Select the product you need help with
Windows 2000 および Windows Server 2003 でのトラフィック (クライアントとドメイン コントローラ間およびドメイン コントローラ間) に対する IPSec サポート文書番号: 254949 - 対象製品 この記事は、以前は次の ID で公開されていました: JP254949 重要 : この資料には、レジストリの編集方法が記載されています。万一に備えて、編集の前には必ずレジストリをバックアップし、レジストリの復元方法を理解しておいてください。バックアップ、復元、および編集方法の詳細を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。
256986
(http://support.microsoft.com/kb/256986/
)
Microsoft Windows レジストリの説明
はじめに
この資料では、IPSec (Internet Protocol Security) を使用してクライアント コンピュータからドメイン コントローラへのネットワーク トラフィック、またはドメイン コントローラから別のドメイン コントローラへのネットワーク トラフィックを暗号化する構成について、Microsoft Windows 2000 および Microsoft Windows Server 2003 でサポートされている内容を説明します。
詳細重要 : 「詳細」に記載されている情報は、Microsoft Windows Server 2003 のみに適用されます。 Kerberos コンピュータ認証や証明書ベースのコンピュータ認証を採用する場合、エンド ツー エンドのクライアント間、クライアント/サーバー間、およびサーバー間でネットワーク トラフィックを暗号化して保護することを目的とした IPSec の使用がサポートされています。グループ ポリシー経由で IPSec ポリシーを適用する場合や Kerberos 認証方法を使用する場合の、ドメイン メンバ サーバーからドメイン コントローラへの IPSec を使用したネットワーク トラフィックの暗号化は、現時点ではサポートされていません。 次のようなネットワーク トラフィックを暗号化するための IPSec の使用はサポート対象です。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec 値の名前 : OperationMode 値の種類 : REG_DWORD 値のデータ : 1 関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。 254728
ドメイン コントローラ間でのトラフィックには、サーバー メッセージ ブロック (SMB)、リモート プロシージャ コール (RPC) ベースのレプリケーションなど、何種類かのトラフィックがあります。このようなドメイン コントローラ間でのトラフィックを暗号化するために IPSec を使用することはサポートされています。IPSec を使用してこのトラフィックを転送することにより、トラフィックがファイアウォールを容易に通過できるようになります。このシナリオでは、ファイアウォールにおいて IPSec トラフィックとインターネット キー交換 (IKE) を通過させることのみが必要です。
関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。
(http://support.microsoft.com/kb/254728/
)
ドメイン コントローラ間で Kerberos トラフィックが IPSec によってセキュリティ保護されない
233256
ドメイン コントローラ間の IPSec ポリシーの規則を構成する場合、証明書ベースの認証を必須とすることを推奨します。IPSec ポリシーの作成方法の詳細については、ドキュメント『Active Directory in Networks Segmented by Firewalls』を参照してください。このドキュメントを入手するには、次のマイクロソフト Web サイトを参照してください。
(http://support.microsoft.com/kb/233256/
)
ファイアウォール経由での IPSec トラフィックを有効にする方法
http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&DisplayLang=en
この規則では、セキュリティ要件によってファイアウォール経由の Kerberos トラフィックが許可されていない場合に、証明書による認証が要求されます。デフォルトでは、IKE 証明書の失効チェックは無効に設定されており、ファイアウォールを使用して有効にすることが必要な場合があります。この設定は、使用している PKI インフラストラクチャに依存します。
(http://www.microsoft.com/downloads/details.aspx?FamilyID=c2ef3846-43f0-4caf-9767-a9166368434e&DisplayLang=en)
次の仕様を使用して、ドメイン コントローラに IPSec 規則を作成します。
253169
IPSec ポリシー構成の詳細については、次のマイクロソフト Web サイトを参照してください。
(http://support.microsoft.com/kb/253169/
)
[NT]IPSec により保護されるトラフィックと保護されないトラフィック
http://www.microsoft.com/japan/windows2000/techinfo/planning/security/ipsecsteps.asp
(http://www.microsoft.com/japan/windows2000/techinfo/planning/security/ipsecsteps.asp)
プロパティ文書番号: 254949 - 最終更新日: 2005年11月21日 - リビジョン: 7.1 この資料は以下の製品について記述したものです。
"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。" | サポート技術情報の翻訳 |
先頭へ戻る
