Acções de Filtro

O IPsec transmite este tráfego de e para o controlador TCP/IP sem modificações nem necessidade de segurança. Isto é adequado para tráfego a partir de computadores que não suportem o IPSec. Certifique-se de que limita a lista de filtros IP a um âmbito mínimo quando utilizar este tipo de acção de filtro, para não permitir tráfego que deveria ter sido protegido.

Considere a possibilidade de permitir o tráfego ICMP para efeitos de resolução de problemas. Também poderá ser necessário permitir que um computador que não se encontre no seu domínio (por exemplo, o computador de um consultor) aceda outro computador existente no seu domínio. Poderá utilizar a acção de filtro permitir para permitir este acesso.

	Importante
	A acção de filtro permitir permite o acesso sem qualquer autenticação, integridade de dados ou encriptação. É concedido acesso a qualquer pessoa que utilize um computador com o endereço IP especificado na lista de filtros. Todo o tráfego entre os computadores é efectuado em texto simples; não são efectuadas quaisquer verificações de integridade.

O IPsec elimina silenciosamente o tráfego bloqueado. Quando utilizar uma acção de filtro de bloqueio, certifique-se de que utiliza uma lista de filtros IP que defina o âmbito correcto dos endereços IP. A utilização de âmbitos mais abrangentes aumenta as hipóteses de bloquear tráfego entre computadores válidos.

Se activar a opção Aceitar comunicações inseguras, mas responder sempre com IPSec, o IPsec tenta negociar associações de segurança (SAs) e o envio ou recepção do tráfego protegido pelo IPsec. No entanto, se o elemento não puder utilizar o IPsec, as comunicações serão permitidas sem a protecção IPsec. Depois de seleccionar esta acção de filtro, também pode configurar o seguinte:

• Métodos de segurança e respectiva ordem. A lista de métodos define a ordem pela qual os métodos serão tentados. O primeiro método com êxito será utilizado e os métodos restantes não serão tentados. Normalmente, a lista deverá ser ordenada da segurança mais alta para a mais baixa, de modo a que o método mais seguro seja utilizado.
  
  
• Aceitação da recepção inicial de tráfego não seguro (Aceitar comunicações inseguras, mas responder sempre com IPSec) O IPsec permite que um pacote de entrada que corresponda à lista de filtros configurada não esteja protegido (ou seja, que não esteja protegido pelo IPsec). No entanto, a resposta de saída ao pacote de entrada deverá ser protegida. Esta definição é útil quando utiliza a regra de resposta predefinida para clientes. Quando um grupo de servidores está configurado com uma regra que protege as comunicações com qualquer endereço IP e aceita comunicações não protegidas (respondendo apenas com comunicações seguras), a activação da regra de resposta predefinida em computadores clientes garante que os clientes responderão ao pedido de negociação de segurança do servidor. Este opção deverá ser desactivada para computadores seguros ligados à Internet, de modo a evitar ataques denial-of-service.
  
  
• Activação da comunicação com computadores que não suportem IPsec (Permitir comunicações não seguras se não for possível estabelecer uma ligação segura). Se for necessário, o IPsec reverte para comunicação não segura. Mais uma vez, deverá limitar a lista de filtros IP a um âmbito mínimo. Caso contrário, se por qualquer motivo a negociação falhar, qualquer comunicação afectada pela regra na qual esta acção de filtro seja baseada poderá resultar no envio de dados sem segurança. Se estiver preocupado com comunicação não segura, poderá considerar a desactivação destas definições. Contudo, a comunicação com computadores que não possam iniciar o IPsec, tais como sistemas legados, poderá ser bloqueada. Este opção deverá ser desactivada para computadores seguros ligados à Internet, de modo a evitar ataques denial-of-service.
  
  
• Geração de chaves de sessão de modo rápido a partir de material de codificação novo (Utilizar chave de sessão de Perfect Forward Secrecy (PFS)). A activação da chave de sessão de PFS garante que o material de codificação mestre de modo principal não pode ser utilizado para criar mais de uma chave de sessão de modo rápido. Quando o PFS de modo rápido está activado, é efectuada uma nova troca de chaves Diffie-Hellman para gerar novo material de codificação mestre de modo principal antes de ser criada a nova chave de modo rápido. A chave de sessão (modo rápido) de PFS não necessita de uma nova autenticação e utiliza menos recursos do que a chave mestre (modo principal) de PFS.
  
  

Cada método de segurança define os requisitos de segurança de quaisquer comunicações às quais a regra associada se aplique. A criação de vários métodos de segurança aumenta a hipótese de encontrar um método comum entre os dois computadores. O componente Troca de Chaves da Internet (IKE) lê a lista de métodos de segurança por ordem descendente e envia uma lista de métodos de segurança permitidos ao outro elemento. O primeiro método em comum será seleccionado. Normalmente, os métodos mais seguros são colocados na parte superior da lista e os métodos menos seguros são colocados na parte inferior da lista.