Service Pack 2 (или более поздний), то используется менее надежный алгоритм DES.

Метод проверки подлинности

Если компьютеры предприятия являются частью домена Active Directory, для проверки подлинности основного режима IPSec можно использовать стандартный метод (Kerberos V5). Внедрять сертификаты открытого ключа для связей в интрасети не обязательно. Однако компьютеры с Windows XP Home Edition не поддерживают метод проверки подлинности с использованием протокола Kerberos V5.

Фильтрация пакетов брандмауэром

Для брандмауэра, шлюза безопасности, маршрутизатора или любого другого сервера или устройства, подключенного к Интернету и обеспечивающего фильтрацию пакетов для компьютеров защищаемой им локальной сети, должно быть включено специальное фильтрование, разрешающее пересылку пакетов, защищенных с помощью IPSec, на компьютеры локальной сети. Как правило, брандмауэр или другое устройство должно разрешать прохождение через него следующих типов трафика:

  • номер протокола IP для трафика IPSec по протоколу ESP — 50 (0x32);
  • номер протокола IP для трафика IPSec по протоколу AH — 51 (0x33);
  • порт UDP для трафика согласования IKE — 500 (0x1F4).

Большинство средств фильтрации пакетов позволяет задавать более конкретные фильтры. Можно определить отдельные фильтры пакетов для входящего трафика (фильтры входа), для исходящего трафика (фильтры выхода) и для каждого интерфейса. Кроме того, можно указать IP-адреса компьютеров IPSec в защищаемой сети. Наиболее строгие фильтры пакетов для IPSec-трафика одного компьютера IPSec в защищаемой сети описаны ниже.

Фильтры для интерфейса с Интернетом

Настройте для интерфейса брандмауэра с Интернетом следующие фильтры входящих пакетов, чтобы разрешить конкретные типы трафика:

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и порт назначения UDP 500 (0x1F4)

    • Этот фильтр пропускает трафик IKE на компьютер IPSec в локальной сети.

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и номер протокола IP 50 (0x32)

    • Этот фильтр пропускает ESP-трафик IPSec на компьютер IPSec в локальной сети.

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и номер протокола IP 51 (0x33)

    • Этот фильтр пропускает AH-трафик IPSec на компьютер IPSec в локальной сети.

Настройте для интерфейса брандмауэра с Интернетом следующие фильтры исходящих пакетов, чтобы разрешить конкретные типы трафика:

  • исходный IP-адрес интерфейса локальной сети компьютера IPSec и исходный порт UDP 500 (0x1F4)

    • Этот фильтр разрешает отправку трафика IKE от компьютера IPSec локальной сети.

  • Исходный IP-адрес интерфейса локальной сети компьютера IPSec и номер протокола IP 50 (0x32)

    • Этот фильтр разрешает отправку ESP-трафика IPSec от компьютера IPSec локальной сети.

  • Исходный IP-адрес интерфейса локальной сети компьютера IPSec и номер протокола IP 51 (0x33)

    • Фильтр разрешает отправку AH-трафика IPSec от компьютера IPSec локальной сети.

Фильтры для интерфейса с локальной сетью

Настройте для интерфейса брандмауэра с локальной сетью следующие фильтры входящих пакетов, чтобы разрешить конкретные типы трафика:

  • исходный IP-адрес интерфейса локальной сети компьютера IPSec и исходный порт UDP 500 (0x1F4)

    • Этот фильтр разрешает отправку трафика IKE от компьютера IPSec локальной сети.

  • Исходный IP-адрес интерфейса локальной сети компьютера IPSec и номер протокола IP 50 (0x32)

    • Этот фильтр разрешает отправку ESP-трафика IPSec от компьютера IPSec локальной сети.

  • Исходный IP-адрес интерфейса локальной сети компьютера IPSec и номер протокола IP 51 (0x33)

    • Этот фильтр разрешает отправку AH-трафика IPSec от компьютера IPSec локальной сети.

Настройте для интерфейса брандмауэра с локальной сетью следующие фильтры исходящих пакетов, чтобы разрешить конкретные типы трафика:

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и порт назначения UDP 500 (0x1F4)

    • Этот фильтр пропускает трафик IKE на компьютер IPSec локальной сети.

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и номер протокола IP 50 (0x32)

    • Этот фильтр пропускает ESP-трафик IPSec на компьютер IPSec в локальной сети.

  • IP-адрес назначения интерфейса локальной сети компьютера IPSec и номер протокола IP 51 (0x33)

    • Этот фильтр пропускает AH-трафик IPSec на компьютер IPSec в локальной сети.

Защищенный трафик (сравнение использования AH и ESP)

При выборе протокола (AH или ESP) для защиты IP-трафика имейте в виду следующее.

  • AH обеспечивает как проверку подлинности, так и целостность с помощью вычисления и включения хеша с ключом для каждого пакета. При использовании AH в хеш включается весь пакет и заголовок. Некоторые поля, для которых разрешено изменение на пути следования, исключаются. Работа службы повторения пакетов обеспечивается включением порядкового номера каждого пакета.
  • ESP обеспечивает проверку подлинности и целостности с помощью вычисления и включения хеша с ключом для каждого пакета. При использовании ESP в хеш включаются только заголовок, трейлер и полезные данные ESP. Для защиты заголовка IP хеширование не применяется. ESP обеспечивает конфиденциальность данных путем шифрования полезных данных ESP с использованием алгоритмов DES (Data Encryption Standard) или 3DES (тройной DES). Работа службы повторения пакетов обеспечивается включением порядкового номера каждого пакета.

