Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
EmailArtigo: 816514 - Última revisão: segunda-feira, 3 de Dezembro de 2007 - Revisão: 6.4 Como configurar o IPSec Tunneling in Windows Server 2003
Para obter uma versão do Microsoft Windows 2000 deste artigo, consulte 252735
(http://support.microsoft.com/kb/252735/EN-US/
)
. NESTA TAREFA
Nesta páginaSumárioPode utilizar a segurança IP (IPSec) em modo de túnel para encapsular pacotes IP (protocolo Internet) e, opcionalmente, encriptá-las. O motivo principal para utilizar o modo de túnel IPSec (por vezes referido como "túnel IPSec puro") no Windows Server 2003 é para interoperabilidade com fabricantes routers ou gateways que não suportam Layer 2 Tunneling Protocol (L2TP) / tecnologia de túnel (VPN) de rede privadas virtuais IPSec ou PPTP. back to the top O Windows Server 2003 suporta a utilização de túneis IPSec para situações onde ambos os pontos finais de túnel utilizarem endereços IP estáticos. Isto é útil principalmente em implementações de gateway a gateway. No entanto, também poderá funcionar para cenários de segurança de rede especializada entre um gateway ou router e um servidor. (Por exemplo, um router do Windows Server 2003 que encaminha tráfego a partir da respectiva interface externa para um computador interno baseado no Windows Server 2003 que protege o caminho interno estabelecendo um túnel IPSec para o servidor interno que fornece serviços aos clientes externos). Utilização de túneis IPSec do Windows Server 2003 não é suportada para o cliente de acesso remoto VPN utilizar porque os pedidos de IPSec do IETF (Internet Engineering Task Force) de comentários (RFC, Requests for Comments) não está actualmente fornecer uma solução de acesso remoto de IKE (Internet Key Exchange) protocolo para ligações de cliente-a-gateway. IETF RFC 2661, Layer Two Tunneling Protocol "L2TP", foi desenvolvido especificamente pela Cisco, Microsoft e outros para fornecer ligações VPN de acesso remoto de cliente. No Windows Server 2003, ligações de VPN de acesso remoto de cliente são protegidas através de uma política IPSec gerada automaticamente pelo modo de transporte IPSec (modo de túnel não) quando é seleccionado o tipo de túnel L2TP. Utilização de túneis IPSec do Windows Server 2003 também não suporta túneis específicos de protocolo e específico da porta. Enquanto o snap-in Política de IPSec da consola de gestão da Microsoft é muito geral e permite-lhe associar qualquer tipo de filtro com um túnel, certifique-se que utiliza apenas informações de endereço na especificação de um filtro para uma regra de túnel. Para mais informações sobre como funcionam os protocolos IPSec e IKE, consulte o Microsoft Windows Server 2003 Resource Kit . Este artigo descreve como configurar uma IPSec túnel num gateway de Windows Server 2003. Porque o túnel IPSec protege apenas o tráfego que é especificado no filtros de IPSec que configurou, este artigo também descreve como configurar filtros no serviço de encaminhamento e acesso remoto para evitar tráfego fora túnel sejam recebidos ou reencaminhado. Este artigo utiliza o seguinte cenário para facilitar a seguir os passos de configuração: Reduzir esta tabela
NetAé o ID de rede da rede interna do gateway de Windows Server 2003. WIN2003intIPé o endereço IP atribuído à placa de rede interna de gateway de Windows Server 2003. WIN2003extIPé o endereço IP atribuído a placa de rede externa do gateway de Windows Server 2003. 3rdExtIPé o endereço IP atribuído a placa de rede externas não-Microsoft gateway. 3rdIntIPé o endereço IP atribuído a placa de rede interno gateway que não sejam da Microsoft. NetBé o ID da rede interna não-Microsoft gateway de rede. O objectivo é para o gateway de Windows Server 2003 e o gateway que não sejam da Microsoft para estabelecer um túnel IPSec quando o tráfego de NetA deve ser encaminhado para NetB ou quando o tráfego de NetB deve ser encaminhado para NetA para que tráfego é encaminhado através de uma sessão segura. Se pretender configurar uma política IPSec, tem de criar dois filtros: um filtro para fazer corresponder pacotes de NetA para NetB (túnel 1) e um filtro para fazer corresponder pacotes de NetB para NetA (túnel 2). Tem de configurar uma acção de filtro para especificar como o túnel é protegido (um túnel é representado por uma regra, pelo que são criadas duas regras). back to the top Criar política IPSecNormalmente, um gateway de Windows Server 2003 não é um membro de um domínio, para é criada uma política IPSec local. Se o gateway de Windows Server 2003 for um membro de um domínio que tenha a política IPSec aplicada a todos os membros do domínio por predefinição, esta impede que o gateway de Windows Server 2003 a partir de ter uma política IPSec local. Neste caso, pode criar uma unidade organizacional no Active Directory, torne o gateway de Windows Server 2003 membro desta unidade organizacional e atribuir a política IPSec ao objecto de política de grupo (GPO, Group Policy Object) da unidade organizacional. Para mais informações, consulte a secção "Criar, modificar e atribuir políticas IPSec" Windows Server 2003 ajuda online.
