P�ihl�sit

Select the product you need help with

Podpora protokolu IPSec pro �adi� dom�ny klienta p�enosy a p�enos �adi� dom�ny �adi�e dom�ny

ID �l�nku: 254949 - Produkty, kter� se vztahuj� k tomuto �l�nku.

UPOZORN�N�: TENTO �L�NEK BYL STROJOV� P�ELO�EN

Zobrazen� anglick�ho �l�nku a jeho �esk�ho p�ekladu vedle sebe

Zobrazen� p�vodn�ho anglick�ho �l�nku a jeho p�ekladu vedle sebe.

Rozbalit v�echny z�lo�ky | Minimalizovat v�echny z�lo�ky

�vod

Tento �l�nek popisuje podporovan� konfigurace pro p�enos z klientsk�ho po��ta�e na �adi� dom�ny nebo z �adi�e dom�ny na jin� �adi� dom�ny v s�ti za�ifrovat pomoc� protokol IPSec (IPSec).

D�le�it�: Informace v t�to ��sti plat� pouze pro tyto produkty uveden� v ��sti "Plat� pro".

Jsme podporuj� pou�it� IPSec p�i pou�it� ov��ov�n� Kerberos po��ta�e nebo p�i pou�it� ov��ov�n� certifik�t� po��ta�e za�ifrovat s�ov� provoz v implementac�ch klienta klienta, klient server a server-server-end. Aktu�ln� jsme nepodporuj� pou�it� �ifrov�n� s�ov� provoz z dom�ny klienta nebo �lensk� server na �adi� dom�ny p�i pou��t z�sady protokolu IPSec pomoc� Z�sady skupiny nebo pou��t metodu ov��ov�n� Kerberos verze 5 protokol IPSec.

Nav�c jsme podporuj� n�sleduj�c� druhy provozu v s�ti za�ifrovat pomoc� protokolu IPSec:

P�enos replikace �adi�e dom�ny �adi�e dom�ny
P�enos replikace glob�ln�ho katalogu do glob�ln�ho katalogu

Za�ifrovat tento p�enos pomoc� protokolu IPSec, konfigurace obou n�sleduj�c�:

Vytvo�en� filtru z�sad IPSec k �ifrov�n� ve�ker� komunikace Unicast pomoc� mo�nosti V�e p�enosu IP.
Nakonfigurovat tento filtr z�sad IPSec za�ifrovat tento p�enos mezi dv�ma adresami IP pomoc� re�imu p�enosu IPSec. V tomto sc�n��i nepou��vejte tunelu IPSec re�im.

D�le�it�: Tento odd�l, metoda nebo �kol obsahuje kroky, kter� sd�lit, jak upravit registr. Po nespr�vn� �prav� registru v�ak mohou nastat z�va�n� probl�my. Postupujte proto pe�liv� podle uveden�ch krok�. Pro zv��en� bezpe�nosti registr z�lohujte jest� p�ed jeho �pravami. Potom m��ete v p��pad� pot�� registr obnovit. Dal�� informace o z�lohov�n� a obnoven� registru naleznete n�sleduj�c�m �l�nku znalostn� v datab�ze Microsoft Knowledge Base:

322756

(http://support.microsoft.com/kb/322756/ )

Z�lohov�n� a obnoven� registru v syst�mu Windows

Po konfiguraci t�to z�sady IPSec v�imnout, �e p�i spu�t�n� po��ta�e n�kolik pakety mohou b�t odesl�ny neza�ifrovan� s�ti. K tomuto probl�mu doch�z�, proto�e n�kter� pakety m��e b�t odesl�na prost�ednictv�m s�t� p�ed inicializovat ovlada� IPSec a p�ed IPSec byla zpracov�na z�sad. Tento probl�m um�stit ovlada�e IPSec IPSec.sys b�hem procesu spou�t�n� po��ta�e do re�imu blokovat. Kdy� toto provedete, odchoz�ch s�ov�ch p�enos� z po��ta�e, dokud spust� sou��st Agent z�sad IPSec bloky a dokud sou��st Agent z�sad na��t� z�sady IPSec. Po spu�t�n� sou��sti Agent z�sad IPSec a po na�ten� z�sad protokolu IPSec, Agent z�sad zm�n� re�im operace ovlada�e IPSec povolit pas� p�enos IPSec. Ovlada� IPSec p�epnout do re�imu blokov�n�, nastavte n�sleduj�c� hodnotu registru:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec

N�zev hodnoty: OperationMode
Typ hodnoty: REG_DWORD
Hodnota dat: 1

Hodnota 1 p�epne do re�imu blokov�n� ovlada�e IPSec. Hodnota 0 (nula) obch�z� re�imu blokov�n� ovlada�e IPSec.

Dal�� informace naleznete n�sleduj�c�m �l�nku znalostn� datab�ze Microsoft Knowledge Base:

254728

(http://support.microsoft.com/kb/254728/ )

IPSec zabezpe�en� p�enos Kerberos mezi �adi�i dom�ny

Podporujeme �ifrovat p�enos �adi� dom�ny �adi�e dom�ny jako Server Message Block (SMB), replikace vzd�len� vol�n� procedur (RPC) a jin� druhy p�enos� pomoc� protokolu IPSec. Tento p�enos m��e p�enos pomoc� protokolu IPSec umo��uj� snadno p�edat tyto druhy p�enos p�es br�nu firewall. V tomto sc�n��i m�te pouze umo��ovaly p�enos IPSec a p�enos Internet Key Exchange (IKE) prost�ednictv�m br�ny firewall. Dal�� informace naleznete n�sleduj�c�m �l�nku znalostn� datab�ze Microsoft Knowledge Base:

233256

(http://support.microsoft.com/kb/233256/ )

Jak povolit p�enos p�es br�nu firewall IPSec

Doporu�ujeme p�i konfiguraci pravidla z�sad protokolu IPSec �adi� dom�ny �adi�e dom�ny vy�aduj� ov��ov�n� certifik�t�. Podrobn� informace o tom, jak vytvo�it z�sady IPSec, viz Active Directory v s�t�ch Segmentovan� podle firewall dokumentu. Z�skat tento dokument naleznete na n�sleduj�c�m webu:

http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&DisplayLang=en

(http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&DisplayLang=en)

Pokud po�adavky na zabezpe�en� povolit Kerberos p�enos p�es br�nu firewall, mus� pravidlo vy�adovat ov��ov�n� certifik�t�. Ve v�choz�m IKE kontroly odvolan�ch certifik�t� je vypnuto a m��e m�t povoleno prost�ednictv�m br�ny firewall. To z�vis� na infrastruktury PKI, kter� je pou��v�n.

Vytvo�en� pravidla IPSec v �adi��ch dom�ny pomoc� n�sleduj�c� specifikace:

Seznam filtr� ur�uje p�enosy p�echod z adresy IP v po��ta�i DC1 adresu IP na AG2 (zrcadlen�), masky pods�t� 255.255.255.255, v�echny protokoly a v�echny porty. Chcete p�idat pravidlo z�sady IPSec osvobozen� p�enosy ICMP z vyjedn�v�n� zabezpe�en� protokolu IPSec, pokud ping slou�� k ov��en� s�ov� p�ipojen� ke vzd�len�mu syst�mu prost�ednictv�m br�ny firewall. Jinak lze ov��it p�ipojen� pomoc� s�t� sniff zobrazuj�c� p�enos IKE (ISAKMP, UDP port 500) odeslan�ch a p�ijat�ch od �adi�e dom�ny dal�� adresu DC IP.

Zm�na adresy nebo zm�nit pakety mezi �adi�i dom�ny, kter� vy�aduj� ochrany IPSec mezi nimi nesm� b�t pou�ita s�ov�ch adres (NAT).
V ��sti Nastaven� tunelu klepn�te Toto pravidlo neur�uje tunelov� propojen� IPSec, kter� pou��v� transportn� re�im.
Vybrat Certifik�t pou��t pro metodu ov��ov�n�. Pou��t Kerberos, viz n�sleduj�c� pozn�mka.
Vytvo�it vlastn� filtr akci zru��te za�krtnut� pol��ek P�ij�mat nezabezpe�enou komunikaci a Povolit nezabezpe�enou komunikaci a ur�en�m metoda �ifrov�n� p��slu�n� data pomoc� form�tu ESP IPSec. S�ov� adapt�ry, kter� prov�d�j� �ifrov�n� IPSec-paketu hardwaru jsou pot�ebn� v ka�d�m �adi�i dom�ny, tak�e �ifrov�n� IPSec spot�ebovat cykly PROCESORU v�echny po��ta�e.

Pozn�mka: P�vodn� vyd�n� (sestaven� 2195) Windows 2000 nen� chr�nit IKE, Kerberos, nebo RSVP p�enosy pomoc� filtr� p�enosu IPSec. Pokud Kerberos se pou��v� jako metoda ov��ov�n� IPSec pravidlo k ochran� p�enosu �adi� dom�ny �adi�e dom�ny nam�sto certifik�t�, mus� br�na firewall povolit tak� p�enos Kerberos proj�t. Mus� se jednat o v�choz� nastaven�. Windows 2000 Service Pack 1 poskytuje mo�nost Ochrana Kerberos a RSVP p�enosy IPSec.

253169

(http://support.microsoft.com/kb/253169/ )

P�enos nelze--zabezpe�ena protokolem IPSec a lze--

Vlastnosti

ID �l�nku: 254949 - Posledn� aktualizace: 12. ��jna 2007 - Revize: 7.7

Informace v tomto �l�nku jsou ur�eny pro produkt:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows XP Professional

kbmt kbinfo kbipsec kbnetwork KB254949 KbMtcs

Strojov� p�elo�en� �l�nek

D�le�it�: Tento �l�nek byl p�elo�en pomoc� software spole�nosti Microsoft na strojov� p�eklad, ne profesion�ln�m p�ekladatelem. Spole�nost Microsoft nab�z� jak �l�nky p�elo�en� p�ekladatelem, tak �l�nky p�elo�en� pomoc� software na strojov� p�eklad, tak�e v�echny �l�nky ve Znalostn� datab�zi (Knowledge Base) jsou dostupn� v �e�tin�. P�eklad pomoc� software na strojov� p�eklad ale nen� bohu�el v�dy dokonal�. Obsahuje chyby ve sklo�ov�n� slov, skladb� v�t, nebo gramatice, podobn� jako kdy� cizinci d�laj� chyby p�i mluven� v �e�tin�. Spole�nost Microsoft nen� pr�vn� zodpov�dn� za nep�esnosti, chyby nebo �kody vznikl� chybami v p�ekladu, nebo p�i pou�it� nep�esn� p�elo�en�ch instrukc� v �l�nku z�kazn�kem. Spole�nost Microsoft aktualizuje software na strojov� p�eklad, aby byl po�et chyb omezen na minimum.

Projd�te si tak� anglickou verzi �l�nku:254949

(http://support.microsoft.com/kb/254949/en-us/ )