Легче вычислить и проверить хеш для каждого пакета, чем шифровать и расшифровывать их. Если важно быстродействие, для защиты большей части трафика можно использовать AH. Там, где требуется конфиденциальность, можно использовать ESP. Например, AH можно использовать для защиты трафика в интрасети, а ESP — для трафика, пересылаемого через Интернет.

Примечание

  • При упоминании быстродействия подразумевалось, что в организации не используются разгружающие сетевые адаптеры IPSec. Разгружающие сетевые адаптеры выполняют криптографические вычисления, такие как вычисление и проверка хеша, а также шифрование и расшифровка, на самом адаптере, ускоряя обработку трафика, защищенного IPSec.

Незащищенный трафик (использование правила отклика по умолчанию)

Сценарий внедрения IPSec для защиты трафика конкретного набора серверов несложно реализовать следующим образом.

  1. Поместите нужные серверы в одно организационное подразделение и назначьте объекту групповой политики этого организационного подразделения политику IPSec с правилом, требующим защиты трафика между серверами и любым другим компьютером. Задайте для этого правила действие фильтра, разрешающее серверам принимать небезопасные соединения, но требующее всегда отвечать с использованием IPSec.
  2. Поместите клиентские компьютеры в другое организационное подразделение и назначьте объекту групповой политики этого подразделения политику IPSec, использующую только правило отклика по умолчанию. Дополнительные сведения см. в разделе Правила.

В такой конфигурации незащищенным будет следующий трафик между клиентскими компьютерами и безопасными серверами:

  • начальный запрос, отправляемый клиентским компьютером для установки соединения будет незащищенным, так как в политике клиента отсутствует правило, предписывающее инициировать безопасное соединение с безопасным сервером;
  • Хотя безопасность текущих соединений обеспечивается после согласования безопасного соединения между клиентом и сервером, может истечь время ожидания сопоставления безопасности быстрого режима, предоставляющего параметры защиты трафика, после чего сопоставление безопасности удаляется как с безопасного сервера, так и с клиентского компьютера. Это происходит в случаях, когда соединение TCP существует, но трафик между клиентским компьютером и безопасным сервером не пересылается в течение длительного времени. Динамический фильтр, создаваемый на клиентском компьютере правилом отклика по умолчанию, также удаляется по истечении времени ожидания динамического фильтра.

    • Если безопасный сервер отправляет через существующее соединение новые данные, перед отправкой этих данных на клиентский компьютер сопоставление безопасности быстрого режима согласовывается заново, так как на сервере существует правило, требующее защиты трафика между сервером и всеми другими компьютерами. Тем не менее, если клиентский компьютер отправляет новые данные после истечения времени ожидания сопоставлений безопасности быстрого режима и динамического фильтра, новые данные отправляются без защиты, так как на клиенте отсутствует правило, требующее инициирования безопасных соединений с безопасным сервером. Для соединений TCP клиентский компьютер может отправить без защиты один или несколько сегментов TCP.

В результате использования правила отклика по умолчанию клиентский компьютер после истечения времени ожидания сопоставления безопасности быстрого режима и динамического фильтра может отправлять на безопасный сервер небезопасные данные. Клиентские компьютеры предоставляют инициирование безопасных соединений тем компьютерам, с которыми устанавливают соединение. Это происходит как при инициировании соединения, так и при его возобновлении после задержки, достаточной для истечения времени ожидания ранее установленного сопоставления безопасности быстрого режима и динамического фильтра. Для предотвращения отправки клиентскими компьютерами незащищенных данных на безопасные серверы необходимо добавить в параметры политики IPSec клиентского компьютера правила, предписывающие инициирование безопасных соединений с безопасными серверами.

Примечание

  • Стандартные политики IPSec разрешают весь трафик ICMP (Internet Control Message Protocol). Дополнительные сведения см. в разделе Стандартные политики IPSec.


Внедрение IPSec

В этом разделе рассмотрены следующие темы.

  • Безопасный обмен данными в домене
  • Удаленное подключение


Безопасный обмен данными в домене

До внедрения IPSec в целях обеспечения конфиденциальности данных для отделов организации, работающих с весьма важными сведениями, приходилось физически отделять сеть отдела от остальной сети организации. Для управления доступом к ресурсам важных данных использовались списки пользователей, имеющих разрешения на просмотр или изменение данных. Однако по сети данные пересылались без шифрования. Например, для предотвращения перехвата и просмотра данных отдела бухгалтерии в сети организации компьютеры бухгалтерского отдела помещались в отдельную физическую сеть, не подключенную к сети организации. Отсутствие физического способа передачи данных между отделом бухгалтерии и остальной сетью организации не существовало делало невозможными атаки с использованием средств прослушивания со стороны пользователей сети организации.

Сочетание строгого управления доступом к данным и IPSec для обеспечения конфиденциальности данных, позволяет физически подключать отделы, работающие с важными данными, к сети организации.

На следующем рисунке показан домен, составленный из компьютеров предприятия. Для большинства клиентов интрасети безопасность связи не обязательна. Однако на группе серверов сети хранятся крайне важные сведения, доступ к которым необходим некоторым клиентам интрасети.

Обеспечение безопасности домена с помощью IPSec

Все компьютеры имеют учетные записи в домене или организационном подразделении Active Directory. По соображениям безопасности компьютеры сгруппированы в организационные подразделения Active Directory. Это позволяет назначать соответствующие политики IPSec на основе функции компьютеров:

  • серверы, хранящие секретные сведения и обменивающиеся ими, входят в организационное подразделение «Серверы высокой безопасности»;
  • другие серверы, которые могут использовать небезопасную связь (хотя безопасная связь предпочтительнее) для обмена данными с компьютерами домена, не поддерживающими IPSec, входят в организационное подразделение «Безопасные серверы»;
  • клиенты, инициирующие безопасные соединения с серверами высокой безопасности, и отвечающие при запросе безопасных соединений безопасными серверами, входят в организационное подразделение «Клиенты».

