BAZA ZNANJA

Kurs: 6421: Rešavanje problema i konfiguracija Windows Server 2008 mrežne infrastrukture

Modul: Nadgledanje i rešavanje problema koji se odnose na IPSec

Autor: Test Instruktor

Naziv jedinice: Nadgledanje aktivnosti IPSec-a

Ovaj modul nudi informacije o IPSec Troubleshooting zadacima i troubleshooting alatkama koje administratori mogu da iskoriste u odrađivanje ovih zadataka.

Kada nadgledamo IPSec aktivnosti, u mogućnosti smo da:

• Pogledamo IPSec Policy Assignment informacije
• Pogledamo detalje koji se odnose na aktivnu IPSec polisu i IPSec statistiku.
• Proverimo da li je Securty Auditing omogućen
• Pogledamo IPSec događaje
• Omogućimo Audit Logging for Internet Key Exchange (IKE) događaje, i da pogledamo te događaje
• Pogledamo IPSec i druge mrežne komunikacije
• Promenimo IPSec konfiguraciju za troubleshooting.

Alatke koje možemo da koristimo za nadgledanje IPSec-a

Administratori mogu da koriste IP Security Monitor snap-in da vide i nadgledaju IPSec-related statistiku i IPSec polise koje se primenjuju na kompjuterima. Ove informacije mogu da nam pomognu da rešimo probleme koje se odnosne na IPSec i za testiranje polisa koje smo kreirali. Možemo da koristimo snap-in samo za kompjutere na kojima rade Windows XP,  Windows Vista ili Windows 7.

IP Security Monitor snap-in omogućava nam da vidimo detalje o aktivnim lokalnim IPSec polisama i dodeljenim domenskim polisama. Možemo da nadgledamo ove detalje za lokalni kompjuter i za udaljene kompjutere.

Na primer, možemo da prikažemo sledeće informacije:

• Detalje o aktivnoj IPSec polisi uključujući ime, opis, datum poslednjeg modifikovanja, stazu, organizacionu jedinicu, i ime Group Policy objekta.
• Main mode i Quick (brzi) mode generisane filtere, specifične filtere, statistiku, i sigurnosne asocijacije.
  
  

Main Mode statistika: prikazuje informacije iz Internet Key Exchange-a (IKE)

Quick Mode statistika: Prikazuje informacije koje se odnose na IPSec drajver.

Druge alatke koje možemo da koristimo za nadgledanje IPSec uključuju:

• IPSecmon
• Monitoring čvor unutar Windows Firewall-a sa naprednom zaštitom snap-ina
• Netsh komanda

Korišćenje IPSecurity Monitora za nadgledanje IPSec-a

Administratori implementiraju IP Security Monitor kao MMC snap-in, i on uključuje poboljšanja koja nam dozvoljavaju da vidimo detalje koji se odnose na aktivne IPSec polise koje se primenjuju kroz domen ili lokalno. Administrator takođe može da vidi Quick Mode i Main Mode statistiku, i aktivni IPSec Sas. IP Security Monitor takođe nam omogućava da vršimo pretragu u potrazi za specifičnim Main mode ili Quick Mode filterima. Da bi odradili troubleshooting kompleksnog IPSec Policy dizajna, možemo da koristimo IP Security Monitor za pretragu svih poklapanja za filtere specifičnog tipa fajlova.

Korišćenje Windows Firewall-a sa naprednom zaštitom za nadgledanje IPSec-a

Windows Firewall sa naprednom zaštitom je stateful, host-based Firewall koji blokira dolazeće i odlazeće konekcije na osnovu njegove konfiguracije. Dok tipična Windows Firewall konfiguracija krajnjeg korisnika još uvek može da se konfiguriše koristeći Windows Firewall Control Panel alatku, napredna konfiguracija (Advanced configuration) sada može da se konfiguriše koristeći Windows Firewall sa naprednom zaštitom snap-in.

