Actions de filtrage

IPsec transmet le trafic à destination et en provenance du pilote TCP/IP sans modification ni exigence de sécurité. Cette option convient au trafic provenant de certains ordinateurs qui ne prennent pas en charge IPsec. Veillez à limiter la liste de filtres IP à une étendue minimale lorsque vous utilisez ce type d’action de filtrage, de façon à ne pas autoriser le trafic qui doit être sécurisé.

Envisagez d’autoriser le trafic ICMP pour la résolution de problèmes. Il peut s’avérer nécessaire d’autoriser l’accès d’un ordinateur qui ne fait pas partie de votre domaine (par exemple, l’ordinateur d’un consultant) à un ordinateur du domaine. Pour autoriser cet accès, vous pouvez utiliser l’action de filtrage Autoriser.

	Important
	Cette action de filtrage autorise l’accès sans authentification, ni intégrité ou chiffrement de données. Quiconque utilise un ordinateur avec l’adresse IP spécifiée dans la liste des filtres se voit accorder l’accès. Tout le trafic entre les ordinateurs s’effectue en texte clair ; aucune vérification d’intégrité n’est effectuée.

IPsec rejette automatiquement le trafic bloqué. Lorsque vous utilisez une action de filtrage de blocage, veillez à faire appel à la liste de filtres IP qui définit l’étendue d’adresses IP appropriée. L’utilisation d’étendues plus vastes augmente les possibilités de blocage du trafic entre des ordinateurs valides.

Si vous activez l’option Accepter les communications non sécurisées mais toujours répondre en utilisant IPsec, le service IPsec tente de négocier des associations de sécurité ainsi que l’envoi et la réception du trafic IPsec qu’il protège. Toutefois, si l’homologue ne peut pas utiliser IPsec, la communication est autorisée sans protection IPsec. Si vous sélectionnez cette action de filtrage, vous pouvez également configurer les éléments suivants :

• Les méthodes de sécurité et leur ordre. Cette liste de méthodes définit l’ordre dans lequel les méthodes seront tentées. Dès qu’une méthode aboutit, aucune tentative n’est effectuée avec les autres méthodes. Généralement, l’ordre de la liste doit être défini de la sécurité la plus élevée à la plus faible, de façon à utiliser les méthodes les plus sécurisées en premier.
  
  
• Acceptation du trafic entrant initial non sécurisé (Accepter les communications non sécurisées mais toujours répondre en utilisant IPsec). IPsec permet qu’un paquet entrant correspondant à la liste de filtres configurée ne soit pas sécurisé (non protégé par IPsec). Cependant, la réponse sortante au paquet entrant doit, quant à elle, être protégée. Cette option est utile si vous utilisez la règle de réponse par défaut pour des clients. Si un groupe de serveurs est configuré pour utiliser une règle qui sécurise les communications avec n’importe quelle adresse IP et qui accepte des communications non sécurisées en ne répondant toutefois que par des communications sécurisées, l’activation de la règle de réponse par défaut sur des ordinateurs clients garantit que ces derniers répondront à la demande de négociation de la sécurité émise par le serveur. Pour éviter les attaques de déni de service, cette option doit être désactivée pour les ordinateurs sécurisés connectés à Internet.
  
  
• Autorisation de la communication avec des ordinateurs sur lesquels IPsec n’est pas activé (Permettre une communication non sécurisée si une connexion non sécurisée ne peut pas être établie) Si nécessaire, IPsec repasse en mode de communication non sécurisé. Il est probable, à nouveau, que vous deviez limiter la liste de filtres IP à une étendue minimale. Sinon, en cas d’échec de la négociation pour quelque raison que ce soit, il se peut des données soient envoyées sans être sécurisées et ce, pour toutes les communications auxquelles s’applique la règle contenant cette action de filtrage. Envisagez de désactiver cette option si la communication non sécurisée constitue un problème à vos yeux. Sachez toutefois que cela risquer de bloquer la communication avec des ordinateurs qui ne peuvent pas lancer IPsec, comme des systèmes d’ancienne génération. Pour éviter les attaques de déni de service, cette option doit être désactivée pour les ordinateurs sécurisés connectés à Internet.
  
  
• Génération de clés de session du mode rapide à partir d’un nouveau support de gestion des clés du mode principal (PFS (Perfect Forward Secrecy) de clé de session) L’activation du mode PFS de la clé de session garantit que le support de gestion des clés principales du mode principal ne peut pas être employé pour générer plus d’une clé de session du mode rapide. Ainsi, lorsque l’option PFS du mode rapide est activée, un nouvel échange de clé Diffie-Hellman est réalisé afin de produire un nouveau support de gestion des clés principales du mode principal avant que la nouvelle clé du mode rapide ne soit générée. Le mode PFS de la clé de session (mode rapide) ne nécessite pas la réauthentification du mode principal et consomme moins de ressources que le mode PFS de la clé principale (mode principal).
  
  

Chaque méthode de sécurité définit les exigences en matière de sécurité de toute communication à laquelle s’applique la règle associée. En créant plusieurs méthodes d’authentification, vous augmentez les chances de trouver une méthode commune à deux ordinateurs. Le composant IKE (Internet Key Exchange) lit la liste des méthodes de sécurité par ordre décroissant et envoie la liste des méthodes de sécurité autorisées à l’autre homologue. La première méthode commune aux deux ordinateurs est choisie. En règle générale, les méthodes les plus sécurisées figurent au début de la liste et les moins sécurisées en fin de liste.