При объединении компьютеров в организационные подразделения политики IPSec можно назначать только тем компьютерам, для которых требуется IPSec. Это делает возможным назначение соответствующего уровня безопасности во избежание чрезмерной загрузки службы безопасности. В описанном сценарии Active Directory хранит все политики IPSec для всех компьютеров.

Высокая безопасность между клиентами и контроллером домена не обязательна, поскольку данные, передаваемые между клиентами и контроллером домена с использованием Kerberos, уже зашифрованы, а при передаче политики IPSec из Active Directory на компьютеры, входящие в состав Active Directory, используется защита Windows LDAP.

IPSec в данном случае следует использовать в сочетании с управлением доступом. Разрешения доступа остаются необходимой частью защиты доступа к общим ресурсам, доступными на любом из компьютеров в организационных подразделениях «Серверы высокой безопасности» и «Безопасные серверы». IPSec защищает трафик на сетевом уровне, благодаря чему злоумышленники не могут расшифровать или изменить данные.


Удаленные соединения

Безопасность удаленных соединений обеспечивается одним из следующих способов:

  • с применением сочетания протокола L2TP (Layer Two Tunneling Protocol) и IPSec (L2TP/IPSec). L2TP используется для туннелирования данных через общие или частные сети, такие как Интернет, а инкапсуляция полезных данных (ESP, Encapsulating Security Payload) IPSec используется для шифрования данных;
  • с помощью туннелей IPSec.

Клиенты удаленного доступа с использованием L2TP/IPSec

Общим требованием является защита соединений между удаленными клиентами и сетью предприятия через Интернет. Это может быть консультант по продажам, проводящий большую часть времени в дороге, или сотрудник, работающий на дому.

Клиенты удаленного доступа, использующие L2TP и IPSec

На данном рисунке удаленный шлюз — это сервер, обеспечивающий безопасность интрасети организации. Удаленный клиент — это мобильный пользователь, которому необходим регулярный доступ к сетевым ресурсам и данным. Поставщик услуг Интернета используется здесь в качестве примера для демонстрации пути соединения, когда клиент использует поставщика услуг Интернета для доступа к Интернету. Сочетание L2TP с IPSec обеспечивает простой и эффективный способ создания туннеля и защиты данных при передаче через Интернет.

Подключение филиалов организации с использованием L2TP/IPSec

Крупные организации часто имеют несколько веб-узлов, между которыми необходима связь, например, штаб-квартира в Нью-Йорке и торговое представительство в Вашингтоне. В этом случае используется сочетание L2TP и IPSec, обеспечивающее создание туннеля и защиту данных между сайтами.

Создание VPN-соединения L2TP/IPSec между маршрутизаторами

Маршрутизаторы на базе Windows 2000 обеспечивают защиту сети. Для маршрутизаторов может использоваться выделенная линия, коммутируемый или другой тип подключения к Интернету. Сопоставление безопасности IPSec и туннель L2TP устанавливаются только между маршрутизаторами и обеспечивают безопасное соединение через Интернет.

Дополнительные сведения о настройке виртуальных частных сетей «маршрутизатор-маршрутизатор» на базе L2TP см. в разделе Развертывание виртуальных частных сетей «маршрутизатор-маршрутизатор».

Защита удаленного подключения для L2TP/IPSec

Для подключений L2TP/IPSec не используются политики IPSec. Вместо этого настраиваются свойства безопасности для VPN-подключений. Когда безопасность настроена для VPN-подключения в папке «Сетевые подключения» или для интерфейса вызова по требованию в службе «Маршрутизация и удаленный доступ»:

  • необходимые списки фильтров, действия фильтров и правила динамически создаются на время соединения клиентскими или серверными компонентами VPN в агенте политики IPSec;
  • для проверки подлинности IPSec запрашивает сертификат компьютера или предварительный общий ключ;
  • действуют стандартные параметры обмена ключами.

Уровень безопасности IP, используемый на время подключения, зависит от параметров клиента и сервера VPN.

На клиенте VPN в папке «Сетевые подключения» для VPN-подключений доступны следующие параметры шифрования:

  • не разрешено — используется заголовок проверки подлинности (AH);
  • необязательное — если другой компьютер запрашивает или требует безопасной связи, IPSec предлагает уровни безопасности от ESP/3DES до AH/MD5;

    • Сеансовые циклы безопасной пересылки (PFS) не включаются, если этого не требует другой компьютер. Если ESP согласовать не удается, используется AH.

  • обязательное — компьютер требует безопасной связи. Предлагается та же безопасность, что и при выборе параметра необязательное, но требуется шифрование ESP;
  • самое стойкое — компьютер требует безопасного соединения и шифрования 3DES ESP.

На VPN-сервере Windows 2000 доступны следующие параметры шифрования VPN-подключений (в параметрах профиля политики удаленного доступа, соответствующей попытке VPN-подключения):

  • Без шифрования — используется заголовок проверки подлинности (AH);
  • Основной — используется ESP и 56-разрядное шифрование DES;
  • Стойкое — используется ESP и 56-разрядное шифрование DES;
  • Самое стойкое — используется ESP и 56-разрядное шифрование 3DES.

Дополнительные сведения см. в разделе Политики удаленного доступа.

Использование туннелей IPSec

Другим методом безопасного соединения двух маршрутизаторов через Интернет является использование туннелирования IPSec. Туннелирование IPSec может использоваться в случаях, когда один из маршрутизаторов не поддерживает соединения L2TP/IPSec.

