Filteraktionen

IPsec übergibt den Datenverkehr an den TCP/IP-Treiber und empfängt den Datenverkehr vom TCP/IP-Treiber ohne Modifikation oder Sicherheitsanforderungen. Diese Filteraktion ist für Datenverkehr von Computern geeignet, die nicht IPSec-kompatibel sind. Beschränken Sie beim Verwenden dieses Filteraktionstyps den Geltungsbereich der IP-Filterliste auf ein Minimum, damit Sie keinen Datenverkehr passieren lassen, der gesichert sein muss.

Sie sollten erwägen, den ICMP-Datenverkehr zu Problembehandlungszwecken zuzulassen. Sie müssen möglicherweise auch einem Computer, der sich nicht in Ihrer Domäne befindet (beispielsweise den Computer eines Beraters) den Zugriff auf einen anderen Computer in Ihrer Domäne gewähren. Diesen Zugriff können Sie mithilfe der Filteraktion Zulassen erteilen.

	Wichtig
	Über die Filteraktion Zulassen kann Zugriff ohne Authentifizierung, Datenintegrität oder Verschlüsselung erteilt werden. Der Zugriff wird jedem erteilt, der einen Computer mit der in der Filterliste angegebenen IP-Adresse verwendet. Der gesamte Datenverkehr zwischen den Computern erfolgt in Klartext; es werden keine Integritätsüberprüfungen durchgeführt.

Blockierter Datenverkehr wird von IPSec ohne weitere Benachrichtigung verworfen. Achten Sie beim Verwenden einer Filteraktion zum Blockieren darauf, dass Sie eine IP-Filterliste verwenden, die den richtigen IP-Adressbereich definiert. Beim Verwenden größerer Bereiche kann es leichter passieren, dass Datenverkehr zwischen gültigen Computern blockiert wird.

Wenn Sie die Option Unsichere Kommunikat. annehmen, aber immer mit IPsec antworten aktivieren, wird von IPsec versucht, Sicherheitszuordnungen und das Senden und Empfangen von IPsec-geschütztem Datenverkehr auszuhandeln. Kann der Peer jedoch kein IPSec verwenden, wird die Kommunikation ohne IPSec-Schutz zugelassen. Wenn Sie diese Filteraktion ausgewählt haben, können Sie darüber hinaus folgende Konfigurationen durchführen:

• Sicherheitsmethoden und ihre Reihenfolge. Die Liste der Methoden definiert, in welcher Reihenfolge versucht wird, die Methoden auszuführen. Die erste erfolgreiche Methode wird verwendet, die verbliebenen Methoden bleiben unversucht. Üblicherweise sollte die Liste in der Reihenfolge von der höchsten Sicherheit zur niedrigsten Sicherheit geordnet sein, damit die sicherste Methode verwendet wird.
  
  
• Zulassen von anfänglich eingehendem, ungesichertem Datenverkehr (Unsichere Kommunikat. annehmen, aber immer mit IPSec antworten). IPSec ermöglicht, dass ein eingehendes Paket, das der konfigurierten Filterliste entspricht, ungesichert (nicht durch IPSec geschützt) ist. Die ausgehende Antwort auf das eingehende Paket muss jedoch geschützt sein. Diese Einstellung empfiehlt sich beim Verwenden der Standardantwortregel für Clients. Angenommen, eine Gruppe von Servern ist mit einer Regel konfiguriert, in der festgelegt ist, dass die Kommunikation mit jeder IP-Adresse gesichert wird, ungesicherte Kommunikation zwar angenommen, Antworten jedoch nur mit sicherer Kommunikation erfolgen. Dann stellt die Aktivierung der Standardantwortregel für Clientcomputer sicher, dass die Clients auf vom Server angeforderte Sicherheitsaushandlungen reagieren. Diese Option sollte für sichere Computer, die mit dem Internet verbunden sind, deaktiviert werden, um Denial-of-Service-Angriffe zu verhindern.
  
  
• Aktivieren der Kommunikation mit nicht IPSec-kompatiblen Computern (Unsichere Kommunikation zulassen, wenn keine sichere Verbindung hergestellt werden kann). Bei Bedarf wechselt IPSec zurück zu ungesicherter Kommunikation. Auch in diesem Fall sollte der Geltungsbereich der IP-Filterliste auf ein Minimum reduziert werden. Ansonsten kann ein Fehler bei einer Sicherheitsaushandlung zur Folge haben, dass die Regel, in der diese Filteraktion aktiv ist, den betroffenen Datenverkehr auch ungesichert ausführt. Wenn Sie ungesicherte Kommunikation vermeiden möchten, sollten Sie das Deaktivieren dieser Einstellungen in Betracht ziehen. Auf diese Weise kann jedoch die Kommunikation mit Computern gesperrt werden, die IPSec beispielsweise aufgrund veralteter Betriebssysteme nicht initiieren können. Diese Option sollte für sichere Computer, die mit dem Internet verbunden sind, deaktiviert werden, um Denial-of-Service-Angriffe zu verhindern.
  
  
• Generieren von Schnellmodus-Sitzungsschlüsseln aus neuem Hauptmodus-Schlüsselerstellungsmaterial (Sitzungsschlüssel mit Perfect Forward Secrecy (PFS) verwenden). Durch Aktivieren von Sitzungsschlüssel-PFS wird sichergestellt, dass das Hauptmodus-Schlüsselerstellungsmaterial nicht verwendet werden kann, um mehr als einen Schnellmodus-Sitzungsschlüssel abzuleiten. Wenn Schnellmodus-PFS aktiviert ist, wird ein neuer Diffie-Hellman-Schlüsselaustausch ausgeführt, um neues Hauptmodus-Schlüsselerstellungsmaterial zu generieren, bevor der neue Schnellmodusschlüssel erstellt wird. Für Sitzungsschlüssel-PFS (Schnellmodus) ist keine erneute Hauptmodusauthentifizierung notwendig. Zudem sind weniger Ressourcen als beim Hauptschlüssel-PFS (Hauptmodus) erforderlich.
  
  

Durch die einzelnen Sicherheitsmethoden werden die Sicherheitsanforderungen der jeweiligen Kommunikationstypen definiert, auf die die entsprechenden Regeln angewendet werden. Durch das Erstellen mehrerer Sicherheitsmethoden wird die Chance erhöht, dass zwei Computer über eine gemeinsame Sicherheitsmethode verfügen. Die IKE-Komponente (Internet Key Exchange, Internetschlüsselaustausch) liest die Liste der Sicherheitsmethoden in absteigender Reihenfolge und sendet eine Liste zugelassener Sicherheitsmethoden an den anderen Peer. Die erste gemeinsame Methode wird ausgewählt. In der Regel sind die sichersten Methoden am Listenanfang und die Methoden mit der geringsten Sicherheit am Listenende aufgeführt.