Sadržaj ovog snap-ina ne nudi samo interfejs pomoću kojeg možemo da konfigurišemo lokalni Windows Firewall, već takođe nudi mogućnost konfiguracije Windows Firewall-a na udaljenim kompjuterima koristeći grupne polise. Funkcije Firewall-a sada se integrišu sa IPSec Protection postavkama, što smanjuje mogućnost konflikta između dva zaštitna mehanizma.

Vodič za nadgledanje IPSec polisa

Greške u konfiguraciji i drugi problemi u IPSec implementaciji najčešće se manifestuju tako da dva ili više kompjutera neće biti u stanju da ostvare međusobnu komunikaciju. Da bi mogli efikasno da izolujemo razloge greške u komunikaciji, potrebno je pratiti sledeći vodič:

1. Stopirati IPSec Policy Agent (IPSec servis) na kompjuterima i proveriti da li kompjuteri mogu da komuniciraju koristeći ping komandu. Ako postoji problem u komunikaciji nakon zaustavljanja IPSec polise, onda je sigurno u pitanju problem sa mrežom (network issue).
2. Restartovati IPSec Policy Agent i startovati IP Security Monitor da bi se potvrdilo da je uspostavljena sigurnosna asocijacija između kompjutera. Potrebno je da se uverimo da IPSec polisa dejstvuje.
3. Koristiti IPSec Security Policy Management za proveru da su polise dodeljene i postavljene na oba kompjutera.
4. Koristiti IP Security Policy Management za pregled polisa na kompjuterima i da bi bili sigurni da su polise kompatibilne između sebe.
5. Restartovati IP Security Monitor da bi osigurali da se sve promene koje smo odradili primenjuju.

Informacija: Za sve dodatne informacije o IPSec-u pogledajte Windows Server 2003 HELP dokumentaciju.

Stopiranje i startovanje IPSec servisa

Možemo da koristimo Windows Interface i komandnu liniju (Command Prompt) da bi stiporali i startovali IPSec servise.

Stopiranje IPSec servisa koristeći Windows interfejs:

1. Otvorimo Service konzolu.
2. U Panelu sa detaljima, kliknemo desnim tasterom miša na IPSec Services, i kliknemo na Stop.

Startovanje IPSec servisa koristeći Windows interfejs:

1. Otvorimo Servise konzolu.
2. U Panelu sa detaljima, kliknemo desnim tasterom miša na IPSec Services, i kliknemo na Start.

Stopiranje i startovanje IPSec servisa koristeći komandnu liniju:

Ako imamo server koji radi na Windows 2000 ili Windows Server 2003 sistemu i Routing and Remote Access servis, moramo da iskoristimo komandnu liniju da bi startovali i stopirali IPSec i Routing and Remote Access servise u određenim sekvencama.

1. Stopiranje Routing and Remote Access servisa koristeći net stop remoteaccess komandu.
2. Stopiranje IPSec servisa koristeći net stop policyagent komandu.
3. Startovanje IPSec servisa koristeći net start policyagent komandu.
4. Startovanje Routing and Remote Access servisa koristeći net start remoteaccess komandu.
   
   

Pogled na IPSec Policy detalje

Možemo da iskoristimo IP Security Monitor da vidimo IPSec Policy detalje.

Pogled na detalje aktivnih IPSec polisa koristeći IP Security Monitor:

1. Kreiramo MMC konzolu koja u sebi sadrži IP Security Monitor Snap-in, ili otvorimo MMC konzolu koju smo sačuvali na desktopu.
2. Proširimo IP Security Monitor, proširimo ime kompjutera (Computer Name), i tada kliknemo na Active Policy.
3. U panelu sa detaljima, pogledamo informacije o aktivnim polisama.

Pogled na IPSec Active Policy Main Mode Security Associations koristeći IP Security Monitor:

1. Kreiramo MMC konzolu koja u sebi sadrži IP Security Monitor Snap-in, ili otvorimo MMC konzolu koju smo sačuvali na desktopu.
2. Proširimo IP Security Monitor, proširimo Main Mode, i nakon toga kliknemo na Security Associations.
3. U panelu sa detaljima, pogledamo informacije koje se odnose na sigurnosne asocijacije.