Ações de Filtro

O IPsec passa esse tráfego de/para o driver TCP/IP sem fazer modificações ou verificar os requisitos de segurança. Isso é apropriado para o tráfego proveniente de computadores que não dão suporte a IPsec. Limite a lista de filtros IP a um escopo mínimo quando usar esse tipo de ação de filtro para não permitir o tráfego que deve ser protegido.

Considere a possibilidade de permitir o tráfego ICMP para fins de solução de problemas. Talvez seja necessário permitir que um computador que não faça parte do seu domínio (por exemplo, o computador de um consultor) acesse outro computador do domínio. Você pode usar a ação de filtro Permitir para autorizar esse acesso.

	Importante
	A ação de filtro Permitir permite o acesso sem autenticação, integridade de dados ou criptografia. Qualquer pessoa que utiliza um computador com o endereço IP especificado na lista de filtros recebe acesso. Todo o tráfego entre os computadores é feito em texto não criptografado, e não são realizadas verificações de integridade.

O IPsec descarta silenciosamente o tráfego bloqueado. Ao usar uma ação de filtro de bloqueio, utilize uma lista de filtros IP que defina o escopo correto de endereços IP. O uso de escopos maiores aumenta a probabilidade de bloqueio do tráfego entre computadores válidos.

Se você habilitar a opção Aceitar comunicação não segura, mas sempre responder usando IPSec, o IPsec tentará negociar SAs (associações de segurança) e o envio ou recebimento de tráfego protegido por IPsec. No entanto, se o ponto não puder usar IPsec, a comunicação será permitida sem essa proteção. Depois de escolher a ação de filtro, você também poderá configurar o seguinte:

• Métodos de segurança e sua ordem. Esta lista de métodos define a ordem em que os métodos serão aplicados. O primeiro método bem-sucedido será usado, e os demais não serão aplicados. Normalmente a lista deve ser ordenada do nível de segurança mais alto ao mais baixo para que seja usado o método mais seguro.
  
  
• Aceitação do tráfego inicial de entrada não seguro (Aceitar comunicação não segura, mas sempre responder usando IPSec). O IPsec permite que um pacote de entrada que corresponda à lista de filtros configurada não seja seguro (isto é, não seja protegido por IPsec). No entanto, a resposta de saída ao pacote de entrada deve ser protegida. Essa configuração é útil quando você está usando a regra de resposta padrão para clientes. Quando um grupo de servidores estiver configurado com uma regra que proteja as comunicações com qualquer endereço IP e aceite as comunicações não protegidas, respondendo apenas com comunicações protegidas, a habilitação da regra de resposta padrão em computadores cliente assegurará que os clientes respondam à solicitação do servidor para negociar a segurança. Para evitar ataques de negação de serviço, essa opção deve ser desabilitada em computadores seguros conectados à Internet.
  
  
• Permissão da comunicação com computadores sem IPsec (Permitir comunicação não segura se não for possível uma conexão segura). O IPsec retornará à comunicação não segura, se necessário. Novamente, você deve limitar a lista de filtros IP a um escopo mínimo. Caso contrário, se a negociação não tiver êxito por alguma razão, todas as comunicações afetadas pela regra em que essa ação de filtro reside poderão resultar em dados enviados sem segurança. Se estiver preocupado com a comunicação não segura, talvez seja mais adequado desabilitar essas configurações. No entanto, a comunicação com computadores que não podem iniciar o IPSec, como sistemas herdados, poderá ser bloqueada. Para evitar ataques de negação de serviço, essa opção deve ser desabilitada em computadores seguros conectados à Internet.
  
  
• Geração de chaves de sessão de modo rápido a partir do material de criação de chave de modo principal (Sigilo total na transferência de chave da sessão). Ao habilitar o sigilo total na transferência de chave da sessão, você assegura que o material da chave mestra do modo principal não será usado para originar mais de uma chave de sessão de modo rápido. Além disso, quando essa opção é habilitada, uma nova troca de chaves Diffie-Hellman é efetuada para gerar o material de nova chave mestra de modo principal antes que a nova chave de sessão de modo rápido seja criada. O sigilo total na transferência de chave da sessão (modo rápido) não exige uma nova autenticação de modo principal e usa menos recursos do que o sigilo total na transferência de chave mestra (modo principal).
  
  

Cada método de segurança define os requisitos de segurança de todas as comunicações às quais a regra associada se aplica. A criação de vários métodos de segurança aumenta a probabilidade de um método comum ser encontrado entre dois computadores. O componente IKE (Internet Key Exchange) lê a lista de métodos de segurança em ordem decrescente e envia uma lista de métodos de segurança permitidos para o outro ponto. O primeiro método em comum é selecionado. Normalmente os métodos mais seguros são exibidos na parte superior da lista, e os menos seguros na parte inferior.