Akcje filtrowania

Protokół IPsec przekazuje ten ruch do i ze sterownika TCP/IP bez modyfikacji i nie wymagając zabezpieczeń. Ta akcja jest odpowiednia dla ruchu z komputerów, które nie rozpoznają protokołu IPsec. Jeśli jest używany ten typ akcji filtrowania, należy pamiętać o ograniczeniu listy filtrów IP do możliwie najmniejszego zakresu, tak aby ruch wymagający zabezpieczenia nie był przekazywany.

Użytkownik może rozważyć zezwolenie na ruch ICMP na potrzeby rozwiązywania problemów. Może być również konieczne zezwolenie komputerowi nienależącemu do domeny (na przykład komputerowi konsultanta) na dostęp do innego komputera w domenie. Do umożliwienia takiego dostępu można użyć akcji filtrowania typu Zezwalaj.

	Ważne
	Akcja filtrowania typu Zezwalaj umożliwia dostęp bez uwierzytelniania, zapewniania integralności danych lub szyfrowania. Dostęp uzyskuje każda osoba korzystająca z komputera z adresem IP określonym na liście filtrów. Cały ruch między komputerami odbywa się w postaci zwykłego tekstu. Nie jest wykonywane sprawdzanie integralności.

Protokół IPsec odrzuca blokowany ruch w trybie cichym. Korzystając z akcji filtrowania blokującego, należy upewnić się, że są używane filtry IP określające właściwy zakres adresów IP. Stosowanie szerszego zakresu zwiększa ryzyko blokowania ruchu między prawidłowymi komputerami.

Jeśli została włączona opcja Akceptuj komunikację niezabezpieczoną, ale zawsze odpowiadaj używając protokołu IPsec, protokół IPsec próbuje negocjować skojarzenia zabezpieczeń (SA) oraz wysyłanie i odbieranie ruchu chronionego przez protokół IPsec. Jednak jeśli element równorzędny nie obsługuje protokołu IPsec, możliwa jest komunikacja bez ochrony IPsec. Po wybraniu tej akcji filtrowania można również skonfigurować następujące elementy:

• Metody zabezpieczeń i ich kolejność. Lista metod umożliwia określenie kolejności wypróbowywania metod. Zostanie użyta pierwsza metoda, której próba się powiedzie, a pozostałe metody nie są sprawdzane. Zwykle metoda zapewniająca najwyższy poziom zabezpieczeń znajduje się na początku listy, a metoda zapewniająca najniższy poziom zabezpieczeń - na końcu listy, tak aby stosowana była metoda najbezpieczniejsza.
  
  
• Zezwolenie na początkowy, przychodzący ruch niezabezpieczony (Akceptuj komunikację niezabezpieczoną, ale zawsze odpowiadaj używając protokołu IPSec). Protokół IPsec zezwala, aby pakiet przychodzący, który spełnia kryteria skonfigurowanej listy filtrów, był niezabezpieczony (tzn. nie był chroniony przez protokół IPsec). Jednak wychodząca odpowiedź na ten pakiet musi być chroniona. To ustawienie jest przydatne w przypadku korzystania z reguły odpowiedzi domyślnej dla klientów. Jeśli dla grupy serwerów skonfigurowano regułę, która zabezpiecza komunikację z każdym adresem IP i akceptuje komunikację niezabezpieczoną (odpowiadając przy użyciu komunikacji zabezpieczonej), włączenie reguły odpowiedzi domyślnej na komputerach klienckich zapewnia, że klienci będą odpowiadać na żądania negocjowania zabezpieczeń pochodzące od serwera. Tę opcję tę należy wyłączyć, aby zabezpieczyć komputery połączone z Internetem przed atakami typu „odmowa usługi”.
  
  
• Umożliwienie komunikacji z komputerami, które nie rozpoznają protokołu IPsec (Zezwalaj na komunikację niezabezpieczoną, jeśli nie można ustanowić bezpiecznego połączenia). Jeśli to konieczne, protokół IPsec powraca do komunikacji niezabezpieczonej. W tym przypadku również należy ograniczyć listę filtrów IP do możliwie najmniejszego zakresu. W przeciwnym razie jeśli negocjacja z jakiegoś powodu nie powiedzie się, dla każdej komunikacji, której dotyczy reguła zawierająca tę akcję filtrowania, dane mogą zostać wysłane bez zabezpieczenia. Jeśli użytkownik obawia się niezabezpieczonej komunikacji, należy rozważyć wyłączenie tych ustawień. Jednak komunikacja z komputerami ze starszymi systemami, które nie mogą zainicjować zabezpieczeń IPsec, może wtedy być blokowana. Tę opcję tę należy wyłączyć, aby zabezpieczyć komputery połączone z Internetem przed atakami typu „odmowa usługi”.
  
  
• Generowanie kluczy sesji trybu szybkiego z nowego materiału klucza trybu głównego (Doskonałe utajnienie przekazywania klucza sesji). Włączenie doskonałego utajnienia przekazywania klucza sesji gwarantuje, że materiał klucza trybu głównego może być użyty do wygenerowania tylko jednego klucza sesji trybu szybkiego. Jeśli jest włączone doskonałe utajnienie przekazywania klucza sesji, przed utworzeniem nowego klucza sesji trybu szybkiego jest przeprowadzana nowa wymiana kluczy Diffie'go-Hellmana w celu wygenerowania nowego głównego materiału klucza trybu głównego. Doskonałe utajnienie przekazywania klucza sesji (trybu szybkiego) nie wymaga ponownego uwierzytelnienia w trybie głównym i wykorzystuje mniej zasobów niż doskonałe utajnienie przekazywania klucza głównego (trybu głównego).
  
  

Każda metoda zabezpieczeń określa wymagania zabezpieczeń odnoszące się do wszelkiej komunikacji, której dotyczy reguła związana z daną metodą. Utworzenie wielu metod zabezpieczeń zwiększa szansę znalezienia wspólnej metody między dwoma komputerami. Składnik usługi IKE odczytuje listę metod zabezpieczeń w kolejności malejącej i wysyła listę dozwolonych metod zabezpieczeń do elementu równorzędnego. Wybierana jest pierwsza wspólna metoda. Zazwyczaj metody najbezpieczniejsze umieszczone są na początku listy, a najmniej bezpieczne - na końcu.