back to the top Criar uma lista de filtros a partir do NetA para NetB
Criar uma lista de filtros a partir do NetB para NetA
Configurar uma regra para um túnel NetA para NetB
Configurar uma regra para um túnel NetB para NetA
Atribuir a nova política de IPSec para o Gateway Server do WindowsNa políticas de segurança IP no snap-in MMC de computador local, clique com o botão direito do rato a nova política e, em seguida, clique em atribuir . Aparece uma seta verde no ícone da pasta junto à política.Depois da política está atribuída, terá dois filtros activos adicionais (encaminhamento e acesso remoto cria automaticamente filtros de IPSec para tráfego de L2TP). Para ver os filtros de Active Directory, escreva o seguinte comando numa linha de comandos: netdiag/test: IPSec /debug Pode, opcionalmente, redireccionar a saída deste comando para um ficheiro de texto para que possa visualizar com um editor de texto (tal como o bloco de notas), escrevendo o seguinte comando: netdiag/test: IPSec /debug >filename .txt O comando netdiag está disponível depois de instalar o ferramentas de suporte do Microsoft Windows Server 2003. Para instalar as ferramentas de suporte, localize a pasta Support\Tools no CD-ROM do Windows Server 2003, clique com o botão direito do rato no ficheiro Suptools.msi e, em seguida, clique em instalar . Após a instalação, poderá ser necessário que executar o comando netdiag da pasta %SystemRoot% \Programas\Support Tools (em que %SystemRoot% é a unidade onde o Windows Server 2003 está instalado).Os filtros de túnel semelhante ao seguinte exemplo:
Local IPSec Policy Active: 'IPSec tunnel with {tunnel endpoint}' IP Security Policy Path:
SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\ipsecPolicy{-longnumber-}
There are two filters
From NetA to NetB
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetA Src Mask: -subnet mask-
Dest Addr: NetB Dest Mask: -subnet mask-
Tunnel Addr: 3rdExtIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags : Outbound
From NetB to NetA
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetB Src Mask: -subnet mask-
Dest Addr: NetA Dest Mask: -subnet mask-
Tunnel Addr: W2KextIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags: InboundConfigurar o encaminhamento e acesso remoto filtragemSe pretender impedir que o tráfego que não tem uma origem ou endereço de destino que corresponda ao NetA ou NetB, crie um filtro de saída para a interface externa em Encaminhamento e acesso remoto MMC para que o filtro ignora todo o tráfego excepto os pacotes de NetANetB. Também crie um filtro de entrada para que o filtro ignora todo o tráfego excepto os pacotes de NetBNetA. Também tem de permitir tráfego de e para WIN2003extIP e 3rdExtIP para permitir que a negociação IKE quando está a criar o túnel. Encaminhamento e acesso remoto a filtragem é efectuada através de IPSec. Não é necessário que permitir especificamente a IPSec protocolo porque nunca atinge a camada de filtro de pacotes IP. O exemplo seguinte é uma representação muito simples de TCP/IP no Windows Server 2003 arquitectura:Application layer Transport layer (TCP|UDP|ICMP|RAW) ---- Network layer start ---- IP Packet Filter (where NAT/Routing and Remote Access filtering is done) IPSec (where IPSec filters are implemented) Fragmentation/Reassembly ---- Network layer end ------ NDIS Interface Datalink layer Physical layer
Configurar rotas estáticas no encaminhamento e acesso remotoO gateway de Windows Server 2003 tem de ter uma rota na tabela de rota para NetB. Para configurar esta rota, adicione uma rota estática no encaminhamento e acesso remoto MMC. Se o gateway de 2003 do Windows Server é multihomed com duas ou mais placas de rede na mesma rede externa (ou duas ou mais redes que podem alcançar o destino do túnel IP 3rdExtIP), existe o potencial para a seguinte:
Testar o túnel IPSecPode iniciar o túnel efectuando o ping de um computador no NetA para um computador NetB (ou de NetB para NetA). Se tiver criado correctamente os filtros e atribuiu a política correcta, dois gateways estabelecer um túnel IPSec para que poderem enviar o tráfego ICMP do comando ping em formato encriptado. Mesmo se o comando ping funciona, verifique o ICMP tráfego foi enviado em formato encriptado do gateway a gateway. Pode utilizar as seguintes ferramentas para o fazer.back to the top Activar a auditoria de eventos de início de sessão e o acesso a objectosEste regista eventos no registo de segurança. Isto indica se IKE negociação de associação de segurança foi tentada e se era efectuada com êxito ou não.
