Làm th? nào ð? s? d?ng Internet Protocol Security ð? an toàn m?ng lý?i giao thông gi?a hai máy ch? Windows 2000

Bài vi?t này là m?t hý?ng d?n t?ng bý?c ch? d?n ð? kích ho?t nâng cao ngý?i dùng c?u h?nh b?o m?t Internet Protocol (IPSec) ð? h? có th? an toàn thông tin liên l?c gi?a hai máy ch? lýu tr? máy tính.

Thu?t ng? IPSec

Ð?m b?o r?ng b?n bi?t nh?ng ði?u kho?n sau ðây có ngh?a là trý?c khi b?n th?c hi?n các hý?ng d?n sau ðây:

• Xác th?c: Quá tr?nh ð? xác ð?nh n?u nh?n d?ng c?a m?t máy tính là h?p pháp. Windows 2000 IPSec h? tr? ba lo?i c?a xác th?c: Kerberos, ch?ng ch?, và preshared phím. Kerberos xác th?c có th? ho?t ð?ng ch? n?u c? hai ði?m cu?i (máy tính) là trong cùng m?t Tên mi?n Windows 2000. Ki?u xác th?c là phýõng pháp ýa thích. N?u các máy tính có trong l?nh v?c khác nhau, ho?c ít nh?t m?t trong s? h? không ph?i là trong m?t tên mi?n, b?n ph?i s? d?ng ho?c gi?y ch?ng nh?n ho?c preshared phím. Gi?y ch?ng nh?n có th? ho?t ð?ng ch? n?u m?i ði?m cu?i có m?t ch?ng ch? ðý?c k? b?i m?t cõ quan ði?m cu?i khác tín thác. Preshared phím có cùng m?t v?n ð? m?t kh?u làm: h? không v?n bí m?t trong m?t kho?ng th?i gian r?t dài. N?u là hai ði?m cu?i ðang không ? trong cùng m?t tên mi?n và b?n không th? có ðý?c gi?y ch?ng nh?n, preshared phím là l?a ch?n xác th?c duy nh?t c?a b?n.
• M?t m?: Quá tr?nh làm cho d? li?u không r? ràng trong ð? chu?n b? cho truy?n gi?a hai ði?m cu?i hai. B?ng cách s? d?ng well-tested các thu?t toán, m?i ði?m cu?i xây d?ng và trao ð?i m?t m? phím. Các quá tr?nh ð?m b?o r?ng ch? là hai ði?m cu?i bi?t các phím; và n?u b?t k? khoá trao ð?i tr?nh t? ðý?c ðánh ch?n, tiêm kích ðánh ch?n l?y ðý?c g? v? giá tr?.
• B? l?c: M?t mô t? c?a giao th?c Internet (IP) Ð?a ch? và giao th?c mà có th? kích ho?t các thi?t l?p m?t b?o m?t IPSec Hi?p h?i.
• L?c hành ð?ng: các yêu c?u b?o m?t có th? có hi?u l?c khi giao thông phù h?p v?i các b? l?c trong l?c danh sách.
• Danh sách b? l?c: m?t b? sýu t?p c?a các b? l?c.
• Chính sách b?o m?t Internet Protocol: b? sýu t?p các quy t?c mà mô t? làm th? nào thông tin liên l?c gi?a các máy tính ðý?c b?o ð?m.
• Quy t?c: Các liên k?t gi?a m?t danh sách các b? l?c và m?t hành ð?ng l?c. Khi giao thông phù h?p v?i m?t b? l?c danh sách, hành ð?ng l?c týõng ?ng có th? ðý?c kích ho?t. M?t chính sách IPSec có th? ch?a nhi?u quy t?c.
• Hi?p h?i b?o m?t: b? sýu t?p c?a xác th?c và phýõng pháp m?t m? là hai ði?m cu?i thýõng lý?ng ð? thi?t l?p m?t an toàn Phiên làm vi?c.