Дополнительные сведения см. в разделах Туннельный режим и Конечная точка туннеля.


Администрирование безопасности протокола IP

В этом разделе рассмотрены следующие темы.

  • Управление безопасностью протокола IP из командной строки


Управление безопасностью протокола IP из командной строки

Помимо консоли «Управление дисками» для управления политиками IPSec можно использовать средство командной строки Ipseccmd.

Сведения о других средствах, запускаемых из командной строки, см. в разделе Справочник по параметрам командной строки. Дополнительные сведения о возможностях управления см. в разделе Управление и администрирование.


Ресурсы

В этом разделе рассмотрены следующие темы.

  • Документы RFC и проекты стандартов Интернета по IPSec
  • Веб-узлы, содержащие сведения об IPSec
  • Ресурсы Windows
  • Средства устранения неполадок
  • Статистика монитора IP-безопасности


Документы RFC и проекты стандартов Интернета по IPSec

Документы RFC представляют собой непрерывную цепь отчетов, предложений протоколов и описаний стандартов протоколов, используемых Интернет-сообществом. Стандарты IPSec определены в документах RFC, опубликованных группой IETF (Internet Engineering Task Force) и другими рабочими группами.

Документы RFC, описывающие IPSec

  • RFC 1828: IP Authentication using Keyed MD5
  • RFC 1829: The ESP DES-CBC Transform
  • RFC 2085: HMAC-MD5 IP Authentication with Replay Prevention
  • RFC 2104: HMAC: Keyed-Hashing for Message Authentication
  • RFC 2401: Security Architecture for the Internet Protocol
  • RFC 2402: IP Authentication Header
  • RFC 2403: The Use of HMAC-MD5-96 within ESP and AH
  • RFC 2404: The Use of HMAC-SHA-1-96 within ESP and AH
  • RFC 2406: IP Encapsulating Security Payload (ESP)
  • RFC 2407: The Internet IP Security Domain of Interpretation for ISAKMP
  • RFC 2408: Internet Security Association and Key Management Protocol (ISAKMP)
  • RFC 2409: The Internet Key Exchange (IKE)
  • RFC 2410: The NULL Encryption Algorithm and Its Use with IPSec
  • RFC 2411: IP Security Document Roadmap
  • RFC 2451: The ESP CBC-Mode Cipher Algorithms

Самые последние сведения об архитектуре и механизмах IPSec находятся на веб-узлах по IPSec.

IPSec: проекты стандартов Интернета

Проекты стандартов Интернета содержат подробную техническую информацию об архитектуре IPSec, включая используемые алгоритмы и протоколы. Каталоги Интернета предоставляют авторам возможность распространять и комментировать документы, которые готовятся к публикации как RFC.

Самые последние сведения об архитектуре и механизмах IPSec находятся на веб-узлах по IPSec.

Реализация IPSec в Windows XP полностью внедряет следующий документ IETF об архитектуре IPSec:

  • A GSS-API Authentication Method for IKE (draft-ietf-ipsec-isakmp-gss-auth-0x.txt)

Реализация IPSec в Windows XP придерживается, но не полностью внедряет следующий документ IETF об архитектуре IPSec:

  • A PKIX Profile for IKE (draft-ietf-ipsec-pki-req-0x.txt)


Веб-узлы, содержащие сведения об IPSec

Ниже перечислены веб-узлы, содержащие ссылки на сведения об IPSec.

  • Страница рабочей группы по IPSec на веб-узле рабочей группы IETF (Internet Engineering Task Force) содержит ссылки на документы RFC, проекты стандартов и другие ресурсы.
  • Последние сведения и рекомендации по вопросам безопасности см. на странице Microsoft Security веб-узла корпорации Майкрософт
  • Сведения о стандартах и технологии IPSec, а также по другим темам, посвященным компьютерной безопасности, см. на веб-узле национального института стандартов и технологии США (National Institute of Standards and Technology).

Примечание

  • XOX


Ресурсы Windows

Пакеты ресурсов Windows содержат исчерпывающие технические сведения о TCP/IP и IPSec. Дополнительные сведения см. в разделе Ресурсы Microsoft Windows.


Средства устранения неполадок

Для устранения неполадок IPSec в Windows XP доступны следующие средства:

  • оснастка «Политики безопасности IP»;
  • оснастки «Active Directory — пользователи и компьютеры» и «Групповая политика»;
  • оснастка «Монитор IP-безопасности»;
  • IPSecCMD;
  • ведение журнала аудита;
  • журнал Oakley;
  • сетевой монитор.

Оснастка «Политики безопасности IP»

Оснастка «Политики безопасности IP» позволяет создавать, изменять и активизировать политики IPSec. Можно создать консоль, добавив оснастку «Политики безопасности IP» в узле «Локальный компьютер» или «Active Directory». Можно также получать доступ к оснастке «Политики безопасности IP» через групповую политику. Дополнительные сведения см. в разделе Запуск оснастки «Политики безопасности IP».

Примечание

  • Администрирование политики IPSec на основе Active Directory с компьютера под управлением Windows XP Home Edition невозможно.

Оснастки «Active Directory — пользователи и компьютеры» и «Групповая политика»

Для устранения неполадок, связанных с приоритетом политик, и определения набора политик, используемых клиентами IPSec, используются оснастки «Active Directory — пользователи и компьютеры» и «Групповая политика». Приоритет политик основан на модели наследования групповой политики. Используется политика, назначенная на самом нижнем уровне иерархии доменов для контейнера домена, членом которого является компьютер. Например, при наличии политик IPSec, настроенных как для домена, так и для подразделения в пределах домена, компьютеры, являющиеся членами этого домена, используют политики IPSec домена. Компьютеры, являющиеся членами подразделения домена, используют политики IPSec соответствующего подразделения. Если политики IPSec для Active Directory не настроены, используются локальные политики.

