Filterhandlinger

IPsec lader denne datatrafik gå til og fra TCP/IP-driveren uden ændringer eller krav om sikkerhed. Denne indstilling kan benyttes til datatrafik fra computere, der ikke anvender IPsec. Husk at begrænse IP-filterlistens anvendelsesområde til det allermest nødvendige, når du bruger denne type filterhandling, så du ikke lader trafik passere, som burde være sikret.

Overvej at tillade ICMP-trafik med henblik på fejlfinding. Det kan også være nødvendigt at give en computer, der ikke findes i dit domæne (f.eks. en konsulents computer), adgang til en anden computer i domænet. Du kan bruge filterhandlingen Tillad, hvis du vil tillade denne adgang.

	Vigtigt!
	Filterhandlingen Tillad tillader adgang uden godkendelse, dataintegritet eller -kryptering. Alle, der benytter en computer med den IP-adresse, der er angivet på filterlisten, har adgang. Al trafik mellem computerne foregår i form af almindelig tekst. Der udføres ingen integritetskontrol.

IPsec annullerer uden videre blokeret datatrafik. Ved brug af en blokerende filterhandling skal du sikre dig, at du benytter en IP-filterliste, der definerer IP-adressers korrekte omfang. Jo større omfang, jo større risiko er der for at blokere trafikken mellem gyldige computere.

Hvis du aktiverer indstillingen Accepter usikker kommunikation, men svar altid ved at anvende IPSec, forsøger IPsec at forhandle sikkerhedstilknytninger og afsendelse eller modtagelse af IPsec-beskyttet trafik. Men hvis den pågældende peer ikke kan bruge IPsec, tillades kommunikationen uden IPsec-beskyttelse. Når du har valgt denne filterhandling, kan du også konfigurere følgende:

• Sikkerhedsmetoder og deres rækkefølge. Denne liste over metoder angiver, i hvilken rækkefølge metoderne vil blive afprøvet. Den første vellykkede metode vil blive anvendt, og de resterende metoder vil ikke blive afprøvet. Punkterne på listen angives normalt fra højeste sikkerhed til laveste sikkerhed, så den mest sikre metode anvendes.
  
  
• Acceptere indgående usikker datatrafik i starten (Accepter usikker kommunikation, men svar altid ved at anvende IPSec). IPsec tillader en indgående pakke, der er i overensstemmelse med den konfigurerede filterliste, at være usikker (dvs. ikke beskyttet af IPsec), men det udgående svar på den indgående pakke skal være beskyttet. Denne indstilling er praktisk, når du bruger standardsvarreglen for klienter. Når en gruppe servere er konfigureret med en regel, der sikrer kommunikationen med alle IP-adresser og accepterer indgående usikker kommunikation og kun svarer på den med udgående sikker kommunikation, sikrer aktivering af standardsvarreglen på klientcomputerne, at klienterne svarer på serverens anmodning om at forhandle sikkerhed. Hvis du vil forhindre Denial of Service-angreb, skal denne indstilling deaktiveres for at sikre de computere, der har forbindelse til internettet.
  
  
• Kommunikere med computere, der ikke anvender IPsec (Tillad usikker kommunikation, hvis der ikke kan oprettes en sikker forbindelse). IPsec går tilbage til usikker kommunikation, hvis det er nødvendigt. Også her kan det være en god ide at begrænse IP-filterlistens anvendelsesområde til et minimum. I modsat fald kan al kommunikation, som er omfattet af den regel, denne filterhandling er en del af, blive sendt uden sikkerhed, hvis forhandlingen af en eller anden grund mislykkes. Hvis du er bekymret for usikker kommunikation, kan du eventuelt deaktivere disse indstillinger. Kommunikation med computere, der ikke kan køre IPsec, f.eks. gamle systemer, kan i så fald blive blokeret. Hvis du vil forhindre Denial of Service-angreb, skal denne indstilling deaktiveres for at sikre de computere, der har forbindelse til internettet.
  
  
• Oprette sessionsnøgler i hurtigtilstand ud fra nyt nøglemateriale i hovedtilstand (Sessionsnøgle til PFS (Perfect Forward Secrecy)). Når PFS for sessionsnøglen er aktiveret, sikres det, at hovednøglematerialet i hovedtilstand kun bliver brugt til at oprette én sessionsnøgle i hovedtilstand. Når PFS i hovedtilstand er aktiveret, udføres en ny Diffie-Hellman-nøgleudveksling for at oprette nyt hovednøglemateriale i hovedtilstand, før den nye nøgle i hurtigtilstand oprettes. PFS (i hurtigtilstand) for sessionsnøgle kræver ikke en ny godkendelse i hovedtilstand og bruger færre ressourcer end PFS for hovednøgle (i hovedtilstand).
  
  

Hver enkelt sikkerhedsmetode definerer sikkerhedskravene for al kommunikation, som den tilknyttede regel gælder for. Hvis du opretter flere sikkerhedsmetoder, forøger du chancen for, at der kan findes en fælles metode mellem to computere. IKE-komponenten (Internet Key Exchange) læser listen over sikkerhedsmetoder i faldende rækkefølge og sender en liste over tilladte sikkerhedsmetoder til den anden peer. Den første fælles metode vælges. Normalt anbringes de sikreste metoder øverst på listen og de mindst sikre nederst.