Select the product you need help with
Как настроить туннелирование IPSec в Windows Server 2003Код статьи: 816514 - Список продуктов, к которым относится данная статья. Версии Microsoft Windows 2000 в данной статье см. 252735
(http://support.microsoft.com/kb/252735/EN-US/
)
.В ЭТОЙ ЗАДАЧЕ
На этой страницеАннотация Можно использовать IP-безопасность (IPSec) в туннельном режиме для
Инкапсуляция пакетов протокола IP и их выборочного шифрования. В
Основная причина (иногда называется «чистым туннельный режим IPSec
Туннель IPSec») в Windows Server 2003 является необходимость взаимодействия с корпорацией Майкрософт
маршрутизаторы или шлюзы, которые не поддерживают протокол туннелирования уровня 2 (L2TP) / IPSec
или PPTP виртуальной частной сети (VPN) технологии туннелирования. Перейти к началу страницы Windows Server 2003 поддерживает туннелирование IPSec для случаев
там, где оба туннеля конечные точки имеют статические IP-адреса. Это полезно в первую очередь
в реализации шлюза к шлюзу. Тем не менее он может также работать для специализированных
сценарии сетевой безопасности между шлюза или маршрутизатора и сервера. (Например,
Маршрутизатор Windows Server 2003, который направляет трафик от внешнего интерфейса для
Внутренний компьютер под управлением Windows Server 2003 защиты внутреннего пути
туннель IPSec к внутреннему серверу, который обеспечивает работу
внешние клиенты). Туннелирование IPSec в Windows Server 2003 не для удаленного клиентского доступа к виртуальной частной сети использовать, так как запросы IPSec IETF (Internet Engineering Task Force) на комментарии (RFC) не поддерживается в настоящее время предоставляет решения удаленного доступа в Internet Key Exchange (IKE) протокол для подключения клиента к шлюзу. IETF RFC 2661, протокол «l2tp» был разработан компаниями Cisco, Microsoft, и другие предоставляет клиенту VPN-подключений удаленного доступа. В Защищенные с помощью Windows Server 2003, клиент удаленного доступа VPN-подключений автоматически создается политика IPSec, который использует режим транспорта IPSec (не Туннельный режим) при выборе типа туннеля L2TP. Windows Server Туннелирование IPSec 2003 также поддерживает туннели отдельных портов и протоколов. Хотя оснастка консоли управления (MMC) политики IPSec является очень Общие и позволяет сопоставить любой тип фильтра туннеля, убедитесь, что в спецификации фильтра для туннеля использовались только данные правило. Для получения дополнительных сведений о работе протоколов IKE и IPSec см. Microsoft Windows Server 2003 Resource Kit. В данной статье описывается настройка IPSec туннель на шлюзе Windows Server 2003. Поскольку туннель IPSec защищает только трафик, указанный в фильтры IPSec, настройке, в данной статье также Описание настройки фильтров в службе маршрутизации и удаленного доступа Запрет трафика за пределами туннеля от получения и пересылки. Это статьи используется следующий сценарий, чтобы сделать просто следовать шаги по настройке: Свернуть эту таблицу
NetA Идентификатор сети Внутренние шлюз Windows Server 2003 сеть. WIN2003intIP IP-адрес, т.е. назначенные внутренней сети шлюза Windows Server 2003 адаптер. WIN2003extIP — Это IP-адрес внешнего сетевого шлюза Windows Server 2003 адаптер. 3rdExtIP IP-адрес присваивается внешней сети стороннего шлюза адаптер. 3rdIntIP IP-адрес, т.е. назначенные внутренней сети стороннего шлюза адаптер. NetB Идентификатор сети внутренней сети стороннего шлюза. Цель состоит в Windows 2003 Сервер шлюза и шлюза корпорацией Майкрософт для установления туннеля IPSec когда трафик из NetA должны быть направлены NetB или когда трафик из NetB должны быть направлены NetA Поэтому трафик направляется через безопасный сеанс. Если вы хотите настроить политику IPSec, необходимо построить два фильтра: один фильтр согласования пакетов с NetA Кому NetB (нисходящее 1) и один фильтр согласования пакетов с NetB Кому NetA (туннель, 2). Необходимо настроить действие фильтра, чтобы указать, как обеспечивается туннеля ( туннеля представляется правило, поэтому создаются два правила). Перейти к началу страницы Создание политики IPSecКак правило, шлюз Windows Server 2003 не является членом домен, то создается локальная политика IPSec. Если шлюз Windows Server 2003 является членом домена, имеющего политикой IPSec, применяемой ко всем членам домен по умолчанию, это предотвращает шлюза Windows Server 2003 не локальной политики IPSec. В этом случае можно создать подразделение в Active Directory Windows Server 2003 создать шлюз является членом подразделение и назначьте политику IPSec для объекта групповой политики (GPO) подразделения. Дополнительные сведения содержатся в разделе «Создание, Изменение и назначение политик IPSec» раздела Windows Server 2003 через Интернет Справка.