Дополнительные сведения о работе политик IPSec в среде Active Directory см. в разделе Политики, хранящиеся в Active Directory.

Оснастка «Монитор IP-безопасности»

С помощью оснастки «Монитор IP-безопасности» можно просматривать на локальном или удаленном компьютере следующие сведения:

  • универсальные фильтры, специальные фильтры и сопоставления безопасности основного и быстрого режимов;
  • политики IKE;
  • политики согласования;
  • статистику IKE и безопасности IP.

Дополнительные сведения см. в разделе Наблюдение за действиями политики IPSec. Дополнительные сведения о статистике безопасности IP см. в разделе Статистика монитора IP-безопасности.

Примечание

  • Оснастка «Монитор IP-безопасности» может использоваться только для мониторинга IP-безопасности на компьютерах с Windows XP. Для наблюдения за IPSec на компьютере под управлением Windows 2000 следует использовать команду ipsecmon в командной строке Windows 2000 на соответствующем компьютере.

IPSecCMD

С помощью программы IPSecCMD можно настраивать политики IPSec, фильтры и действия фильтров из командной строки. Дополнительные сведения см. в разделе Ipseccmd. Использование программы ipseccmd возможно только на компьютерах с Windows XP. Для настройки политик IPSec, фильтров и действий фильтров из командной строки для компьютеров с Windows 2000 используется команда ipsecpol, предоставляемая в пакете «Ресурсы Windows 2000 Server».

Ведение журнала аудита

С помощью оснастки Windows XP Просмотр событий можно просматривать следующие события, связанные с IPSec.

  • События агента политики IPSec в журнале аудита.
  • События драйвера IPSec в журнале системы. Чтобы включить ведение журнала событий драйвера IPSec, задайте для параметра реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPSEC\DiagnosticMode значение 1. Для ввода данного изменения в силу необходимо перезагрузить компьютер. Драйвер IPSec записывает события в журнал системы только один раз в час. Дополнительные сведения о ведении журнала событий драйвера IPSec см. в разделе Ресурсы Windows.
  • События IKE (подробности сопоставления безопасности) в журнале аудита. Для просмотра этих событий включите аудит успехов или отказов для политики Аудит входа в систему для домена или локального компьютера. Дополнительные сведения см. в разделе Установка политики аудита.
  • События изменения политики IPSec в журнале аудита. Для просмотра этих событий включите аудит успехов или отказов для политики Аудит изменения политики для домена или локального компьютера. Дополнительные сведения см. в разделе Установка политики аудита.

Включение ведения журнала аудита и просмотр событий в оснастке «Просмотр событий» является самым быстрым и простым способом для устранения неполадок при сбоях согласования основного или быстрого режимов.

Примечание

  • Настройка политик аудита на компьютерах с Windows XP Home Edition невозможна, однако аудит успехов и отказов для политик Аудит входа в систему и Аудит изменения политики для локального компьютера включен по умолчанию.

Журнал Oakley

Журнал Oakley используется для просмотра подробностей о процессе установки сопоставления безопасности. Журнал Oakley включается в реестре. По умолчанию он отключен. Чтобы включить журнал Oakley, задайте для параметра реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\PolicyAgent\Oakley\EnableLogging значение 1. Этот параметр не существует по умолчанию; его необходимо создать. Дополнительные сведения о добавлении параметров в разделы реестра см. в разделе Добавление параметра.

После включения журнал Oakley, хранящийся в папке СистемныйКорневойКаталог\Debug, записываются все согласования ISAKMP основного или быстрого режима. Новый файл Oakley.log создается при каждом запуске агента политики IPSec, а предыдущая версия файла Oakley.log сохраняется под именем Oakley.log.sav.

Для активизации нового параметра реестра EnableLogging после изменения его значения остановите и запустите агент политики IPSec и связанные с ним службы IPSec, выполнив в командной строке команды net stop policyagent и net start policyagent. Для перезапуска агента политики IPSec и связанных служб на компьютере с Windows 2000 Server и службой маршрутизации и удаленного доступа используется следующая последовательность команд.

  1. Остановите службу маршрутизации и удаленного доступа с помощью команды net stop remoteaccess.
  2. Остановите службы IPSec с помощью команды net stop policyagent.
  3. Запустите службы IPSec с помощью команды net start policyagent.
  4. Запустите службу маршрутизации и удаленного доступа с помощью команды net start remoteaccess.

Внимание!

  • Ошибка при изменении реестра может серьезно повредить систему. Перед изменением реестра создайте резервную копию всех важных данных.

Сетевой монитор

Сетевой монитор можно использовать для устранения неполадок IPSec. Сетевой монитор версии 2.0, входящий в состав Windows 2000 Server и Systems Management Server 2.0, содержит парсеры для протоколов ISAKMP, AH и ESP. Однако сетевой монитор не разбирает зашифрованные части трафика с защитой IPSec.

Дополнительные сведения см. в разделе Сетевой монитор.


Статистика монитора IP-безопасности

Статистика IKE

Следующая таблица описывает элементы списка статистики IKE в оснастке «Монитор IP-безопасности».

