Acciones de filtrado

IPsec traslada este tráfico hacia el controlador TCP/IP y desde el mismo sin modificarlo y sin aplicarle requisitos de seguridad. Esta opción resulta adecuada para el tráfico procedente de equipos no compatibles con IPsec. Asegúrese de limitar la lista de filtros IP a un volumen mínimo cuando utilice este tipo de acción de filtrado, para no permitir que pase tráfico que debería estar protegido.

Contemple la posibilidad de permitir el tráfico ICMP para solucionar problemas. Es posible que también tenga que permitir que un equipo que no pertenezca al dominio (por ejemplo, el equipo de un consultor) obtenga acceso a otro equipo del dominio. Puede utilizar la acción de filtrado permitir para permitir este acceso.

	Importante
	La acción de filtrado permitir permite el acceso sin autenticación, integridad de datos o cifrado. Se concede acceso a cualquier persona que utilice un equipo con la dirección IP especificada en la lista de filtros. Todo el tráfico entre los equipos se realiza con texto simple; no se llevan a cabo comprobaciones de integridad.

IPsec descarta el tráfico bloqueado sin notificación. Cuando utilice una acción de filtrado de bloqueo, asegúrese de utilizar una lista de filtros IP que defina el ámbito de direcciones IP correcto. El uso de ámbitos mayores aumenta la posibilidad de bloquear el tráfico entre equipos válidos.

Si habilita la opción Aceptar comunicación no segura, pero responder siempre con IPSec, IPsec intentará negociar asociaciones de seguridad (SA) y el envío o la recepción de tráfico protegido con IPsec. Sin embargo, si el equipo del mismo nivel no puede usar IPsec, se permitirá la comunicación sin protección IPsec. Si selecciona esta acción de filtrado, también puede configurar lo siguiente:

• Métodos de seguridad y su orden. Esta lista de métodos define el orden en que se debe intentar ejecutar los métodos. Se usará el primer método que se ejecute correctamente y no se intentará ejecutar el resto de los métodos. Normalmente, la lista debe estar ordenada de mayor a menor seguridad, de modo que se use el método más seguro.
  
  
• Aceptar tráfico inicial entrante no seguro (Aceptar comunicación no segura, pero responder siempre con IPSec). IPsec permite que un paquete entrante que coincida con la lista de filtros configurada no sea seguro (es decir, que no esté protegido por IPsec). Sin embargo, la respuesta saliente al paquete entrante sí debe protegerse. Esta opción es útil cuando se utiliza la regla de respuesta predeterminada de los clientes. Cuando un grupo de servidores se configura con una regla que protege la comunicación con cualquier dirección IP y acepta la comunicación no segura, pero respondiendo únicamente con comunicación segura, al habilitar la regla de respuesta predeterminada en los equipos cliente se asegura que van a responder a la petición del servidor para negociar la seguridad. Esta opción debe estar deshabilitada en los equipos seguros conectados a Internet para evitar los ataques por denegación de servicio.
  
  
• Habilitar la comunicación con equipos no compatibles con IPsec (Permitir comunicación no segura si no se puede establecer una conexión segura). IPsec retrocede a una comunicación no segura, si es necesario. De nuevo, debe limitar la lista de filtros IP a un volumen mínimo. De lo contrario, si la negociación tiene errores por cualquier motivo, cualquier comunicación a la que se aplique la regla en la que reside esta acción de filtrado podría hacer que se enviara información sin protección. Si le preocupa la comunicación no segura, puede considerar la posibilidad de deshabilitar estas opciones. Sin embargo, la comunicación con los equipos que no pueden iniciar IPsec, como los sistemas antiguos, se puede bloquear. Esta opción debe estar deshabilitada en los equipos seguros conectados a Internet para evitar los ataques por denegación de servicio.
  
  
• Generar claves de sesión de modo rápido a partir de nuevo material de creación de claves de modo principal (Confidencialidad directa total (PFS) de clave de sesión). Habilitar la PFS de clave de sesión garantiza que el material de generación de la clave maestra de modo principal no se pueda usar para obtener más de una clave de sesión de modo rápido. Cuando se habilita la PFS de modo rápido, se realiza un nuevo intercambio de claves Diffie-Hellman para generar nuevo material de creación de clave maestra de modo principal antes de crear la nueva clave de modo rápido. La PFS de clave de sesión (modo rápido) no necesita una nueva autenticación de modo principal y usa menos recursos que la PFS de clave maestra (modo principal).
  
  

Cada método de seguridad define los requisitos de seguridad de cualquier comunicación a la que se aplica la regla asociada. Al crear varios métodos de seguridad aumentan las posibilidades de que se encuentre un método común entre los dos equipos. El componente Intercambio de claves por red (IKE) lee la lista de métodos de seguridad en orden descendente y envía una lista con los métodos de seguridad permitidos al otro equipo del mismo nivel. Se seleccionará el primer método que ambos tengan en común. Normalmente, los métodos más seguros aparecen al comienzo de la lista y los menos seguros al final.