T?m th?y IPSec trong Microsoft Management Console

B?n c?u h?nh IPSec b?ng cách s? d?ng Microsoft Management Console (MMC). Windows 2000 s? t?o ra m?t MMC v?i IPSec-theo trong ti?n tr?nh cài ð?t quá tr?nh. Ð? xác ð?nh v? trí IPSec, b?m B?t ð?u, ði?m ð?n Chýõng tr?nh, b?m Công c? qu?n tr?, sau ðó b?m Chính sách b?o m?t c?c b?. Trong MMC m?, b?m Chính sách b?o m?t IP máy ð?a phýõng trong ngãn bên trái. Sau ðó, MMC hi?n th? hi?n t?i các chính sách m?c ð?nh trong ngãn bên ph?i.

Thay ð?i ð?a ch? IP, tên c?a máy tính và tên ngý?i dùng

Cho các m?c ðích c?a ví d? này, Alice là m?t ngý?i s? d?ng có m?t máy tính ðý?c ð?t tên "Alicepc" v?i ð?a ch? IP 172.16.98.231 và Bob có m?t máy tính ð?t tên là "Bobslap" v?i ð?a ch? IP 172.31.67.244. H? k?t n?i máy tính c?a h? b?i s? d?ng chýõng tr?nh Abczz.

Alice và Bob ph?i ð?m b?o r?ng giao thông ðý?c m? hóa khi h? tr?c ti?p k?t n?i v?i nhau b?ng cách s? d?ng Abczz chýõng tr?nh. Khi Abczz làm cho các k?t n?i, xý?ng vi?c s? d?ng m?t c?ng cao ng?u nhiên v? b?n thân và k?t n?i (cho các m?c ðích c?a ví d? này) ð?n ðích vào c?ng 6667/TCP ho?c 6668/TCP (nõi TCP là vi?t t?t cho truy?n d?n Giao th?c ki?m soát). Thông thý?ng, các c?ng ðý?c s? d?ng cho Internet Relay Chat (IRC). B?i v? m?t trong hai Alice ho?c Bob có th? b?t ð?u k?t n?i, các chính sách ph?i t?n t?i trên c? hai ð?u.

T?o danh sách b? l?c

Th?c ðõn cho vi?c t?o ra các chính sách IPSec có th? truy c?p n?u b?n Nh?p chu?t ph?i Chính sách b?o m?t IP trong giao di?n ði?u khi?n MMC. L?n ð?u tiên m?c tr?nh ðõn là "t?o IP chính sách b?o m?t." M?c dù v? trí này có th? có v? là nõi ð? b?t ð?u, ðó là không ðúng v? trí. Trý?c khi b?n có th? t?o m?t chính sách và quy t?c liên quan c?a nó, b?n c?n ph?i xác ð?nh b? l?c danh sách và b? l?c hành ð?ng, ðó là thành ph?n c?n thi?t c?a b?t k? chính sách IPSec. B?t ð?u công vi?c c?a b?n b?i cách nh?n vào Qu?n l? danh sách b? l?c IP và l?c hành ð?ng.

H?p tho?i s? ðý?c hi?n th? có hai tab: m?t cho b? l?c danh sách và các khác cho hành ð?ng l?c. Ð?u tiên, các Qu?n l? danh sách b? l?c IPtab m?. Hi?n ð? có hai danh sách ðý?c xác ð?nh trý?c b? l?c mà b?n không s? d?ng. Thay vào ðó, b?n có th? t?o m?t danh sách l?c c? th? týõng ?ng v?i khác máy tính mà b?n mu?n k?t n?i t?i.