Статистика IKE | Описание
Активных запросов | С помощью запросов драйвер IPSec предписывает IKE выполнить то или иное действие. Статистика активных запросов включает число невыполненных запросов и запросов в очереди. Обычно число активных запросов равно 1. При сильной загрузке число активных запросов равно 1 плюс число запросов, помещенных IKE в очередь на обработку.
Активных приемов | Число принятых сообщений IKE, ожидающих обработки в очереди.
Ошибок запросов | Число случаев неудачного завершения запросов.
Ошибок приема | Число сбоев функции Windows Sockets WSARecvFrom() при приеме сообщений IKE.
Ошибок отправки | Число сбоев функции Windows Sockets WSASendTo() при отправке сообщений IKE.
Размер кучи запросов | Число записей в куче запросов, хранящей активные запросы. Это число увеличивается при высокой загрузке, а затем постепенно уменьшается по мере очистки кучи.
Размер кучи приема | Число записей в буферах приема входящих сообщений IKE.
Ошибки согласования | Общее число сбоев согласования, произошедших во время согласования основного режима (также известного как этап I) или быстрого режима (также известного как этап II). При наличии затруднений с осуществлением безопасного обмена данными попробуйте установить соединение и посмотрите, увеличится ли число ошибок согласования. Если это значение увеличится, проверьте соответствие методов проверки подлинности, правильность настройки метода проверки подлинности (например, соответствие используемых предварительных общих ключей) или соответствие методов или параметров безопасности.
Ошибки проверки подлинности | Общее число сбоев при проверке учетных данных (с использованием Kerberos, сертификата и предварительного общего ключа) при согласовании основного режима. При наличии затруднений с осуществлением безопасного обмена данными попробуйте установить соединение и посмотрите, увеличится ли число ошибок проверки подлинности. Если это значение увеличится, проверьте соответствие методов проверки подлинности или правильность настройки метода проверки подлинности (например, соответствие используемых предварительных общих ключей).
Получены недопустимые файлы «cookie» | «Cookie» представляет собой значение, содержащееся в принятом сообщении IKE, которое используется IKE для выяснения состояния активного основного режима. Недопустимым считается значение «cookie» в принятом сообщении IKE, которое не удается сопоставить с активным основным режимом.
Всего запросов | Общее число рабочих запросов, переданных IKE в драйвер IPSec.
Всего получено SPI | Общее число запросов, отправленных IKE в драйвер IPSec для получения уникального индекса параметров безопасности (Security Parameters Index, SPI).
Дополнения по ключам | Число исходящих сопоставлений безопасности быстрого режима, добавленных IKE в драйвер IPSec.
Обновлений ключей | Число входящих сопоставлений безопасности быстрого режима, добавленных IKE в драйвер IPSec.
Ошибок получения SPI | Число неудачных запросов, отправленных IKE в драйвер IPSec для получения SPI.
Дополнительные сбои ключей | Число неудачных исходящих запросов добавления сопоставления безопасности быстрого режима, отправленных IKE в драйвер IPSec.
Ошибок обновлений ключей | Число неудачных входящих запросов добавления сопоставления безопасности быстрого режима, отправленных IKE в драйвер IPSec.
Размер списка ISADB | Число записей состояния основного режима, включая согласованные основные режимы, текущие основные режимы, а также несогласованные основные режимы, которые не были удалены.
Размер списка подключений | Число записей состояния быстрого режима.
Главный режим Oakley | Общее число успешных сопоставлений безопасности, созданных во время согласований основного режима.
Быстрый режим Oakley | Общее число успешных сопоставлений безопасности, созданных во время согласований быстрого режима. Поскольку обычно для каждого сопоставления безопасности создается несколько сопоставлений безопасности быстрого режима, это значение не обязательно совпадает с аналогичным значением для основного режима.
Получено неправильных пакетов | Число принятых неправильных сообщений IKE, включая сообщения IKE с недопустимыми полями заголовка, неправильным размером полезных данных и неправильными значениями cookie отвечающей стороны (когда оно должно иметь значение 0). Неправильные сообщения IKE в основном вызываются просроченными повторно переданными сообщениями IKE или несоответствующим общим ключом между соединениями IPSec.
«Мягкие» сопоставления | Общее число согласований, приведших к использованию незашифрованного текста (также известных как сопоставления безопасности). Обычно это значение отражает число сопоставлений с компьютерами, которые не отвечают на попытки согласования основного режима. Это могут быть компьютеры как не поддерживающие IPSec, так и поддерживающие IPSec, но не имеющие политики IPSec для согласования безопасности при соединении IPSec. Хотя сопоставления безопасности не являются результатом согласований основного и быстрого режимов, они все равно рассматриваются как сопоставления безопасности быстрого режима.

Статистика IPSec

Следующая таблица описывает элементы списка статистики IPSec в оснастке «Монитор IP-безопасности».