Monitor de segurança IPA consola Monitor de segurança IP mostra as estatísticas IPSec e associações de segurança activas (SA, Security ASSOCIATION). Depois de tentar estabelecer o túnel, utilizando o comando ping , pode ver se uma SA foi criada (se a criação de túnel tiver êxito, uma SA é apresentada). Se o comando ping com êxito mas não existe nenhum SA, o tráfego ICMP não foi protegido pelo IPSec. Se vir uma "associação temporária" que não existia anteriormente, o IPSec combina permitir este tráfego ir "Limpar" (sem encriptação).Para obter informações adicionais sobre "Associações de software", clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:234580
(http://support.microsoft.com/kb/234580/EN-US/
)
"Associações temporárias" entre os computadores IPSec-activado e não-IPSec-activado Nota No Microsoft Windows XP e na família Windows Server 2003, IP Security Monitor é implementado como uma consola Microsoft Management Console (MMC). Para adicionar o snap-in Monitor de segurança IP, siga estes passos:
Monitor de redePode utilizar o Monitor de rede para capturar tráfego percorrer a interface WIN2003extIP enquanto tenta efectuar o ping do computador. Se conseguir visualizar pacotes ICMP no ficheiro de captura tem origem e endereços IP de destino que corresponda aos endereços IP do computador que são ping do e do computador que está a tentar efectuar o ping, em seguida, IPSec está não proteger o tráfego. Se não vir este tráfego ICMP mas conseguir visualizar pacotes ISAKMP e o ESP em vez disso, IPSec está a proteger o tráfego. Se estiver a utilizar apenas o protocolo de cabeçalho de autenticação (AH, Authentication Header) IPSec, verá o tráfego ISAKMP seguido os pacotes ICMP. Pacotes ISAKMP são a negociação IKE real ocorra e pacotes ESP são os dados de payload encriptados pelo IPSec no protocolo.Para instalar o Monitor de rede, siga estes passos:
Teste real
ReferênciasPara mais informações sobre o serviço Encaminhamento e acesso remoto, consulte a ajuda online do Windows Server 2003. Para ver o Windows Server 2003 Resource Kit e outra documentação técnica, visite o seguinte Web site da Microsoft: http://www.microsoft.com/windowsserver2003/default.mspx
(http://www.microsoft.com/windowsserver2003/default.mspx)
Para informações de padrões do IETF, visite os seguintes sites:
A informação contida neste artigo aplica-se a:
 Tradução automáticaIMPORTANTE: Este artigo foi traduzido por um sistema de tradução automática (também designado por Machine translation ou MT), não tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplicações (MT) e artigos traduzidos por tradutores profissionais. O objectivo é simples: oferecer em Português a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradução automática não é sempre perfeita. Esta pode conter erros de vocabulário, sintaxe ou gramática? erros semelhantes aos que um estrangeiro realiza ao falar em Português. A Microsoft não é responsável por incoerências, erros ou estragos realizados na sequência da utilização dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualizações frequentes ao software de tradução automática (MT). Obrigado. Clique aqui para ver a versão em Inglês deste artigo: 816514
(http://support.microsoft.com/kb/816514/en-us/
)
| Outros Recursos Outros Sites de Suporte
ComunidadesObtenha Ajuda AgoraTraduções de Artigos
|
Voltar ao topo
