Ενέργειες φίλτρου

Η ασφάλεια ΙΡ προωθεί την κυκλοφορία προς και από το πρόγραμμα οδήγησης TCP/IP χωρίς τροποποίηση ή απαίτηση ασφαλείας. Αυτό ενδείκνυται για δεδομένα που προέρχονται από υπολογιστές, οι οποίοι δεν διαθέτουν IPsec. Κατά τη χρήση αυτού του τύπου ενεργειών φίλτρου, βεβαιωθείτε ότι έχετε ελαττώσει το εύρος της λίστας φίλτρων IP στο ελάχιστο, ώστε να μην επιτρέπεται η παραλαβή δεδομένων που πρέπει να προστατεύονται.

Μπορείτε να επιτρέψετε την κυκλοφορία ICMP για σκοπούς αντιμετώπισης προβλημάτων. Επίσης, ίσως χρειαστεί να επιτρέψετε σε έναν υπολογιστή που δεν βρίσκεται στον τομέα σας (π.χ. τον υπολογιστή ενός συμβούλου) την πρόσβαση σε κάποιον άλλον υπολογιστή του τομέα. Για να επιτρέψετε την πρόσβαση, μπορείτε να χρησιμοποιήσετε την ενέργεια φίλτρου Παραχώρηση αδείας.

	Σημαντικό
	Η ενέργεια φίλτρου Παραχώρηση αδείας επιτρέπει την πρόσβαση χωρίς έλεγχο ταυτότητας, ακεραιότητα δεδομένων ή κρυπτογράφηση. Πρόσβαση διαθέτει οποιοσδήποτε χρησιμοποιεί έναν υπολογιστή με διεύθυνση ΙΡ που καθορίζεται στη λίστα φίλτρων. Όλη η κυκλοφορία μεταξύ των υπολογιστών γίνεται σε απλό κείμενο. Δεν εκτελούνται έλεγχοι ακεραιότητας.

Η ασφάλεια ΙΡ απορρίπτει σιωπηλά την αποκλεισμένη κυκλοφορία. Κατά τη χρήση της ενέργειας αποκλεισμού, βεβαιωθείτε ότι η λίστα φίλτρων ΙΡ που χρησιμοποιείτε καθορίζει τη σωστή εμβέλεια των διευθύνσεων ΙΡ. Η χρήση μεγαλύτερης εμβέλειας αυξάνει την πιθανότητα αποκλεισμού της κυκλοφορίας δεδομένων μεταξύ έγκυρων υπολογιστών.

Εάν ενεργοποιήσετε την επιλογή Αποδοχή της μη ασφαλούς επικοινωνίας, αλλά πάντα απόκριση με ασφάλεια IP, η ασφάλεια IP προσπαθεί να διαπραγματευτεί συσχετίσεις ασφαλείας (SA) και την αποστολή και λήψη κυκλοφορίας που διαθέτει προστασία IPsec. Ωστόσο, εάν ο ομότιμος υπολογιστής δεν μπορεί να χρησιμοποιήσει την ασφάλεια IP, επιτρέπεται η επικοινωνία χωρίς προστασία ασφαλείας ΙΡ. Αφού επιλέξετε αυτή την ενέργεια φίλτρου, μπορείτε να ρυθμίσετε τα ακόλουθα:

• Μέθοδοι ασφαλείας και η σειρά τους. Η λίστα των μεθόδων προσδιορίζει τη σειρά με την οποία θα εφαρμοστούν οι μέθοδοι. Θα χρησιμοποιηθεί η πρώτη επιτυχημένη μέθοδος, ενώ οι υπόλοιπες μέθοδοι δεν θα εφαρμοστούν. Συνήθως, η λίστα θα πρέπει να ξεκινά με τις μεθόδους υψηλότερης ασφάλειας και να καταλήγει στις μεθόδους χαμηλότερης ασφάλειας, ώστε να χρησιμοποιείται η ασφαλέστερη μέθοδος.
  
  
• Αποδοχή αρχικής εισερχόμενης μη ασφαλούς κυκλοφορίας (Αποδοχή της μη ασφαλούς επικοινωνίας, αλλά πάντα απόκριση με ασφάλεια IP). Η ασφάλεια ΙΡ επιτρέπει σε ένα εισερχόμενο μη ασφαλές πακέτο που ταιριάζει με τη επιλεγμένη λίστα φίλτρων να περάσει (δηλαδή δεν προστατεύεται από την ασφάλεια IP). Ωστόσο, η εξερχόμενη απόκριση στο εισερχόμενο πακέτο πρέπει να προστατεύεται. Αυτή η ρύθμιση είναι χρήσιμη, όταν χρησιμοποιείτε τον προεπιλεγμένο κανόνα απόκριση για τους πελάτες. Όταν μια ομάδα διακομιστών λειτουργεί με βάση κάποιον κανόνα προστασίας της επικοινωνίας με οποιαδήποτε διεύθυνση ΙΡ, ενώ ταυτόχρονα αποδέχεται μη ασφαλή επικοινωνία και αποκρίνεται μόνον σε ασφαλείς επικοινωνίες, τότε η ενεργοποίηση της προεπιλεγμένης απόκρισης στους υπολογιστές των πελατών εξασφαλίζει την απόκριση των πελατών στην αίτηση του διακομιστή για έναρξη διαπραγματεύσεων ασφαλείας. Για να προλάβετε επιθέσεις άρνησης υπηρεσιών, αυτή η επιλογή θα πρέπει να είναι απενεργοποιημένη για τους συνδεδεμένους με το Internet ασφαλείς υπολογιστές.
  
