Cara mengkonfigurasi IPSec Tunneling pada Windows Server 2003

Kembali ke atas

Membuat kebijakan IPSec

1. Klik Mulai, klik Menjalankan, kemudian ketik secpol.MSC untuk memulai kebijakan keamanan IP Snap-in manajemen.
2. Klik kanan Kebijakan keamanan IP pada lokal Komputer, lalu klik Membuat keamanan IP Kebijakan.
3. Klik Berikutnya, dan kemudian ketik nama Anda kebijakan (misalnya, IPSec Tunnel dengan non - Microsoft Gateway). KlikBerikutnya.
   
   Catatan Anda juga bisa mengetik informasi dalamDeskripsi kotak.
4. Klik untuk menghapus Mengaktifkan respon default aturan Periksa kotak, dan kemudian klik Berikutnya.
5. Klik Menyelesaikan (meninggalkanMengedit Pilih kotak centang).

Kembali ke atas

Membuat daftar Filter dari NetA untuk NetB

1. Dalam sifat-sifat kebijakan baru, klik untuk mengosongkanPenggunaan menambahkan Wizard Periksa kotak, dan kemudian klik Tambahkanuntuk membuat aturan baru.
2. Klik IP saringan tab, dan kemudian klikTambahkan.
3. Ketik nama yang sesuai untuk daftar filter, klik untuk jelas Penggunaan menambahkan Wizard Periksa kotak, dan kemudian klikTambahkan.
4. Dalam Alamat sumber kotak, klik A Subnet IP tertentu, kemudian ketik Alamat IPdan Subnet maskuntuk untuk NetA.
5. Dalam Alamat tujuan kotak, klikSubnet IP tertentu, kemudian ketik IP Alamat dan Subnet mask untuk NetB.
6. Klik untuk menghapus Cermin kotak centang.
7. Klik Protokol tab. memastikan bahwajenis protokol diatur ke Setiap, karena IPSec terowongan tidak mendukung protokol khusus atau port khusus filter.
8. Jika Anda ingin ketik keterangan filter, klik The Deskripsi tab. Hal ini umumnya ide yang baik untuk memberikan Filter nama yang sama yang Anda gunakan untuk daftar penyaring. Nama Penyaring muncul di monitor IPSec ketika terowongan aktif.
9. Klik Oke.

Kembali ke atas

Membuat daftar Filter dari NetB untuk NetA

1. Klik IP saringan tab, dan kemudian Klik Tambahkan.
2. Ketik nama yang sesuai untuk daftar filter, klik untuk jelas Penggunaan menambahkan Wizard Periksa kotak, dan kemudian klikTambahkan.
3. Dalam Alamat sumber kotak, klik A Subnet IP tertentu, kemudian ketik Alamat IPdan Subnet mask untuk NetB.
4. Dalam Alamat tujuan kotak, klikSubnet IP tertentu, kemudian ketik IP Alamat dan Subnet mask untuk NetA.
5. Klik untuk menghapus Cermin kotak centang.
6. Jika Anda ingin ketik keterangan filter, klik The Deskripsi tab.
7. Klik Oke.

Kembali ke atas

Mengkonfigurasi aturan untuk terowongan NetA-NetB

1. Klik IP saringan tab, dan kemudian Klik untuk memilih filter daftar yang Anda buat.
2. Klik Terowongan pengaturan tab, klikTerowongan endpoint ditentukan oleh alamat IP ini kotak, dan kemudian ketik 3rdextip (di mana3rdextip alamat IP yang diberikan untuk non-Microsoft gateway eksternal adaptor jaringan).
3. Klik Jenis sambungan tab, klikSemua sambungan jaringan (atau klik Jaringan area lokal (LAN) Jika WIN2003extIP bukanlah ISDN, PPP, atau direct-connect serial koneksi).
4. Klik Penyaring tindakan tab, klik untuk jelas Penggunaan menambahkan Wizard Periksa kotak, dan kemudian klikTambahkan untuk membuat penyaring tindakan baru karena tindakan bawaan membolehkan lalu lintas masuk dalam bentuk teks.
5. Tetap Bernegosiasi keamanan pilihan diaktifkan, dan kemudian klik untuk mengosongkan Menerima komunikasi tanpa jaminan, tapi selalu menanggapi menggunakan IPSec kotak centang. Anda harus melakukan hal ini untuk aman operasi.
   
