Filteracties

Het verkeer wordt door IPSec van en naar het TCP/IP-stuurprogramma gestuurd zonder dat het wordt aangepast of beveiligd. Dit is van belang voor verkeer afkomstig van computers waarop geen IPSec kan worden uitgevoerd. Beperk het bereik van de IP-filterlijst bij dit type filteractie tot een minimum, zodat u geen verkeer toestaat dat wel moet worden beveiligd.

U kunt overwegen ICMP-verkeer toe te staan voor het oplossen van problemen. Mogelijk moet u ook een computer die zich niet in uw domein bevindt (bijvoorbeeld de computer van een consulent), toegang verlenen tot een andere computer in uw domein. U kunt de filteractie Toestaan gebruiken om deze toegang te verlenen.

	Belangrijk
	Met de filteractie Toestaan kunt u toegang verlenen zonder verificatie, gegevensintegriteit of -versleuteling. Aan iedereen die een computer gebruikt met het IP-adres dat in het filter is opgegeven, wordt toegang verleend. Alle verkeer tussen de computers vindt plaats in niet-versleutelde tekst. Er worden geen integriteitscontroles uitgevoerd.

Geblokkeerd verkeer wordt zonder melding door IPSec verwijderd. Zorg ervoor dat uw IP-filterlijst het juiste bereik van IP-adressen definieert wanneer u een blokkerende filteractie gebruikt. Als u werkt met een groter bereik, neemt het risico toe dat u verkeer tussen geldige computers blokkeert.

Als u de optie Niet-beveiligde communicatie accepteren, maar altijd reageren met IPSec inschakelt, probeert IPSec te onderhandelen over beveiligingskoppelingen (SA's, Security Associations) en over het verzenden of ontvangen van verkeer dat door IPSec wordt beschermd. Als de peer echter geen IPSec kan gebruiken, wordt de communicatie toegestaan zonder IPSec-beveiliging. Als u deze filteractie hebt gekozen, kunt u ook het volgende configureren:

• Beveiligingsmethoden en hun volgorde. Deze lijst met methoden bepaalt in welke volgorde de methoden worden geprobeerd. De eerste methode die werkt, wordt gebruikt en de resterende methoden worden verder niet meer geprobeerd. Doorgaans wordt deze lijst geordend van de hoogste tot de laagste beveiliging, zodat altijd de veiligste methode wordt gebruikt.
  
  
• Binnenkomend niet-beveiligd verkeer toestaan (Niet-beveiligde communicatie accepteren, maar altijd reageren met IPSec). Binnenkomende niet-beveiligde pakketten (namelijk niet beveiligd door IPSec) die overeenkomen met de geconfigureerde filterlijst, zijn toegestaan. Het uitgaande antwoord op een binnenkomend pakket moet echter wel zijn beveiligd. Deze instelling is handig wanneer u gebruikmaakt van de standaardantwoordregel voor clients. Wanneer een groep servers is geconfigureerd met een regel waarbij communicatie met een willekeurig IP-adres wordt beveiligd en niet-beveiligde communicatie wordt geaccepteerd, zorgt het inschakelen van de standaardantwoordregel op clientcomputers ervoor dat de clients reageren op het verzoek van de server om te onderhandelen over beveiliging. Ter voorkoming van denial-of-service-aanvallen moet deze optie zijn uitgeschakeld voor beveiligde computers die verbonden zijn met internet.
  
  
• Communicatie met computers zonder IPSec inschakelen (Onbeveiligde communicatie toestaan als geen beveiligde verbinding kan worden gemaakt). Niet-beveiligde communicatie wordt, indien nodig, toegestaan. Ook hier is het verstandig het bereik van de IP-filterlijst tot een minimum te beperken. Anders kan het zijn dat er bij communicatie waarop de regel met deze filteractie van toepassing is, gegevens zonder beveiliging worden verstuurd wanneer de beveiligingsonderhandelingen om welke reden dan ook mislukken. Als u zich zorgen maakt over niet-beveiligde communicatie, kunt u deze instellingen misschien beter uitschakelen. Bedenk wel dat de communicatie met computers waarop geen IPSec kan worden gebruikt, zoals oudere systemen, eveneens wordt geblokkeerd. Ter voorkoming van denial-of-service-aanvallen moet deze optie zijn uitgeschakeld voor beveiligde computers die verbonden zijn met internet.
  
  
• Sessiesleutels in de snelle modus genereren uit nieuw sleutelmateriaal in de hoofdmodus (Sessiesleutel voor PFS (Perfect Forward Secrecy) gebruiken). Als u deze optie inschakelt, kan het sleutelmateriaal voor hoofdsleutels in de hoofdmodus slechts voor het genereren van één sessiesleutel in de snelle modus worden gebruikt. Als PFS in de snelle modus is ingeschakeld, wordt er een nieuwe Diffie-Hellman-sleuteluitwisseling uitgevoerd om nieuw sleutelmateriaal voor hoofdsleutels in de hoofdmodus te genereren voordat de nieuwe sessiesleutel in de snelle modus wordt gemaakt. Voor PFS voor sessiesleutels (in de snelle modus) is geen nieuwe verificatie door de hoofdmodus vereist. Hierbij worden minder bronnen gebruikt dan voor PFS voor hoofdsleutels (in de hoofdmodus).
  
  

Met beveiligingsmethoden kunt u de beveiligingsvereisten bepalen voor elke communicatie waarop de bijbehorende regel betrekking heeft. Door meerdere beveiligingsmethoden te maken is de kans groter dat een gemeenschappelijke beveiligingsmethode tussen twee computers kan worden gevonden. De lijst met beveiligingsmethoden wordt in aflopende volgorde door het IKE-onderdeel (Internet Key Exchange) gelezen en er wordt een lijst met toegestane beveiligingsmethoden naar de andere peer gestuurd. De eerste gemeenschappelijke methode is geselecteerd. De veiligste methoden staan over het algemeen boven aan de lijst en de minst veilige onder aan de lijst.