필터 동작

IPsec은 보안을 수정하거나 요구하지 않고 이 트래픽을 TCP/IP 드라이버와 주고 받습니다. IPSec을 사용할 수 없는 컴퓨터의 트래픽에 적합합니다. 이 필터 동작을 사용할 경우 반드시 IP 필터 목록을 최소 범위로 제한하여 트래픽이 보안되지 않도록 합니다.

문제 해결을 위해 ICMP 트래픽을 허용하십시오. 또한 컨설턴트의 컴퓨터처럼 해당 도메인에 있지 않은 컴퓨터에서 해당 도메인의 다른 컴퓨터에 액세스할 수 있도록 허용해야 할 수도 있습니다. 허용 필터 동작을 사용하여 이 액세스를 허용할 수 있습니다.

	중요
	허용 필터 동작은 인증, 데이터 무결성 또는 암호화 없이 액세스를 허용합니다. 필터 목록에 지정된 IP 주소를 가진 컴퓨터를 사용하는 사람에게 액세스 권한이 부여됩니다. 컴퓨터 간의 모든 트래픽은 일반 텍스트로 진행되며 무결성 검사가 수행되지 않습니다.

IPsec은 차단된 트래픽을 자동으로 버립니다. 차단 필터 동작을 사용할 때는 IP 주소의 올바른 범위를 정의하는 IP 필터 목록을 사용해야 합니다. 큰 범위를 사용하면 올바른 컴퓨터 간의 트래픽을 차단할 수 있는 가능성이 높아집니다.

보안되지 않은 통신을 받아들이지만 항상 IPSec을 사용하여 응답 옵션을 사용하면 IPSec에서 SA(보안 연결)와 IPSec으로 금지된 트래픽의 송신이나 수신을 협상하려고 합니다. 그러나 피어에서 IPsec을 사용할 수 없는 경우에는 IPsec 보호 없이 통신이 허용됩니다. 이 필터 동작을 선택하면 다음 사항도 구성할 수 있습니다.

• 보안 방법 및 순서 - 이 방법 목록은 방법을 사용하는 순서를 정의합니다. 성공적인 첫 번째 방법이 사용되고 나머지 방법은 시도되지 않습니다. 일반적으로 가장 안전한 방법이 사용되도록 가장 높은 보안부터 가장 낮은 보안의 순서로 목록이 정렬되어야 합니다.
  
  
• 처음 들어오는 보안되지 않은 트래픽 허용(보안되지 않은 통신을 받아들이지만 항상 IPSec을 사용하여 응답) - IPSec을 사용하여 구성된 필터 목록과 일치하는 들어오는 패킷이 보안되지 않도록(IPSec으로 보호되지 않도록) 할 수 있습니다. 그러나 들어오는 패킷에 대해 보내는 응답은 보호되어야 합니다. 이런 설정은 클라이언트에 기본 응답 규칙을 사용하고 있을 경우 유용합니다. 서버 그룹이 모든 IP 주소와의 통신을 보안하고 보안되지 않은 통신을 받아들이는 규칙으로 구성되어 있어 보안 통신만으로 응답할 경우 클라이언트 컴퓨터에서 기본 응답 규칙을 사용하면 클라이언트가 보안을 협상하는 서버 요청에 응답합니다. DoS(Denial-of-Service) 공격을 막으려면 인터넷에 연결된 보안 컴퓨터에서 이 옵션을 사용할 수 없도록 설정해야 합니다.
  
  
• IPsec을 사용할 수 없는 컴퓨터와 통신 사용(보안 연결을 만들 수 없는 경우 보안되지 않은 통신 허용) - IPsec은 필요할 경우 보안되지 않은 통신을 낮은 수준으로 보안 연결합니다. 다시 한 번 IP 필터 목록을 최소 범위로 제한해야 합니다. 그렇지 않으면 어떤 이유로 협상에 실패할 경우 이 필터 동작이 있는 규칙의 영향을 받는 통신에서 데이터를 보안하지 않은 상태로 전송하게 될 수도 있습니다. 보안되지 않은 통신이 걱정되면 이 설정을 사용하지 않는 것을 고려할 수 있습니다. 그러나 레거시 시스템과 같이 IPsec을 시작할 수 없는 컴퓨터와의 통신이 차단될 수 있습니다. DoS(Denial-of-Service) 공격을 막으려면 인터넷에 연결된 보안 컴퓨터에서 이 옵션을 사용할 수 없도록 설정해야 합니다.
  
  
• 새 주 모드 키 자료에서 빠른 모드 세션 키 생성(세션 키 전달 완전 보안(PFS)) - 세션 키 PFS를 사용하면 주 모드 마스터 키 키 자료를 사용하여 두 개 이상의 빠른 모드 세션 키를 생성할 수 없습니다. 빠른 모드 세션 키 PFS를 사용하면 새 Diffie-Hellman 키 교환을 수행하여 새 빠른 모드 세션 키를 생성하기 전에 새 주 모드 마스터 키 키 자료를 생성합니다. 세션 키(빠른 모드) PFS에서는 주 모드 재인증이 필요하지 않으며 마스터 키(주 모드) PFS보다 리소스도 적게 사용합니다.
  
  

각 보안 방법은 연결된 규칙이 적용되는 통신의 보안 요구 사항을 정의합니다. 여러 보안 방법을 만들면 두 컴퓨터 사이에 공통적으로 적용되는 방법을 찾을 수 있는 가능성이 높아집니다. IKE(Internet Key Exchange) 구성 요소는 보안 방법 목록을 내림차순으로 읽어 허용되는 보안 방법 목록을 다른 피어 컴퓨터에 보냅니다. 일반적으로 적용되는 첫 번째 방법이 선택됩니다. 일반적으로 가장 높은 수준의 보안 방법은 목록의 맨 위에 표시되고 가장 낮은 수준의 보안 방법은 목록의 맨 아래에 표시됩니다.