   Catatan Tak satu pun dari kotak centang di bagian bawah Penyaring Tindakan kotak dialog yang dipilih sebagai konfigurasi awal untuk Penyaring tindakan yang berlaku untuk terowongan aturan. Hanya Penggunaan sesi kunci kerahasiaan maju sempurna (PFS) kotak centang adalah pengaturan berlaku untuk terowongan Jika ujung terowongan juga dikonfigurasi untuk menggunakan PFS.
6. Klik Tambahkan, dan tetap Integritas dan enkripsi opsi yang dipilih (atau Anda dapat memilih Custom (untuk pengguna ahli) pilihan jika Anda ingin mendefinisikan algoritma tertentu dan tahan kunci sesi). Encapsulating keamanan muatan (ESP) adalah salah satu dua protokol IPSec.
7. Klik Oke. KlikGeneral tab, ketik sebuah nama untuk tindakan penyaring baru (untuk contoh, IPSec tunnel: ESP DES/MD5), lalu klik Oke.
8. Klik untuk memilih penyaring tindakan yang baru saja Anda buat.
9. Klik Metode otentikasi tab, mengkonfigurasi metode otentikasi yang Anda inginkan (penggunaan kunci preshared untuk pengujian, dan jika tidak menggunakan sertifikat). Kerberos adalah teknis mungkin jika kedua ujung terowongan dalam domain yang terpercaya, dan masing-masing dipercaya alamat IP domain (IP alamat dari kontroler domain) dicapai pada jaringan oleh kedua ujung terowongan selama negosiasi IKE terowongan (sebelum itu didirikan). Tapi ini langka.
10. Klik Tutup.

Kembali ke atas

Mengkonfigurasi aturan untuk terowongan NetB NetA

1. Pada IPSec kebijakan properti, klik Tambahkan untuk membuat aturan baru.
2. Klik IP saringan tab, klik untuk Pilih daftar penyaring yang Anda buat (dari NetB untukNetA).
3. Klik Terowongan pengaturan tab, klikTerowongan endpoint ditentukan oleh alamat IP ini kotak, dan kemudian ketik WIN2003extIP (di manaWIN2003extIP alamat IP yang diberikan untuk Windows Server 2003 gateway eksternal adaptor jaringan).
4. Klik Jenis sambungan tab, klikSemua sambungan jaringan (atau klik Jaringan area lokal (LAN) Jika WIN2003extIP bukanlah ISDN, PPP, atau direct-connect serial koneksi). Lalu lintas keluar pada antarmuka jenis yang sesuai dengan filter mencoba dilintasi untuk akhir terowongan yang ditetapkan dalam aturan. Lalu lintas masuk yang sesuai dengan filter tersebut akan dibuang karena itu harus menerima diamankan oleh terowongan IPSec.
5. Klik Penyaring tindakan tab, dan kemudian klik untuk Pilih penyaring tindakan yang Anda buat.
6. Klik Metode otentikasi tab, dan kemudian mengkonfigurasi metode yang sama yang digunakan dalam aturan pertama (metode yang sama harus digunakan dalam kedua aturan).
7. Klik Oke, pastikan kedua aturan yang Anda buat diaktifkan pada kebijakan Anda, dan kemudian klik Oke lagi.

Kembali ke atas

Menetapkan kebijakan IPSec Anda baru untuk Windows Server 2003 Gateway Anda

Local IPSec Policy Active: 'IPSec tunnel with {tunnel endpoint}' IP Security Policy Path:
SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\ipsecPolicy{-longnumber-} 

There are two filters
From NetA to NetB
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC] 
Rekey: 0 seconds / 0 bytes. 
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetA Src Mask: -subnet mask-
Dest Addr: NetB Dest Mask: -subnet mask-
Tunnel Addr: 3rdExtIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags : Outbound
From NetB to NetA
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC] 
Rekey: 0 seconds / 0 bytes. 
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetB Src Mask: -subnet mask-
Dest Addr: NetA Dest Mask: -subnet mask-
Tunnel Addr: W2KextIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags: Inbound

Kembali ke atas

Mengkonfigurasi Routing dan Remote akses penyaringan

Application layer 
Transport layer (TCP|UDP|ICMP|RAW) 
---- Network layer start ---- 
IP Packet Filter (where NAT/Routing and Remote Access filtering is done) 
IPSec (where IPSec filters are implemented) 
Fragmentation/Reassembly 
---- Network layer end ------ 
NDIS Interface 
Datalink layer 
Physical layer 