Статистика IPSec | Описание
Активных сопоставлений безопасности | Число активных сопоставлений безопасности IPSec.
Разгруженные сопоставления безопасности | Число активных сопоставлений безопасности IPSec, разгруженных на аппаратное обеспечение.
Незаконченные операции с ключами | Число выполняемых операций с ключами IPSec.
Дополнения по ключам | Общее число успешных согласований сопоставлений безопасности IPSec.
Удаления ключей | Число удалений ключей для сопоставлений безопасности IPSec.
Повторная генерация ключей | Число операций смены ключа для сопоставлений безопасности IPSec.
Активных туннелей | Число активных туннелей IPSec.
Сбойных пакетов SPI | Общее число пакетов с неправильным индексом параметров безопасности (Security Parameters Index, SPI). SPI используется для сопоставления входящих пакетов с сопоставлениями безопасности. Неправильный индекс параметров безопасности может означать, что срок действия входящего сопоставления безопасности истек и недавно был получен пакет, использующий старое сопоставление безопасности. Это значение может быть большим при коротких интервалах смены ключей и большом числе сопоставлений безопасности. Поскольку срок действия сопоставлений безопасности истекает при обычных условиях, наличие сбойных пакетов SPI не обязательно означает сбой безопасности IP.
Незашифрованных пакетов | Общее число пакетов, которые не удалось расшифровать. Неудача при расшифровке пакета может означать, что срок действия сопоставления безопасности полученного пакета истек. При истечении срока действия сопоставления безопасности ключ сеанса, используемый для расшифровки пакета, также удаляется. Наличие нерасшифрованных пакетов не обязательно означает сбой безопасности IP.
Непроверенных пакетов | Общее число пакетов, данные которых не удалось проверить. Такие неудачи чаще всего происходят по причине истечения срока действия сопоставлений безопасности.
Пакеты с определением ответа | Общее число пакетов, содержащих действующее поле порядкового номера.
Послано байтов (секретных) | Общее число байтов, отправленных по протоколу ESP.
Получено байтов (секретных) | Общее число байтов, полученных по протоколу ESP.
Послано байтов (проверенных) | Общее число байтов, отправленных по протоколу AH.
Получено байтов (проверенных) | Общее число байтов, полученных по протоколу AH.
Транспортных байтов отправлено | Общее число байтов, отправленных в режиме транспорта IPSec.
Получено транспортных байтов | Общее число байтов, полученных в режиме транспорта IPSec.
Отправлено в туннель, байтов | Общее число байтов, отправленных в туннельном режиме IPSec.
Получено из туннеля, байтов | Общее число байтов, полученных в туннельном режиме IPSec.
Отправлено разгруженных байтов | Общее число байтов, отправленных с использованием аппаратной разгрузки.
Получено разгруженных байтов | Общее число байтов, полученных с использованием аппаратной разгрузки.


Устранение неполадок

Вид неполадки

Трафик не защищен.

Причина. Не установлено сопоставление безопасности IPSec, защищающее трафик.

Решение. Данная неполадка может быть вызвана неправильной настройкой списка фильтров или включением небезопасной связи. Проверьте политики, назначенные на обеих сторонах подключения IPSec, и определите, требуют ли правила, списки фильтров и параметры действий фильтров защиты трафика. Проверьте, включен ли параметр Разрешать связь с компьютерами, не поддерживающими IPSec на вкладке Методы безопасности соответствующего действия фильтра. Определите причину сбоя согласования безопасности с помощью журнала аудита.

См. также: Средства устранения неполадок; Добавление и изменение методов безопасности IPSec.

Сбой согласования сопоставления безопасности IPSec.

Причина. Не установлено сопоставление безопасности IPSec, защищающее трафик. Если включена небезопасная связь с компьютерами, не поддерживающими IPSec, сбой согласования является ожидаемым.

Решение. Сбой согласования между компьютерами, поддерживающими IPSec, обычно возникает при использовании политик по умолчанию на обеих сторонах подключения, когда одна или обе стороны не являются членами домена с Active Directory. Компьютеры, работающие под управлением Windows XP Home Edition, не поддерживают членство в доменах с Active Directory или метод проверки подлинности Kerberos V5. Политики по умолчанию используют метод проверки подлинности Kerberos, который не работает для компьютеров, не являющихся членами домена с Active Directory. Сбой согласования между двумя компьютерами, поддерживающими IPSec, чаще всего вызывает несовпадение метода обмена ключами, метода проверки подлинности или метода безопасности. Проверьте политики, назначенные на обеих сторонах подключения IPSec, и определите, требуют ли дополнительные параметры, правила, списки фильтров или параметры действий фильтров защиты трафика. Если да, определите, не препятствует ли успешному согласованию сопоставления безопасности несоответствие методов обмена ключами, проверки подлинности или безопасности. Определите причину сбоя согласования безопасности с помощью журнала аудита.

См. также: Средства устранения неполадок; Добавление и изменение методов безопасности IPSec; Определение методов проверки подлинности IPSec; Создание методов обмена ключами.

Сбой согласования сопоставления безопасности IPSec при использовании сертификатов для проверки подлинности.

Причина. На сторонах подключения IPSec не установлены правильные сертификаты компьютеров.

Решение. Установите на сторонах подключения IPSec правильные сертификаты компьютеров.

Причина. В методе проверки подлинности выбран неправильный центр сертификации (ЦС).

Решение. Для правил каждой стороны подключения IPSec выберите ЦС, выдавший сертификат компьютера, установленный на другой стороне подключения.

См. также: Средства устранения неполадок; Методы проверки подлинности; Определение методов проверки подлинности IPSec.

Некоторые компьютеры не могут установить соединение с защищенными компьютерами.

Причина. Защищенные компьютеры используют политики блокировки, требующие инициирования безопасных соединений клиентскими компьютерами. На компьютерах, которые не могут установить соединение, не настроено правило, предписывающее инициирование безопасных соединений.

Решение. Разрешите на защищенных серверах входящие запросы на небезопасные соединения либо настройте на компьютерах, которые не могут установить соединение, дополнительные правила, позволяющие инициировать безопасные соединения с защищенными компьютерами.

См. также: Добавление и изменение действий фильтра.

Причина. Клиентские компьютеры не поддерживают IPSec, а защищенные компьютеры не разрешают небезопасные соединения.

Решение. Установите клиентские компьютеры, поддерживающие IPSec, либо перенастройте защищенные компьютеры таким образом, чтобы они разрешали соединения с компьютерами, не поддерживающими IPSec.

Причина. На некоторых компьютерах настроена политика, метод обмена ключами, метод проверки подлинности или метод безопасности которой не совпадают с параметрами политики, настроенной на защищенных компьютерах.

