フィルター操作

IPsec は、このトラフィックを TCP/IP ドライバーとやり取りしますが、その際にセキュリティの変更も要求も行いません。これは IPsec に対応していないコンピューターからのトラフィックに適しています。この種類のフィルター操作を使う場合は、IP フィルター一覧を最低限必要なスコープに制限して、セキュリティで保護する必要のあるトラフィックを許可しないようにします。

トラブルシューティングを行えるように ICMP トラフィックを許可することを検討してください。また、自分のドメイン内にないコンピューター (コンサルタントのコンピューターなど) に、自分のドメイン内の別のコンピューターへのアクセスを許可する必要が生じることがあります。許可のフィルター操作を使用すると、このアクセスを許可できます。

	重要
	許可のフィルター操作では、認証、データ整合性、または暗号化なしでアクセスを許可します。フィルター一覧に指定されている IP アドレスを持つコンピューターを使用するすべてのユーザーに、アクセスが与えられます。コンピューター間のトラフィックはすべてプレーンテキストで行われ、整合性チェックは実行されません。

IPsec はブロックされたトラフィックを警告なしで破棄します。ブロックのフィルター操作を使用するときには、正しい IP アドレスのスコープを定義した IP フィルター一覧を使用するようにしてください。よりスコープを広げると、有効なコンピューター間のトラフィックをブロックする可能性が高まります。

[セキュリティで保護されていない通信を受け付けるが、常に IPsec を使って応答] オプションを有効にする場合、IPsec はセキュリティ アソシエーション (SA) および IPsec で保護されたトラフィックの送信または受信のネゴシエートを試みます。ただし、ピアが IPsec を使用できない場合は、IPsec の保護なしで通信が許可されます。このフィルター操作を選択した後は、次の項目も構成できます。

• セキュリティ メソッドとその順序。メソッドの一覧では、メソッドを試みる順序が定義されます。最初に成功したメソッドが使用され、それ以降のメソッドは試行されません。通常、一覧は、セキュリティ レベルが最も高いものから最も低いものの順に並べる必要があります。これにより、最も安全なメソッドが使用されます。
  
  
• セキュリティで保護されていない初期着信トラフィックの受け付け ([セキュリティで保護されない通信を受け付けるが、常に IPSec を使って応答])。IPsec は、セキュリティで保護されない (IPsec によって保護されない) ものとして構成されたフィルター一覧と一致する着信パケットを許可します。ただし、着信パケットに対する発信応答は保護する必要があります。この設定は、クライアントで既定の応答規則を使用している場合に役立ちます。すべての IP アドレスとの通信をセキュリティで保護し、セキュリティで保護されていない通信を受け付け、セキュリティで保護された通信だけで応答する規則によって、サーバーのグループが構成されている場合は、クライアント コンピューターで既定の応答規則を有効にすると、そのクライアントはサーバーからの要求に応答してセキュリティをネゴシエートします。サービス拒否攻撃を防ぐために、このオプションは、インターネットに接続しているセキュリティで保護されたコンピューターに対しては無効にしてください。
  
  
• IPsec に対応していないコンピューターとの通信の有効化 ([セキュリティで保護された接続が確立できない場合、保護されていない通信を許可する])。必要に応じて、IPsec はセキュリティで保護されていない通信に戻ります。このフィルター操作でも、IP フィルター一覧を最低限必要なスコープに制限する必要があります。制限しないと、このフィルター操作が含まれる規則を適用した通信で、何らかの理由でネゴシエーションが失敗したときに、セキュリティなしでデータが送信される可能性があります。セキュリティで保護されていない通信について心配な場合は、この設定を無効にすることも考えられます。ただし、無効にすると、レガシ システムなど、IPsec を開始できないコンピューターとの通信がブロックされることがあります。サービス拒否攻撃を防ぐために、このオプションは、インターネットに接続しているセキュリティで保護されたコンピューターに対しては無効にしてください。
  
  
• 新しいメイン モードのキー生成情報に基づくクイック モードのセッション キーの生成 ([セッション キーの PFS (Perfect Forward Secrecy) を使う])。セッション キーの PFS を有効にすると、複数のクイック モードのセッション キーを派生させる目的でメイン モードのマスター キー生成情報を使用することができなくなります。クイック モードの PFS を有効にすると、新しいクイック モードのキーが作成される前に、新しい Diffie-Hellman キー交換が実行され、新しいメイン モードのマスター キー生成情報が生成されます。セッション キー (クイック モード) の PFS ではメイン モード再認証の必要がなく、マスター キー (メイン モード) の PFS よりも使うリソースが少なくなります。
  
  

各セキュリティ メソッドは、関連付けられている規則が適用される任意の通信のセキュリティ要件を定義します。複数のセキュリティ メソッドを作成すると、2 つのコンピューター間で共通のメソッドが見つかる可能性が高くなります。インターネット キー交換 (IKE) コンポーネントは、降順でセキュリティ メソッドの一覧を読み取り、許可されているセキュリティ メソッドの一覧を他方のピアに送信します。共通する最初のメソッドが選択されます。通常、セキュリティ レベルの最も高いセキュリティ メソッドが一覧の最上部に表示され、最も低いメソッドが最下部に表示されます。