Перейти к началу страницы Построение списка фильтра от NetA к NetB
Создание списка фильтров от NetB к NetA
Настройка правила для туннеля NetA к NetB
Настройка правила для туннеля NetB к NetA
Назначение новой политики IPSec для шлюза Windows Server 2003В политики безопасности IP на оснастки консоли MMC для локального компьютера, Щелкните правой кнопкой мыши новую политику и нажмите кнопку Назначение. Зеленый появляется кнопка со стрелкой на значке папки рядом с выбранной политикой.После вашего политика назначена, у вас есть два активных фильтра (служба маршрутизации и удаленного Microsoft Access автоматически создает фильтры IPSec для трафика L2TP). Для просмотра активного фильтры, введите следующую команду в командной строке: netdiag /test:ipsec /debug При необходимости можно перенаправить выходные данные этой команды текст
файл, который можно открыть его с помощью текстового редактора (например «Блокнота»), введя
Следующая команда: netdiag/test: IPSec/Debug > ИМЯ_ФАЙЛАTXT В NetDiag команда доступна после того как вы
Установка средств поддержки для Windows Server 2003. Чтобы установить средства поддержки, найдите
Щелкните правой кнопкой мыши файл Suptools.msi Support\Tools на компакт-диска Windows Server 2003 и нажмите кнопку Установка. После установки, возможно, потребуется выполнить NetDiag команда % SystemRoot %\Program Files\Support
Папке (где % SystemRoot % — это диск, на котором Windows Server 2003
установлен).Туннельные фильтры поиска следующего вида Пример:
Local IPSec Policy Active: 'IPSec tunnel with {tunnel endpoint}' IP Security Policy Path:
SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\ipsecPolicy{-longnumber-}
There are two filters
From NetA to NetB
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetA Src Mask: -subnet mask-
Dest Addr: NetB Dest Mask: -subnet mask-
Tunnel Addr: 3rdExtIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags : Outbound
From NetB to NetA
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetB Src Mask: -subnet mask-
Dest Addr: NetA Dest Mask: -subnet mask-
Tunnel Addr: W2KextIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags: InboundНастройка маршрутизации и удаленного доступа фильтрацииЕсли необходимо, чтобы трафик, который не имеет источника или конечный адрес, соответствующий NetA -или- NetB, создать фильтр выхода для внешнего интерфейс маршрутизации и удаленного доступа К консоли MMC, таким образом, чтобы фильтр удаляет весь трафик, кроме пакеты из NetA Кому NetB. Также создайте входной фильтр удаляет весь трафик за исключением пакетов от NetB Кому NetA. Кроме того, необходимо разрешить трафик WIN2003extIP и 3rdExtIPдля проведения согласования IKE при создании туннеля. Служба маршрутизации и удаленного Выполняется фильтрация доступа через IPSec. Нет необходимости специально разрешить IPSec протокол, поскольку он никогда не достигает уровня фильтрации пакетов IP. Ниже Примером является очень простым представлением Windows Server 2003 TCP/IP Архитектура:Application layer Transport layer (TCP|UDP|ICMP|RAW) ---- Network layer start ---- IP Packet Filter (where NAT/Routing and Remote Access filtering is done) IPSec (where IPSec filters are implemented) Fragmentation/Reassembly ---- Network layer end ------ NDIS Interface Datalink layer Physical layer
Настройка статических маршрутов в маршрутизации и удаленного доступаШлюз Windows Server 2003 должен иметь маршрут в своем маршруте Таблица для NetB. Чтобы настроить этот маршрут, добавить статический маршрут в службе маршрутизации и удаленного доступа К MMC. Если Windows Server 2003 Шлюз является многосетевым с двумя или более сетевых адаптеров на одной внешней сети (или двумя или несколькими сетями, которые можно получить доступ к IP туннеля назначения 3rdExtIP), возможны следующие:
Проверка туннеля IPSecМожно инициировать туннеля, обмен пакетами с компьютера на NetA компьютер на NetB (или из NetB Кому NetA). Если фильтры созданы правильно и назначена соответствующая политика, между двумя шлюзами создается туннель IPSec таким образом они можно отправлять трафик ICMP Сообщение об ошибке «Проверка связи команда в зашифрованный формат. Даже если Сообщение об ошибке «Проверка связи команда работает, проверьте, что ICMP трафик отсылается в зашифрованном формате от шлюза к шлюзу. Можно использовать следующие средства для этого.к началу статьи сверху Включить аудит событий входа в систему и доступа К объектамЭто записывает события в журнал безопасности. Это означает, если IKE была предпринята попытка согласования сопоставления безопасности, и если он успешно или нет.