Решение. Просмотрите политики, назначенные на обеих сторонах подключения IPSec, и определите на основе дополнительных параметров, правил, списков фильтров и параметров действий фильтров, требуется ли защита IPSec для трафика. Если да, определите, не препятствует ли успешному согласованию сопоставления безопасности несоответствие методов обмена ключами, проверки подлинности или безопасности. Определите причину сбоя согласования безопасности с помощью журнала аудита.

См. также: Средства устранения неполадок; Добавление и изменение методов безопасности IPSec; Определение методов проверки подлинности IPSec; Создание методов обмена ключами.

Политика IPSec локального компьютера не используется.

Причина. Компьютер является членом домена с Active Directory и использует политику IPSec домена.

Решение. Все члены домена используют политику IPSec домена, которая заменяет параметры локальной политики IPSec. Чтобы предотвратить это, удалите компьютер из домена

Причина. Службы IPSec не запущены.

Решение. Запустите или перезапустите службы IPSec.

См. также: Перезапуск служб IPSec.

Не удается назначить или отменить назначение политики безопасности IP.

Причина. Назначить или отменить назначение политик не удается при использовании оснастки «Политики безопасности IP» для Active Directory.

Решение. Чтобы назначить политики для Active Directory, воспользуйтесь папкой «Политики безопасности IP» в оснастке «Групповая политика».

См. также: Назначение и отмена назначения политики IPSec в групповой политике.

Используется алгоритм DES, когда необходимо использование 3DES.

Решение. Данная сторона подключения IPSec является компьютером, работающим под управлением Windows 2000, на котором не установлен пакет Windows 2000 High Encryption Pack или пакет обновления Windows 2000 Service Pack 2 (или более поздний).

Решение. Установите на компьютер, работающий под управлением Windows 2000, пакет Windows 2000 High Encryption Pack или пакет обновления Windows 2000 Service Pack 2 (или более поздний).

На защищенный сервер отправляется незащищенный трафик.

Причина. Клиентский компьютер использует правило отклика по умолчанию.

Решение. Клиентский компьютер, использующий правило отклика по умолчанию, отправляет незащищенные пакеты либо при инициировании соединения, либо при возобновлении соединения после задержки, достаточно длинной для истечения времени ожидания сопоставления безопасности быстрого режима и динамического списка фильтров. Для предотвращения этой неполадки настройте для клиентских компьютеров дополнительные правила, предписывающие всегда инициировать безопасные соединения с защищенными серверами.

См. также: Вопросы безопасности IPSec.

В окне «Просмотр событий» отображаются сообщения об ошибках, связанных с IPSec.

Причина. Возможные неполадки агента политики IPSec или службы Oakley.

Решение. Поищите в журналах системы и безопасности сообщения, которые могут помочь в определении источника данной неполадки.

Выводится сообщение об ошибке расположения политики.

Причина. Эта ошибка может возникнуть при выполнении агентом политики IPSec попытки получить политику из неверного источника.

Решение. Проверьте записи в окне «Просмотр событий», относящиеся к агенту политики, а также журнал агента политики IPSec на наличие сообщений, указывающих источник получения политики (локальный реестр или домен). Если параметр реестра HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\GPTIPSECPolicy имеет значение 1, используется политика IPSec из Active Directory. В противном случае используется политика из реестра. Если при запуске локального компьютера загружается политика домена, выводится соответствующее предупреждение. Если предполагается использование политики домена, но не удается ее получить, попробуйте удалить раздел реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History и перезапустите компьютер.

Внимание!

  • Ошибка при изменении реестра может серьезно повредить систему. Перед изменением реестра создайте резервную копию всех важных данных.

См. также: Просмотр журналов событий.

В окне просмотра событий отображается сообщение о сбое SPI.

Причина. Эта ошибка может возникать в том случае, если задано слишком короткое время жизни ключа или если срок действия сопоставления безопасности истек, но отправитель продолжает передавать данные получателю.

Решение. Чтобы выявить и исправить данную неполадку, просмотрите число смен ключа в оснастке «Монитор IP-безопасности». Если ключ менялся слишком часто в сравнении с продолжительностью активных соединений, увеличьте время жизни ключа в настройках политики. Для сетей Ethernet с высоким трафиком рекомендуется задать для времени жизни ключа значения более 50 мегабайт и пяти минут. Данное событие обычно записывается в том случае, когда на одной из сторон соединения IPSec сопоставление безопасности удалено, а другая сторона отправляет защищенный трафик на сопоставление безопасности. Обычно это временное явление, которое исправляется автоматически и возникает, когда система занята.

В оснастке «Монитор IP-безопасности» отображается сообщение об ошибке "IPSec-сервер недоступен или несовместим с IPSec-монитором".

Причина. Оснастка «Монитор IP-безопасности» используется для наблюдения за IPSec на компьютере, работающем под управлением Windows 2000.

Решение. Оснастка «Монитор IP-безопасности» может использоваться только для наблюдения за IPSec на компьютерах с Windows XP. Для наблюдения за IPSec на компьютере под управлением Windows 2000 следует использовать команду ipsecmon в командной строке Windows 2000 на соответствующем компьютере.

См. также: Средства устранения неполадок.

Не удается настроить IPSec или просмотреть статистику IPSec на компьютере с помощью команды ipseccmd.

Причина. Команда ipseccmd используется для настройки IPSec или просмотра статистики IPSec на компьютере, работающем под управлением Windows 2000.

Решение. Команда ipseccmd может использоваться только для настройки IPSec на компьютерах с Windows XP. Для настройки политик IPSec, фильтров и действий фильтров из командной строки для компьютеров с Windows 2000 используется команда ipsecpol, предоставляемая в пакете «Ресурсы Windows 2000 Server».

См. также: Средства устранения неполадок.