  
• Ενεργοποίηση επικοινωνίας με υπολογιστές χωρίς ενεργοποιημένη ασφάλεια ΙΡ (Να επιτρέπεται η μη ασφαλής επικοινωνία εάν δεν είναι δυνατή η ασφαλής σύνδεση). Εάν είναι απαραίτητο, η ασφάλεια ΙΡ αποδέχεται μη ασφαλείς επικοινωνίες. Κι εδώ θα πρέπει να περιορίσετε το εύρος της λίστας φίλτρων στο ελάχιστο. Διαφορετικά, σε περίπτωση αποτυχίας των διαπραγματεύσεων για οποιονδήποτε λόγο, οι επικοινωνίες που επηρεάζονται από τον κανόνα, ο οποίος περιλαμβάνει την ενέργεια φίλτρου, μπορεί να έχουν ως αποτέλεσμα την αποστολή δεδομένων χωρίς ασφάλεια. Εάν ανησυχείτε για μια μη ασφαλή επικοινωνία, καλό θα ήταν να απενεργοποιήσετε αυτές τις ρυθμίσεις. Ωστόσο, η επικοινωνία με υπολογιστές που δεν μπορούν να προετοιμάσουν την ασφάλεια ΙΡ, για παράδειγμα τα συστήματα παλαιού τύπου, μπορεί να αποκλειστεί. Για να προλάβετε επιθέσεις άρνησης υπηρεσιών, αυτή η επιλογή θα πρέπει να είναι απενεργοποιημένη για τους συνδεδεμένους με το Internet ασφαλείς υπολογιστές.
  
  
• Δημιουργία κλειδιών γρήγορης περιόδου λειτουργίας από νέο υλικό δημιουργίας κλειδιών κύριας λειτουργίας (Κλειδί περιόδου λειτουργίας με άριστη και άμεση εμπιστευτικότητα (PFS)). Η ενεργοποίηση ενός κλειδιού περιόδου λειτουργίας με PFS εξασφαλίζει ότι το υλικό κύριων κλειδιών στην κύρια κατάσταση λειτουργίας δεν θα μπορεί να χρησιμοποιηθεί για τη δημιουργία περισσότερων του ενός κλειδιών γρήγορης περιόδου λειτουργίας. Όταν η επιλογή κλειδιού γρήγορης περιόδου λειτουργίας με PFS είναι ενεργοποιημένη, εκτελείται μια νέα ανταλλαγή κλειδιών Diffie-Hellman ώστε να δημιουργηθεί νέο υλικό κύριων κλειδιών κύριας κατάστασης λειτουργίας πριν δημιουργηθεί το νέο κλειδί γρήγορης περιόδου λειτουργίας. Το κλειδί περιόδου λειτουργίας (γρήγορη κατάσταση λειτουργίας) με PFS δεν απαιτεί εκ νέου έλεγχο ταυτότητας κύριας κατάστασης λειτουργίας και χρησιμοποιεί λιγότερους πόρους απ' ό,τι το κύριο κλειδί (κύρια κατάσταση λειτουργίας) με PFS.
  
  

Κάθε μέθοδος ασφαλείας προσδιορίζει τις απαιτήσεις ασφαλείας για οποιαδήποτε επικοινωνία, στην οποία εφαρμόζεται ο συσχετισμένος κανόνας. Η δημιουργία πολλαπλών μεθόδων ασφαλείας αυξάνει τις πιθανότητες εύρεσης μιας κοινής μεθόδου μεταξύ των δύο υπολογιστών. Το στοιχείο Ανταλλαγή κλειδιών Internet (ΙΚΕ) διαβάζει τη λίστα μεθόδων ασφαλείας με σειρά προτεραιότητας και αποστέλλει μια λίστα επιτρεπόμενων μεθόδων ασφαλείας στον ομότιμο υπολογιστή. Επιλέγεται η πρώτη κοινή μέθοδος. Συνήθως, στην αρχή της λίστας εμφανίζονται οι ασφαλέστερες μέθοδοι. Οι λιγότερο ασφαλείς μέθοδοι εμφανίζονται στο τέλος της λίστας.