Operazioni filtro

IPSec passa il traffico inviato o ricevuto dal driver TCP/IP senza modifiche o senza requisiti di sicurezza. Questo tipo di funzionamento è appropriato per il traffico proveniente da computer che non supportano IPSec. Quando si utilizza questo tipo di operazione filtro è importante limitare al massimo l'ambito dell'elenco di filtri IP, in modo da evitare il passaggio di traffico che dovrebbe essere protetto.

Prendere in considerazione la possibilità di autorizzare il traffico ICMP per la risoluzione dei problemi. Potrebbe inoltre essere necessario consentire a un computer non incluso nel dominio, ad esempio il computer di un consulente, l'accesso a un altro computer del dominio. Per consentire tale accesso è possibile utilizzare l'operazione filtro di autorizzazione.

	Importante
	L'operazione filtro di autorizzazione consente l'accesso senza autenticazione, integrità dei dati o crittografia. Chiunque utilizzi un computer con l'indirizzo IP specificato nell'elenco di filtri è autorizzato all'accesso. Tutto il traffico tra i computer si svolge senza protezione e non viene eseguita alcuna verifica di integrità.

IPSec elimina il traffico in modo invisibile all'utente. Quando si utilizza un'operazione filtro di blocco, assicurarsi di utilizzare un elenco di filtri IP che definisca l'ambito di indirizzi IP corretto. L'utilizzo di ambiti più ampi può comportare il blocco del traffico tra computer validi.

Se si attiva l'opzione Accetta comunicazioni non sicure, ma rispondi sempre usando IPSec, IPSec tenterà di negoziare le associazioni di sicurezza (SA, Security Association) e l'invio o la ricezione di traffico protetto tramite IPSec. Se tuttavia il computer peer non può utilizzare IPSec, verranno consentite le comunicazioni senza protezione IPSec. Se si è scelta questa operazione filtro, sarà inoltre possibile eseguire le configurazioni seguenti:

• Metodi di sicurezza e relativo ordinamento. L'elenco di metodi definisce l'ordine in cui i metodi verranno tentati. Verrà utilizzato il primo metodo che ha esito positivo e i metodi restanti non verranno tentati. I metodi vengono in genere ordinati dal più sicuro al meno sicuro, in modo che venga utilizzato il più sicuro.
  
  
• Autorizzazione del traffico non protetto in ingresso iniziale (Accetta comunicazioni non protette, ma rispondi sempre usando IPSec). IPSec consente l'ingresso di pacchetti non protetti da IPSec quando questi siano corrispondenti all'elenco di filtri configurato. La risposta in uscita al pacchetto in ingresso deve tuttavia essere protetta. Questa impostazione risulta utile se si utilizza per i client la regola di risposta predefinita. Se un gruppo di server è configurato con una regola che assicura la sicurezza delle comunicazioni con qualsiasi indirizzo IP e accetta la comunicazione non protetta rispondendo solo con comunicazioni protette, l'attivazione della regola di risposta predefinita sui client garantisce che i client risponderanno alle richieste del server per la negoziazione della sicurezza. È consigliabile disattivare questa opzione per i computer sicuri connessi a Internet, allo scopo di evitare attacchi Denial of Service.
  
  
• Attivazione della comunicazione con computer non abilitati per IPSec (Consenti comunicazioni non sicure se non è possibile stabilire una connessione sicura). IPSec consente la comunicazione non protetta, se necessario. Anche in questo caso è opportuno limitare l'elenco di filtri IP a un ambito minimo. In caso contrario, infatti, nelle comunicazioni su cui ha effetto la regola in cui risiede questa operazione filtro potrebbe verificarsi l'invio di dati senza sicurezza se la negoziazione avesse esito negativo per qualsiasi motivo. Se si desidera evitare la comunicazione non protetta, è possibile disattivare queste impostazioni. In questo caso, tuttavia, è possibile che venga bloccata la comunicazione con i computer che non possono avviare IPSec, ad esempio i sistemi legacy. È consigliabile disattivare questa opzione per i computer sicuri connessi a Internet, allo scopo di evitare attacchi Denial of Service.
  
  
• Generazione di chiavi di sessione in modalità rapida da nuovo materiale per le chiavi in modalità principale (chiave di sessione PFS). L'attivazione della chiave di sessione PFS (Perfect Forward Secrecy) garantisce che il materiale per le chiavi master in modalità principale non possa essere utilizzato per generare più di una chiave di sessione in modalità rapida. Se è attivato PFS in modalità rapida, prima di creare la nuova chiave in modalità rapida viene eseguito un altro scambio di chiavi Diffie-Hellman per generare nuovo materiale per le chiavi master in modalità principale. La chiave di sessione PFS in modalità rapida non richiede la riautenticazione in modalità principale e comporta un utilizzo di risorse inferiore rispetto alla chiave master PFS in modalità principale.
  
  

Ogni metodo di sicurezza definisce i requisiti di sicurezza di tutte le comunicazioni a cui viene applicata la regola associata. La creazione di più metodi di sicurezza aumenta la possibilità di trovare un metodo comune tra due computer. Il componente IKE (Internet Key Exchange) legge l'elenco dei metodi di sicurezza in ordine decrescente e invia un elenco dei metodi di sicurezza consentiti all'altro peer. Verrà selezionato il primo metodo comune. I metodi più sicuri vengono in genere posizionati all'inizio dell'elenco e i metodi meno sicuri nella parte inferiore.