1. Memperluas pohon server Anda di bawah Routing dan Remote Akses, memperluas IP Routing sub pohon, dan kemudian klikGeneral.
2. Klik kanan WIN2003extIP, dan kemudian klik Properti.
3. Klik Filter keluar, lalu klikBaru.
4. Klik untuk memilih Sumber jaringan danTujuan jaringan kotak centang.
5. Dalam Sumber jaringan Ketik jenisAlamat IP dan Subnet mask untuk NetA.
6. Dalam Tujuan jaringan kotak, jenis The Alamat IP dan Subnet mask untuk NetB.
7. Menjaga protokol yang mengatur Setiap, dan kemudian Klik Oke.
8. Klik Baru, dan kemudian klik untuk memilihSumber jaringan dan Tujuan jaringan Periksa kotak.
9. Dalam Sumber jaringan Ketik jenisAlamat IP dan Subnet mask untukWIN2003extIP.
10. Dalam Tujuan jaringan kotak, jenis The Alamat IP dan Subnet mask untuk 3rdExtIP (untuk IKE negosiasi menggunakan subnet topeng 255.255.255.255).
11. Menjaga protokol yang mengatur Setiap, dan kemudian Klik Oke.
12. Klik untuk memilih Drop paket semua kecuali yang yang memenuhi kriteria di bawah ini Periksa kotak, dan kemudian klikOke.
13. Klik Masukan filter, klikTambahkan, dan kemudian klik untuk memilih Sumber jaringan dan Tujuan jaringan kotak centang.
14. Dalam Sumber jaringan Ketik jenisAlamat IP dan Subnet mask untukNetB.
15. Dalam Tujuan jaringan kotak, jenis The Alamat IP dan Subnet mask untuk NetA.
16. Menjaga protokol yang mengatur Setiap, dan kemudian Klik Oke.
17. Klik Baru, dan kemudian klik untuk memilihSumber jaringan dan Tujuan jaringan Periksa kotak.
18. Dalam Sumber jaringan Ketik jenisAlamat IP dan Subnet mask untuk 3rdExtIP.
19. Dalam Tujuan jaringan kotak, jenis The Alamat IP dan Subnet mask untuk WIN2003extIP (untuk IKE negosiasi menggunakan subnet topeng 255.255.255.255).
20. Menjaga protokol yang mengatur Setiap, dan kemudian Klik Oke.
21. Klik untuk memilih Drop paket semua kecuali yang yang memenuhi kriteria di bawah ini Periksa kotak, dan kemudian klikOke dua kali.
    
    Catatan Jika server Routing dan akses jauh memiliki lebih dari satu antarmuka yang terhubung ke Internet, atau jika Anda memiliki beberapa IPSec terowongan membuat Routing dan akses jauh dibebaskan filter untuk setiap IPSec terowongan (masing-masing sumber dan tujuan subnet IP) untuk setiap antarmuka Internet.

Kembali ke atas

Mengkonfigurasi rute statis dalam Routing dan Remote akses

• Lalu lintas terowongan keluar daun pada satu antarmuka, dan inbound terowongan lalu lintas yang diterima pada antarmuka yang berbeda. Bahkan jika Anda menggunakan IPSec offload adapter jaringan, menerima pada antarmuka yang berbeda (daripada lalu lintas terowongan keluar dikirim) tidak memungkinkan jaringan menerima adaptor untuk proses enkripsi di hardware, karena hanya keluar antarmuka dapat offload keamanan Association (SA).
• Lalu lintas terowongan keluar daun pada antarmuka yang berbeda dari antarmuka yang memiliki alamat IP endpoint terowongan. The sumber IP paket terobosan akan menentukan adalah sumber IP pada antarmuka keluar. Jika Hal ini tidak IP sumber yang diharapkan oleh ujung, terowongan bukanlah didirikan (atau paket dijatuhkan oleh endpoint terpencil jika terowongan telah ditetapkan).

1. Dalam Routing dan akses jauh MMC, memperluas server Anda pohon, memperluas IP Routing subtree, klik kananRute statis, lalu klik Baru statis Rute.
2. Dalam Antarmuka kotak, klikWIN2003extIP (jika ini adalah antarmuka yang ingin Anda selalu gunakan untuk lalu lintas terowongan keluar).
3. Jenis Tujuan jaringan dan Jaringan topeng untuk NetB.
4. Dalam Gateway kotak, jenis3rdextip.
5. Tetap Metrik nilai set nilai (1), lalu klik Oke.
   
   Catatan Untuk mengatasi masalah menerima lalu lintas terowongan inbound pada antarmuka yang salah, tidak mengiklankan antarmuka alamat IP dengan menggunakan routing protokol. Juga, mengkonfigurasi penyaring dalam Routing dan layanan akses jauh ke drop paket untuk NetA atauWIN2003extIP seperti ditunjukkan dalam "Mengkonfigurasi Routing dan Remote akses Pemfilteran"bagian dari artikel ini.