Gi? s? r?ng b?n t?o các chính sách trên máy tính mà thu?c v? Alice:

1. Nh?p vào Thêm ð? t?o danh sách b? l?c m?i. Tên danh sách "Abczz ð? c?a Bob PC".
2. Nh?p vào Thêm ð? thêm m?t b? l?c m?i. Thu?t s? b?t ð?u.
3. Nh?p vào Ð?a ch? IP c?a tôi nhý là ngu?n g?c.
4. B?m vào m?t ð?a ch? IP c? th? v? các ði?m, và sau ðó nh?p ð?a ch? IP (172.31.67.244) c?a máy tính mà thu?c v? Bob. Ngoài ra, n?u máy tính mà thu?c v? Bob ðãng k? ? tên mi?n H? th?ng tên (DNS) ho?c d?ch v? tên Internet Windows (th?ng), b?n có th? ch?n m?t c? th? DNS tên, và sau ðó nh?p tên máy tính mà thu?c v? Bob Thay vào ðó, mà là "Bobslap".
5. Abczz s? d?ng TCP cho truy?n thông c?a nó, v? v?y h?y nh?p vào TCP nhý các lo?i giao th?c.
6. Ð?i v?i các giao th?c IP c?ng, b?m vào T? b?t k? c?ng. Nh?p vào T?i c?ng này, lo?i: 6667, sau ðó b?m K?t thúc hoàn t?t thu?t s?.
7. L?p l?i các bý?c trý?c, ngo?i tr? lo?i th?i gian này:6668 s? hi?u c?ng và sau ðó nh?p vào Ðoìng.

Danh sách b? l?c c?a b?n có hai b? l?c: m?t cho truy?n thông t? Alice ð? Bob trên c?ng 6667 (trong ðó thu?c v? Bob) và m?t c?ng 6668 (mà thu?c v? Bob). (Bob có c? hai c?ng 6667 và 6668 thi?t l?p ngày c?a m?nh máy tính: m?t c?ng là cho ði giao ti?p và m?t cho cuoäc goïi ñeán thông tin liên l?c.) Các b? l?c này ðang ðý?c nhân ðôi, ðó là nói chung c?n thi?t b?t c? lúc nào b?n t?o ra m?t b? l?c IPSec. Ð?i v?i m?i b? l?c mà ðý?c nhân ðôi, danh sách có th? ch?a (nhýng không hi?n th?) m?t chính xác ð?i di?n v?i b? l?c nõi ngu?n và Ð?a ch? ðích ðý?c ð?o ngý?c. Mà không ðý?c nhân ðôi các b? l?c IPSec thông tin liên l?c là thý?ng không thành công.

T?o hành ð?ng l?c

B?n ð? xác ð?nh lo?i lýu lý?ng truy c?p ðó ph?i ðý?c b?o m?t. Bây gi? b?n ph?i ch? ð?nh các cõ ch? b?o m?t. B?m vào các Qu?n l? các hành ð?ng l?c tab. Hi?n có ba giá tr? m?c ð?nh ðý?c li?t kê. Ch? không ph?i là b?ng cách s? d?ng các Yêu c?u b?o m?t hành ð?ng, b?n ph?i t?o m?t hành ð?ng m?i là nghiêm ng?t hõn.

T?o hành ð?ng m?i:

1. Nh?p vào Thêm ð? t?o m?t hành ð?ng b? l?c m?i. Thu?t s? b?t ð?u. Tên các hành ð?ng "M? hóa Abczz".
2. Ð?i v?i các T?ng quát tùy ch?n, b?m vào Ðàm phán an ninh, và sau ðó nh?p vào Không giao ti?p v?i máy tính không h? tr? IPSec.
3. B?m vào các Cao cho b?o m?t IP giao thôngtùy ch?n, và sau ðó nh?p vào K?t thúc ð? ðóng thu?t s?.
4. B?m ðúp vào hành ð?ng l?c m?i (mà b?n trý?c ðây ð?t tên là "M? hóa Abczz").
5. Nh?n vào ðây ð? xóa các Ch?p nh?n không có b?o ð?m giao ti?p, nhýng luôn luôn ðáp ?ng b?ng cách s? d?ng IPSec h?p ki?m. Bý?c này ð?m b?o r?ng các máy tính ph?i ðàm phán IPSec trý?c khi m?t gói d? li?u Abczz ðý?c g?i.
6. Nh?p vào Bí m?t quan tr?ng phiên phía trý?c hoàn h?oð? ð?m b?o r?ng tài li?u quan tr?ng không tái s? d?ng, h?y nh?p vào Ok, sau ðó b?m Ðoìng.

