Filteråtgärder

IPSec skickar trafiken till och från TCP/IP-drivrutinen utan ändring eller krav på säkerhet. Detta är lämpligt för trafik från datorer som inte är IPSec-kompatibla. Begränsa IP-filterlistan till att beröra så lite trafik som möjligt när du använder den här typen av filteråtgärd så att du inte släpper igenom trafik som bör skyddas.

Överväg att tillåta ICMP-trafik för felsökning. Du kan också behöva ge en dator som inte tillhör domänen (till exempel en konsults dator) åtkomst till en annan dator i domänen. Då kan du använda filteråtgärden Tillåt för att ge åtkomst.

	Viktigt!
	Filteråtgärden Tillåt ger åtkomst utan autentisering, dataintegritet eller kryptering. Alla som använder datorn med IP-adressen som angetts i filterlistan får åtkomst. All trafik mellan datorerna genomförs i klartext och inga integritetskontroller utförs.

IPSec blockerar trafiken utan varningar. När du använder filteråtgärden Blockera ska du kontrollera så att IP-filterlistan som används definierar det korrekta intervallet IP-adresser. Om ett större intervall används ökar risken för att trafik blockeras mellan giltiga datorer.

Om du aktiverar alternativet Acceptera osäker kommunikation men svara alltid med IPSec försöker IPSec förhandla säkerhetsassociationer samt skickandet och mottagandet av IPSec-skyddad trafik. Om peer-datorn inte kan använda IPSec tillåts dock kommunikationen utan IPSec-skydd. När du väljer den här filteråtgärden kan du också konfigurera följande:

• Säkerhetsmetoder och deras ordning. Den här listan över metoder anger i vilken ordning metoderna används. Den första metod som fungerar kommer att användas och resten av metoderna ignoreras. Listan ska i vanliga fall ordnas efter metodernas säkerhetsgrad, så att den säkraste fungerande metoden används.
  
  
• Godkännande av inledande inkommande osäker trafik (Acceptera osäker kommunikation men svara alltid med IPSec). IPSec tillåter ett osäkert inkommande paket (d.v.s. som inte skyddas av IPSec) om det matchar den konfigurerade filterlistan. Däremot måste det utgående svaret på det inkommande paketet vara säkert. Den här inställningen är användbar när du använder standardsvarsregeln för klienter. När en grupp servrar är konfigurerade med en regel som skyddar kommunikationen med alla IP-adresser och accepterar osäker kommunikation men endast svarar med säker kommunikation, garanterar aktivering av standardsvarsregeln på klientdatorerna att klienterna svarar på serverförfrågan om förhandling om säkerhet. Alternativet bör inaktiveras för säkra datorer som är anslutna till Internet, för att förhindra DOS-attacker.
  
  
• Aktivering av kommunikation med datorer som inte stöder IPSec (Tillåt osäker kommunikation om det inte går att upprätta en skyddad anslutning). IPSec accepterar osäker kommunikation om det är nödvändigt. Du bör även i det här fallet begränsa IP-filterlistan. I annat fall kan all kommunikation som omfattas av regeln i vilken den här filteråtgärden ingår orsaka att data skickas utan skydd om förhandlingen av någon anledning misslyckas. Om du är orolig över att osäkra kommunikationer genomförs kan du inaktivera de här inställningarna. Eventuellt kan då kommunikation med datorer som inte kan initiera IPSec (t.ex. äldre datorer) förhindras. Alternativet bör inaktiveras för säkra datorer som är anslutna till Internet, för att förhindra DOS-attacker.
  
  
• Generering av sessionsnycklar för snabbläge från en ny nyckeluppgift för huvudläget (Sessionsnyckel för PFS (Perfect Forward Secrecy)). När sessionsnyckelns PFS aktiveras säkerställs att huvudnyckeluppgiften för huvudläget inte kan användas för att härleda mer än en sessionsnyckel för snabbläge. När PFS för snabbläge har aktiverats utförs ett nytt Diffie-Hellman-nyckelutbyte för att generera en ny nyckeluppgift för huvudnyckeln i huvudläge innan den nya snabblägesnyckeln skapas. PFS för sessionsnyckel (snabbläge) kräver inte återautentisering i huvudläge och använder färre resurser än PFS för huvudnyckel (huvudläge).
  
  

Varje säkerhetsmetod definierar säkerhetskrav för kommunikationen som omfattas av den associerade regeln. Om du skapar flera säkerhetsmetoder ökar chansen för att det går att hitta en gemensam metod för två datorer. IKE-komponenten läser listan med säkerhetsmetoder i fallande ordning och skickar en lista med tillåtna säkerhetsmetoder till den andra peer-datorn. Den första gemensamma metoden väljs. Normalt finns de säkraste metoderna i början av listan och de mindre säkra metoderna i slutet av listan.