Монитор IP-безопасностиКонсоль монитора IP-безопасности отображения статистики IPSec и активных сопоставления безопасности (SA). После создания туннеля, используя Сообщение об ошибке «Проверка связи команды, можно увидеть при создании сопоставления безопасности (если туннель Создание успешно, отображается Сопоставление). Если Сообщение об ошибке «Проверка связикоманда была выполнена успешно, но не существует никаких SA, ICMP-трафик не был защищен IPSec. Если отображается «мягкое сопоставление», которые не существовали ранее, IPSec пропустил этот трафик "в незашифрованном виде" (без шифрования). Для получения дополнительных сведений о «Мягких сопоставлениях» обратитесь к следующей статье базы знаний Майкрософт:234580
(http://support.microsoft.com/kb/234580/EN-US/
)
«Мягкие» сопоставления между компьютерами, поддерживающими IPSec и не поддерживающими IPSecПримечание В Microsoft Windows XP и семейства Windows Server 2003, IP-безопасности Монитор реализована в виде консоли консоли управления (MMC). Чтобы добавить Монитор IP-безопасности оснастку, выполните следующие действия:
Сетевой мониторСетевой монитор можно использовать для записи трафика, который через WIN2003extIP интерфейс при попытке выполнить команду ping компьютер. Если вы видите ICMP-пакеты в файл записи с источником и Назначение IP-адресов, соответствующие IP-адреса компьютера, Применение команды ping из и компьютер, вы пытаетесь выполнить команду ping, затем — IPSec не защищает трафик. Если не видите этот трафик ICMP, но увидеть ISAKMP и пакеты ESP, IPSec защищает трафик. При использовании только Протокол проверки подлинности IPSec заголовка (AH), вы увидите ISAKMP трафика за пакеты ICMP. ISAKMP-пакеты — это согласование IKE возникновение и пакеты ESP, полезных данных, шифруются по протоколу IPSec протокол.Установка сетевого монитора, выполните следующие действия.
Тестирование
Ссылки Для получения дополнительных сведений о маршрутизации и удаленного доступа
Служба, см. справку Windows Server 2003. Для просмотра Windows Server 2003 Resource Kit и других технических документация, посетите следующий веб-узел корпорации Майкрософт: http://www.microsoft.com/rus/windowsserver2003/default.mspx О стандарты IETF посетите следующие узлы:
(http://www.microsoft.com/windowsserver2003/default.mspx)
СвойстваКод статьи: 816514 - Последнее изменение :: 15 июня 2011 г. - Редакция: 6.0 Информация в данной статье относится к следующим продуктам.
Переведено с помощью машинного перевода ВНИМАНИЕ! Перевод данной статьи был выполнен не человеком, а с помощью программы машинного перевода, разработанной корпорацией Майкрософт. Корпорация Майкрософт предлагает вам статьи, переведенные как людьми, так и средствами машинного перевода, чтобы у вас была возможность ознакомиться со статьями базы знаний KB на родном языке. Однако машинный перевод не всегда идеален. Он может содержать смысловые, синтаксические и грамматические ошибки, подобно тому как иностранец делает ошибки, пытаясь говорить на вашем языке. Корпорация Майкрософт не несет ответственности за неточности, ошибки и возможный ущерб, причиненный в результате неправильного перевода или его использования. Корпорация Майкрософт также часто обновляет средства машинного перевода. Эта статья на английском языке:816514
(http://support.microsoft.com/kb/816514/en-us/
)
| Переводы статьи |
Перейти к началу страницы