T?o ra các chính sách IPSec

B?n ð? thu ðý?c các y?u t? chính sách. Bây gi? b?n có th? t?o các chính sách riêng c?a m?nh. Nh?p chu?t ph?i vào c?a s? bên ph?i c?a MMC và b?m T?o ra chính sách b?o m?t IP. Khi thu?t s? b?t ð?u:

1. Tên chính sách "Alice's IPSec".
2. Nh?n vào ðây ð? xóa các Kích ho?t các ph?n ?ng m?c ð?nh quy t?c h?p ki?m.
3. Nh?p vào S?a thu?c tính N?u nó không ðý?c ch?n, và sau ðó k?t thúc thu?t s?. Các Thu?c tính h?p tho?i c?a chính sách s? m? ra.

Ð?i v?i m?t chính sách IPSec ð? làm vi?c, nó ph?i ch?a ít nh?t m?t quy t?c mà m?t danh sách b? l?c liên k?t ð?n m?t hành ð?ng l?c.

Xác ð?nh quy ð?nh trong các Thu?c tính h?p tho?i:

1. Nh?p vào Thêm ð? t?o m?t quy t?c m?i. Khi thu?t s? b?t ð?u, b?m Ði?u này quy t?c không xác ð?nh m?t ðý?ng h?m.
2. Nh?p vào M?ng c?c (b? LAN) Ð?i v?i các lo?i m?ng.
3. Nh?p vào M?c ð?nh Windows 2000 (Kerberos V5 giao th?c) Ð?i v?i phýõng th?c xác th?c n?u c? hai máy tính c?a Alice và Bob ðang ? trong cùng m?t tên mi?n Windows 2000. N?u không, b?m vào S? d?ng này chu?i ð? b?o v? vi?c trao ð?i chính (khoá), và sau ðó nh?p m?t chu?i (s? d?ng m?t chu?i dài mà b?n có th? nh? và g? không làm sai l?m).
4. Ch?n l?c danh sách mà b?n t?o ra trý?c ðó. Trong này Ví d?, danh sách b? l?c là "Abczz c?a Bob PC". Sau ðó, ch?n hành ð?ng l?c r?ng b?n t?o ra trý?c ðó. Trong ví d? này, các hành ð?ng l?c là "m? hoá Abczz".
5. Hoàn thành thu?t s? và b?m Ðoìng.

C?u h?nh là hai ði?m cu?i khác

L?p l?i trên máy tính mà thu?c v? Bob t?t c? các ngay trý?c th? t?c này có ðý?c áp d?ng cho máy tính mà thu?c v? Alice. Các thay ð?i c?n thi?t là r? ràng, ví d?, "Abczz c?a Bob PC" ph?i ðý?c thay ð?i ð? "Abczz c?a Alice PC".

Ch? ð?nh các chính sách

B?n ð? xác ð?nh các chính sách trên c? hai ð?u. Bây gi? b?n ph?i gán h?:

1. Trong các Thi?t ð?t an ninh ð?a phýõng MMC, Nh?p chu?t ph?i vào chính sách)Abczz trong ví d? này).
2. Nh?p vào Ch? ð?nh.

Ch? có m?t chính sách IPSec có th? ðý?c ch? ð?nh t?i m?t th?i gian, nhýng ð?a ðõn chính sách có th? có quy t?c nhý nhi?u nhý b?n c?n. Ví d?, n?u Alice c?ng có nhu c?u an toàn thông tin liên l?c v?i Eve b?ng cách s? d?ng m?t giao th?c khác nhau, b?n ph?i t?o danh sách b? l?c thích h?p và hành ð?ng, và sau ðó thêm m?t quy t?c cho các IPSec (mà thu?c v? Alice) liên k?t v?i nhau r?ng danh sách c? th? l?c và l?c hành ð?ng. Nh?p vào S? d?ng m?t khóa dùng chung khác nhau cho vi?c này quy t?c. Chính sách cho Alice hi?n nay có hai quy t?c: m?t cho Abczz liên l?c v?i Bob và m?t cho liên l?c v?i Eve. B?i v? Bob và Eve không c?n ð? giao ti?p m?t cách an toàn v?i nhau, chính sách ð?i v?i Bob không có b?t c? ði?u g? thêm vào nó, và chính sách cho Eve ch?a m?t quy t?c duy nh?t ð? liên l?c v?i Alice.

