إجراءات التصفية

يقوم IPsec بتمرير نقل البيانات هذا إلى ومن برنامج تشغيل TCP/IP دون تعديل أو دون الحاجة للأمان. ويعد هذا مناسباً لمعدل نقل البيانات من أجهزة كمبيوتر غير قادرة على التعامل مع IPSec. احرص على تقليص قائمة عوامل تصفية IP إلى أدنى حد للنطاق عند استخدام هذا النوع من إجراءات التصفية, وذلك حتى لا تسمح بمعدل نقل بيانات ينبغي تأمينه.

يجب الأخذ في الاعتبار السماح لنقل بيانات ICMP لأغراض استكشاف الأخطاء وإصلاحها. قد تحتاج أيضاً إلى السماح لكمبيوتر غير موجود في المجال الخاص بك (على سبيل المثال، الكمبيوتر المستشار) بالوصول إلى كمبيوتر آخر في المجال. يمكنك استخدام السماح بإجراء التصفية للسماح بهذا الوصول.

	هام
	يتيح السماح بإجراء التصفية إمكانية الوصول دون مصادقة أو تكامل للبيانات أو تشفير. يتم منح إمكانية الوصول لأي شخص يستخدم كمبيوتر مزود بعنوان IP المحدد في قائمة عوامل التصفية. يتم إجراء كافة عمليات معدل نقل البيانات التي يتم نقلها بين أجهزة الكمبيوتر في شكل نص عادي، ولا يتم تنفيذ أي عمليات تحقق من التكامل.

يتجاهل IPSec بصمت معدل نقل البيانات المحظور. عند استخدام حظر إجراء التصفية، تأكد من استخدام قائمة عوامل تصفية IP تعرِّف النطاق الصحيح لعناوين IP. يزيد استخدام نطاقات أكبر من فرصة حظر معدل نقل البيانات بين أجهزة كمبيوتر صحيحة.

في حالة تمكين الخيار Accept unsecured communication, but always respond using IPSec، فسيحاول IPsec إجراء مفاوضة بشأن اقترانات الأمان (SA) وإرسال أو تلقي نقل بيانات IPsec المحمي. مع ذلك، إذا كان النظير لا يمكنه استخدام IPsec، فسيكون الاتصال مسموحاً به دون حماية IPsec. بعد اختيار إجراء التصفية هذا, يمكنك أيضاً تكوين ما يلي:

• أساليب الأمان وترتيبها. تعرف قائمة الأساليب هذه الترتيبَ الذي سيتم به محاولة استخدام تلك الأساليب. سيتم استخدام أول أسلوب ناجح ولن يتم محاولة استخدام الأساليب الأخرى. بشكل عام، ينبغي ترتيب العناصر داخل القائمة من العناصر ذات مستوى الأمان المرتفع إلى العناصر ذات مستوى الأمان المنخفض، وذلك حتى يتم استخدام أكثر الأساليب أماناً.
  
  
• قبول معدل نقل بيانات مبدئية واردة غير آمنة (قبول الاتصال غير الآمن مع الاستجابة دوماً باستخدام IPSec). يسمح IPSec بأن تكون الحزمة الواردة التي تطابق قائمة عوامل التصفية المكوّنة غير مؤمَّنة (أي غير محمية بواسطة IPSec). في حين, يجب حماية الاستجابة الصادرة للحزمة الواردة. يكون هذا الإعداد مفيداً عند استخدام قاعدة الاستجابة الافتراضية للعملاء. عندما يتم تكوين مجموعة من الخوادم بقاعدة تؤمن الاتصالات بأي عنوان IP وتقبل الاتصالات غير الآمنة, مع الاستجابة لاتصالات آمنة فقط, كما أن تمكين قاعدة الاستجابة الافتراضية على أجهزة الكمبيوتر العميلة يضمن استجابة العملاء لطلب الخادم مفاوضة الأمان. ينبغي تعطيل هذا الخيار لأجهزة الكمبيوتر الآمنة المتصلة بإنترنت لمنع هجمات رفض الخدمة.
  
  
• تمكين الاتصال من خلال أجهزة كمبيوتر غير ممكنة لاستخدام IPSec (السماح بالاتصال غير الآمن إذا تعذر إنشاء اتصال آمن). يعود IPSec إلى الاتصال غير الآمن عند الضرورة. ومرة أخرى, ينبغي تقليص حجم قائمة عوامل تصفية IP إلى أدنى حد للنطاق. أو, في حالة فشل التفاوض لأي سبب كان, فإن أية اتصالات متأثرة بالقاعدة الموجود بها إجراء التصفية هذا يمكن أن تؤدي إلى إرسال البيانات بدون تأمين. إذا كنت قلقاً بشأن الاتصالات غير الآمنة, فقد تفكر في تعطيل هذه الإعدادات. في حين, قد يتم حظر الاتصال بأجهزة الكمبيوتر التي يتعذر عليها بدء تشغيل IPSec, مثل الأنظمة القديمة. ينبغي تعطيل هذا الخيار لأجهزة الكمبيوتر الآمنة المتصلة بإنترنت لمنع هجمات رفض الخدمة.
  
  
• إنشاء مفاتيح جلسة عمل الوضع السريع من مادة إنشاء مفاتيح جديدة في الوضع الرئيسي (Session key perfect forward secrecy ‏(PFS)). يضمن تمكين PFS لمفتاح جلسة العمل عدم استخدام مادة إنشاء المفاتيح الرئيسية في الوضع الرئيسي في اشتقاق أكثر من مفتاح جلسة عمل في الوضع السريع. عند تمكين PFS في الوضع السريع، يتم إجراء تبادل مفتاح Diffie-Hellman جديد لإنشاء مادة جديدة لإنشاء المفاتيح الرئيسية في الوضع الرئيسي قبل إنشاء مفتاح الوضع السريع الجديد. لا تتطلب PFS الخاصة بمفتاح جلسة العمل (الوضع السريع) إعادة مصادقة الوضع الرئيسي وهي تستخدم موارد أقل من PFS الخاصة بالمفتاح الرئيسي (الوضع الرئيسي).
  
  

يعرّف كل أسلوب أمان متطلبات الأمان الخاصة بأية اتصالات يتم تطبيق القاعدة المقترنة به عليها. يؤدي إنشاء أساليب أمان متعددة إلى زيادة فرصة العثور على أسلوب مشترك بين جهازي كمبيوتر. يقرأ مكون مفتاح إنترنت التبادلي (IKE) قائمة أساليب الأمان بترتيب تنازلي ويرسل قائمة بأساليب الأمان المسموح بها إلى النظير الآخر. يتم تحديد الأسلوب المشترك الأول. عادةً, يتم وضع الأساليب الأكثر أماناً على رأس القائمة، بينما يتم وضع الأساليب الأقل أماناً في أسفلها.