Kembali ke atas

Menguji IPSec Tunnel

Kembali ke atas

Mengaktifkan audit untuk Logon acara dan objek akses

1. Menggunakan snap-in MMC kebijakan grup, memperluas Lokal Kebijakan komputer, memperluas Konfigurasi komputer, memperluas Pengaturan Windows, memperluas Keamanan Tataan, memperluas Kebijakan lokal, lalu klikAudit kebijakan.
2. Mengaktifkan Sukses dan Kegagalan Audit untuk Audit logon peristiwa dan Audit objek akses.
   
   Catatan Jika Windows Server 2003 gateway adalah anggota domain dan Jika Anda menggunakan domain kebijakan untuk audit, domain kebijakan akan menimpa kebijakan lokal Anda. Dalam kasus ini, mengubah domain kebijakan.

Kembali ke atas

Monitor Keamanan IP

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Klik Berkas, klik Tambah/Hapus Snap-in, lalu klik Tambahkan.
3. Klik Monitor Keamanan IP, lalu klikTambahkan.
4. Klik Tutup, lalu klikOke.

Kembali ke atas

Monitor Jaringan

1. Klik Mulai, klik Kontrol Panel, klik Tambah atau Hapus Program, lalu klikMenambahkan/menghapus komponen Windows.
2. Pada Wisaya Komponen Windows, klik Manajemen dan pemantauan Tools, lalu klik Rincian.
3. Dalam -Masing subkomponen dari pengelolaan dan pemantauan Alat, klik untuk memilih Alat-alat Monitor JaringanPeriksa kotak, dan kemudian klik Oke.
4. Jika Anda diminta untuk file-file tambahan, masukkan CD penginstalan untuk sistem operasi Anda, atau ketik lintasan lokasi file pada jaringan.

Kembali ke atas

Pengujian yang sebenarnya

1. Sebelum Anda mencoba untuk ping dari komputer pada subnet satu untuk (lainNetA atau NetB), jenis ipconfig pada prompt perintah. Jaringan antarmuka yang diinisialisasi di TCP/IP stack ditampilkan.
2. Mulai menjalankan alat IP keamanan Monitor.
3. Mulai menjalankan jaringan Monitor, dan kemudian padaMenangkap menu, klik Jaringan. KlikWIN2003extIP antarmuka, dan kemudian klikOke.
4. Mencoba untuk ping komputer. Paket-paket gema ICMP pertama mungkin waktu keluar sementara IPSec terowongan dibangun. Jika ping ini tidak berhasil, Periksa log keamanan dan sistem.
5. Jika ping berhasil, berhenti menangkap Monitor Jaringan dan melihat jika lalu lintas ICMP melanjutkan "jelas" atau jika Anda hanya melihat ISAKMP dan Paket-paket protokol IPSec. Periksa IP keamanan Monitor untuk melihat jika SA diciptakan menggunakan NetA untuk NetBfilter yang Anda buat. Juga periksa log keamanan. Anda harus melihat acara ID 541 (IKE keamanan Asosiasi didirikan).
6. Jenis ipconfig pada prompt perintah lagi untuk memverifikasi bahwa tidak ada tambahan TCP/IP antarmuka sementara terowongan ini digunakan. Perilaku ini terjadi karena IPSec melindungi lalu lintas yang akan melalui antarmuka fisik)WIN2003extIP).
   
   Jika gateway jauh adalah juga sebuah simpul Windows Server 2003, ingat bahwa:
   • Gateway default untuk klien di NetA adalah WIN2003extIP. The gateway default untuk klien di NetB adalah 3rdIntIP.
   • Terowongan IPSec tidak mengubah cara lalu lintas diarahkan dalam gerbang Windows Server 2003. (Gateway ini dapat rute paket karena routing diaktifkan dalam Routing dan akses jauh. Sebenarnya LAN atau WAN antarmuka metrik masih digunakan.)

Kembali ke atas

• IPSec
  http://www.IETF.org/RFC/rfc2401.txt (http://www.ietf.org/rfc/rfc2401.txt)
• L2TP
  http://www.IETF.org/HTML.Charters/pppext-charter.html (http://www.ietf.org/html.charters/pppext-charter.html)
  FTP://FTP.isi.edu/in-Notes/rfc2661.txt (ftp://ftp.isi.edu/in-notes/rfc2661.txt)
  http://www.IETF.org/HTML.Charters/l2tpext-charter.html (http://www.ietf.org/html.charters/l2tpext-charter.html)

Kembali ke atas