BAZA ZNANJA

Kurs: 6421: Rešavanje problema i konfiguracija Windows Server 2008 mrežne infrastrukture

Modul: Konfiguracija IPSec-a

Autor: Test Instruktor

Naziv jedinice: Konfiguracija Connection Security pravila

Administratori mogu da koriste Connection Rules (pravila konekcije) da konfigurišu IPSec postavke za specifične konekcije između kompjutera i drugih. Windows Firewall sa naprednom zaštitom (with Advanced Security) koristi pravilo za ocenjivanje mrežnog saobraćaja, i nakon toga blokira ili dozvoljava poruke na osnovu kriterijuma koje je administrator konfigurisao u pravilu. U nekim okolnostima, Windows Firewall sa naprednom zaštitom će blokirati komunikaciju. Ako administrator konfiguriše postavke koje zahtevaju sigurnost za konekciju (u oba pravca), i ako dva kompjutera ne mogu da se međusobno autentifikuju, konekcija će biti blokirana.

U ovoj lekciji naučićete:

• Da izaberete tip Connection Security Rule-a
• Šta su to Endpoint-i
• Biranje autentifikacionih zahteva
• Autentifikacione metode
• Određivanje Usage Profile-a

Biranje tipa Connection Security Rule-a

Možete da koristite Connection Security Rule čarobnjaka za kreiranje pravila na način na kojem Windows Firewall with Advanced Security autentifikuje kompjutere i korisnike koji odgovaraju kriterijumima koji su konfigurisani u pravilu. Windows Firewall with Advanced security koristi IPSec za zaštitu saobraćaja koristeći ova pravila.

Čarobnjak nudi četri unapred definisana pravila, i administrator može takođe da kreira prilagođeno pravilo koje dalje može da konfiguriše na način da u potpunosti odgovara sigurnosnim zahtevima i potrebama.

Tipovi Connection Security Rule-ova:

• Izolacija
• Izuzimanje autentifikacije (Authentication exemption)
• Server-to-Server
• Tunnel
• Custom

Tabela 37.01 

Šta su to Endpoint-i?

Slika 37.01

Kompjuter Endpoint-i su kompjuteri ili grupa kompjutera koja formira Peer za konekciju.

IPSec Tunnel Mode štiti ceo IP paket tako što ga tretira kao AH ili ESP Payload (koristan teret). Sa Tunnel Mode-om, ceo IP paket se kapsulira sa AH ili ESP header-om i dodatnim IP header-om. IP adrese spoljašnjih IP header-a su Tunnel Endpoint-i, i IP adrese kapsuliranog IP header-a su izvorišne i destinacione adrese.

ESP šifruje pakete i postavlja novi nešifrovani header da bi omogućio rutiranje. Pored obezbeđivanja šifrovanja, ESP ne garantuje isporuku autentičnog header-a (Header data Authenticity).

ESP funkcioniše u dva moda, koji određuje zahtevana funkcionalnost (koji mod želimo da konfigurišemo) i mogućnost IPSec-aware (IPSec koji poznaje) hostova ili rutera.

• Transport Mode
• Tunnel Mode

Biranje autentifikacionih zahteva

Dok koristimo Connection Security Rule čarobnjaka za kreiranje novog pravila, administrator može da koristi Authentication Requirements stranicu čarobnjaka da bi odredio kako je autentifikacija primenjena na dolazeće i odlazeće konekcije. Ako postavimo Require Authentication, ovo omogućava komunikaciju kada autentifikacija nije uspešna. Ako postavimo Request Authentication, ovo će značiti da će konekcija biti odbijena u slučaju da proces autentifikacije bude neuspešan.

 Tabela 37.02

Metodi autentifikacije

Connection Security Rule čarobnjak poseduje stranicu na kojoj administrator može da podesi metod autentifikacije da bi konfigurisao Authentication Credentials koji će se koristiti. Ako pravilo već postoji, možemo da iskoristimo Authentication karticu u Connection Security Properties dijalog boksu pravila koje želimo da izmenimo.

Određivanje Usage profila

Firewall Profile je način grupisanja postavki, kao što su Firewall & Connection Security pravila, koja se primenjuju na kompjuter u zavisnosti gde je kompjuter konektovan. Na kompjuterima na kojima radi Curent Windows verzija, postoje tri profila za Windows Firewall sa naprednom zaštitom. Ne mogu u isto vreme da se primenjuju dva profila, samo jedan.

Windows podržava tri mrežna tipa, i programi mogu da koriste ove lokacije da bi automatski primenili odgovarajuće konfiguracione opcije:

• Domain: Selektovati kad je kompjuter član domena
• Private: Mreže kojima veruje korisnik (kućne ili male kancelarijske mreže)
• Javne: Defolt za novo detektovane mreže, obično se primenjuju najrestriktivnije postavke zbog toga što imamo sigurnosni rizik koji postoji na privatnim mrežama.