COMO: Utilizar o monitor IPSec no Windows Server 2003

O Windows Server 2003 suporta a utilização da segurança do protocolo Internet (IPSec, Internet Protocol security) para proteger as comunicações entre computadores. O IPSec é um protocolo com suporte para várias plataformas. Os computadores baseados no Windows Server 2003 utilizam políticas IPSec para controlar as comunicações que devem utilizar o IPSec. Um computador poderá necessitar de utilizar o IPSec para proteger todas as comunicações ou apenas um subconjunto de todas as comunicações. Os filtros de IPSec são utilizados no controlo da aplicação do IPSec.

Para testar as políticas IPSec, utilize o monitor IPSec. O monitor IPSec (Ipsecmon.exe) fornece informações sobre a política IPSec activa e se existe um canal seguro implementado entre computadores.

Iniciar o monitor IPSec

No Microsoft Windows XP e Windows Server 2003, o Monitor de segurança IP (IP Security Monitor) é implementado como um snap-in da Consola de gestão da Microsoft (MMC, Microsoft Management Console). Para adicionar o snap-in Monitor de segurança IP (IP Security Monitor), siga estes passos:

1. Clique em Iniciar (Start), clique em Executar (Run), escreva mmc e, em seguida, clique em OK.
2. Na MMC, clique em Ficheiro (File), clique em Adicionar/remover snap-in (Add/Remove Snap-in) e, em seguida, clique em Adicionar (Add).
3. Clique em Monitor de segurança IP (IP Security Monitor) e, em seguida, clique em Adicionar (Add).
4. Clique em Fechar (Close) e, em seguida, clique em OK.

NOTA: para guardar as definições da consola, clique em Guardar (Save) no menu Ficheiro (File).

Para adicionar um computador ao snap-in Monitor de segurança IP (IP Security Monitor), siga estes passos:

1. Crie uma consola que contenha o Monitor de segurança IP (IP Security Monitor). Ou abra um ficheiro de consola guardado que contenha o Monitor de segurança IP (IP Security Monitor).
2. Na árvore da consola, clique com o botão direito do rato em Monitor de segurança IPIP Security Monitor e, em seguida, clique em Adicionar computador (Add computer).
3. Na caixa de diálogo Adicionar computador (Add computer):
   • Para o computador local, clique em Este computador (This computer).
     
     - ou -
   • Para um computador remoto, clique em O seguinte computador (The following computer) e, em seguida, escreva o nome do computador remoto. Ou clique em Procurar (Browse) para o localizar na rede.

Para ver o funcionamento do monitor IPSec, necessita de dois computadores baseados no Windows Server 2003 que sejam membros do mesmo domínio do Windows Server 2003. Um computador é o cliente IPSec e o outro computador é o servidor IPSec. As duas secções seguintes descrevem como configurar o computador cliente IPSec e o servidor IPSec para testar uma política de segurança.

Computador cliente IPSec

1. Clique em Iniciar (Start), aponte para Definições (Settings) e, em seguida, clique em Painel de controlo (Control Panel).
2. Faça duplo clique em Ferramentas administrativas (Administrative Tools) e, em seguida, faça duplo clique em Política de segurança local (Local Security Policy).
3. Clique no nó Políticas de segurança IP em computador local (IP Security Settings on Local Computer) no painel à esquerda e, em seguida, faça duplo clique sobre a política Cliente (apenas responder) [Client (Respond Only)] no painel à direita.
4. Clique para desmarcar a caixa de verificação Dinâmico (Dynamic) e, em seguida, clique em Adicionar (Add).
5. No Assistente para regra de segurança (Security Rule Wizard), clique em Seguinte (Next).
6. Na caixa de diálogo Fim do túnel (Tunnel Endpoint), clique em Esta regra não especifica um túnel (This rule does not specify a tunnel) e, em seguida, clique em Seguinte (Next).
7. Na caixa de diálogo Tipo de rede (Network Type), clique em Todas as ligações de rede (All network connections) e, em seguida, clique em Seguinte (Next).
8. Na caixa de diálogo Método de autenticação (Authentication Method), clique em Predefinição de Active Directory (protocolo Kerberos V5) [Active Directory default (Kerberos V5 protocol)], clique em Seguinte (Next) e, em seguida, clique em Concluir (Finish).
9. Na caixa de diálogo Lista de filtros IP (IP Filter List), clique em Todo o tráfego ICMP (All ICMP Traffic) e, em seguida, clique em Seguinte (Next).
10. Na caixa de diálogo Acções do filtro (Filter Action), clique em Pedir segurança (Require Security) e, em seguida, clique em Seguinte (Next).
11. Clique em Aplicar (Apply) e, em seguida, clique em OK.
12. Clique em Fechar (Close).

Servidor IPSec

1. Clique em Iniciar (Start), aponte para Definições (Settings) e, em seguida, clique em Painel de controlo (Control Panel).
2. Faça duplo clique em Ferramentas administrativas (Administrative Tools) e, em seguida, faça duplo clique em Política de segurança local (Local Security Policy).
3. Clique no nó Políticas de segurança IP em computador local (IP Security Settings on Local Computer) no painel à esquerda e, em seguida, faça duplo clique sobre a política Servidor seguro (Pedir segurança) [Secure Server (Require Security)] no painel à direita.
4. Clique para desmarcar as caixas de verificação Todo o tráfego IP (All IP Traffic) e Dinâmico (Dynamic) e, em seguida, clique para seleccionar a caixa de verificação Todo o tráfego ICMP (All ICMP Traffic).
5. Faça duplo clique na regra Todo o tráfego ICMP (All ICMP Traffic).
6. Clique no separador Acção do filtro (Filter Action) e, em seguida, clique em Pedir segurança (Require Security).
7. Clique em Aplicar (Apply) e, em seguida, clique em OK.
8. Clique em Fechar (Close).
9. No computador cliente IPSec, inicie o monitor IPSec.
10. A partir de uma linha de comandos, escreva ping -t ipsec_server_ip_address.
    
    Nos primeiros segundos, aparece uma mensagem de negociação de política IPSec e, em seguida, são apresentadas as respostas de eco do protocolo de mensagens de controlo da Internet (ICMP, Internet Control Message Protocol). Quando o monitor IPSec é colocado em primeiro plano, verifica que a associação da segurança IPSec está estabelecida e o nome do filtro é listado como ICMP.
11. Feche a janela de comandos para parar o comando ping.
    
    Tenha em atenção que a associação da segurança IPSec se mantém durante um breve período de tempo antes do tempo limite ser excedido.

Para restaurar as políticas IPSec predefinidas em cada computador:

1. Clique com o botão direito do rato no nó Políticas de segurança IP (IP Security Policies) no painel à esquerda, aponte para Todas as tarefas (All Tasks) e, em seguida, clique em Restaurar políticas predefinidas (Restore Default Policies).
2. Clique em Sim (Yes) quando receber a mensagem de pedido de confirmação.
3. Clique em OK para confirmar que os valores predefinidos das políticas predefinidas foram repostos.