Khãìc phuòc sýò côì

S? d?ng IPSecMon ð? ki?m tra chính sách c?a b?n

Windows 2000 bao g?m m?t ti?n ích (IPSecMon.exe) mà b?n có th? s? d?ng ð? th? nghi?m cho dù m?t hi?p h?i b?o m?t IPSec thành công l?p. Ð? b?t ð?u IPSecMon:

1. Nh?p vào B?t ð?u, sau ðó b?m Ch?y.
2. Loaòi: ipsecmon, vaø sau ñoù baám NH?P.
3. Nh?p vào TuyÌ choòn.
4. Thay ð?i kho?ng th?i gian làm m?i ð? 1.

B?n ph?i thi?t l?p giao ti?p t? m?t trong nh?ng ði?m cu?i ð? các khác. Có th? có m?t s? ch?m tr? v? ph?i m?t m?t vài giây cho là hai ði?m cu?i ð? trao ð?i thông tin m?t m? và hoàn thành các Hi?p h?i an ninh. B?n có th? quan sát hành vi này t?i IPSecMon. Khi là hai ði?m cu?i m?i xây d?ng c?a h? các Hi?p h?i b?o m?t, b?n có th? quan sát m?t m?c nh?p trong IPSecMon hi?n th? ðây hành vi.

N?u b?n mong ð?i m?t hi?p h?i an ninh ðý?c xây d?ng, nhýng không có g? x?y ra, quay tr? l?i và xem xét danh sách b? l?c trên m?i ði?m cu?i. Ð?m b?o b?n ð? nh?n ðý?c ð?nh ngh?a chính xác cho các giao th?c mà b?n s? d?ng nhý b?n có th? d? dàng ð?o ngý?c các ð?a ch? ngu?n và ðích ho?c ð?o ngý?c các c?ng. B?n có th? xem xét vi?c t?o ra m?t b? l?c m?i danh sách ðó ch? ð?nh t?t c? lýu lý?ng truy c?p. Ngoài ra, b?n có th? thêm m?t quy t?c m?i chính sách s? d?ng danh sách b? l?c này, và sau ðó vô hi?u hóa quy t?c hi?n có. Th?c hi?n các bý?c trên c? hai ði?m cu?i. Sau ðó, b?n có th? s? d?ng các Ping l?nh ð? ki?m tra k?t n?i: các Ping l?nh có th? hi?n th? "Negotiating IP b?o m?t" trong b?o m?t Hi?p h?i giai ðo?n, và sau ðó hi?n th? k?t qu? b?nh thý?ng c?a nó khi b?o m?t Hi?p h?i ðý?c thành l?p.

NAT và IPSec không týõng thích

N?u có b?t k? b?n d?ch ð?a ch? m?ng (NAT) gi?a hai hai ði?m cu?i, IPSec không ho?t ð?ng. IPSec embeds ði?m cu?i ð?a ch? nhý là m?t ph?n c?a các t?i tr?ng chi?n ð?u. IPSec c?ng s? d?ng ngu?n ð?a ch? khi nó tính gói kh? trý?c khi g?i các gói trên dây. NAT có th? thay ð?i ð?a ch? ngu?n c?a các gói d? li?u ra bên ngoài, và các ði?m ð?n s? d?ng các ð?a ch? trong tiêu ð? khi nó tính kh? riêng c?a m?nh. Ban ð?u ngu?n tính kh?, ð?u trang b? các gói d? li?u, không kh?p kh? tính ðích, và các ði?m ð?n có th? th? các gói. B?n không th? s? d?ng IPSec v?i b?t k? lo?i NAT thi?t b?.