IPsec NAT çapraz geçiþinin (NAT-T) varsayýlan davranýþý Windows XP Service Pack 2'de deðiþmiþtir

Bu makale, Microsoft Windows XP Service Pack 2'de (SP2) uygulanan, Internet Protokolü güvenliði (IPsec) að adresi çevirisi (NAT) çapraz geçiþinin (NAT-T) varsayýlan davranýþýndaki bir deðiþikliði anlatýr. Aþaðýdaki kayýt defteri anahtarýný kullanarak, Windows XP SP2'de bu varsayýlan davranýþý deðiþtirebilirsiniz:

Microsoft Windows 2000 IPsec NAT-T yürütmesinde herhangi bir deðiþiklik yapýlmamýþtýr.

Uyarý Kayýt Defteri Düzenleyicisi’ni yanlýþ kullanýrsanýz, iþletim sisteminizi yeniden yüklemenizi gerektirebilecek ciddi sorunlara neden olabilirsiniz. Microsoft, Kayýt Defteri Düzenleyicisi'nin yanlýþ kullanýmý sonucunda ortaya çýkan sorunlarý çözebileceðiniz konusunda garanti vermez. Kayýt Defteri Düzenleyicisi'ni kullanmak kendi sorumluluðunuzdadýr.

Varsayýlan olarak, Service Pack 2 içeren Windows XP çalýþtýran ve IPsec güvenliðine sahip iletiþim baþlatan (bundan sonra baþlatan olarak anýlacaktýr) bilgisayarlar, bir að adresi çeviricisinin ardýnda yer alan IPsec güvenliðine sahip iletiþim isteklerine yanýt veren (bundan sonra yanýtlayan olarak anýlacaktýr) uzaktaki bilgisayarlara IPsec NAT-T kullanýlmasýný artýk desteklememektedir. Bunun amacý, aþaðýdaki Microsoft Bilgi Bankasý makalesinde ele alýndýðý gibi olasý güvenlik sorunlarýndan kaçýnmaktýr:

Örneðin, Microsoft Windows Server 2003 çalýþtýran sanal özel aðýnýz (VPN) bir að adresi çeviricisinin ardýndaysa, varsayýlan olarak, Windows XP SP2 tabanlý bir VPN istemcisi VPN sunucusu IPsec (L2TP/IPsec) ile Katman Ýki Tünel Protokolü baðlantýsý yapamaz.

Bu varsayýlan davranýþ ayrýca, SP2 içeren Windows XP çalýþtýran bilgisayarlarýn, hedef bilgisayar bir að adresi çeviricisinin ardýnda bulunuyorsa, L2TP/IPsec veya IPsec aktarým modu ile korunan Uzak Masaüstü baðlantýlarý kurmasýný da engelleyebilir.

IPsec NAT-T'nin hizmet paketi yüklü olmayan Windows XP'de ve Windows XP Service Pack 1'de (SP1) çalýþma þekli nedeniyle, bir sunucuyu að adresi çeviricisi ardýna koyup, sonra IPsec NAT-T'yi kullandýðýnýzda beklenmeyen sonuçlarla karþýlaþabilirsiniz. Bu nedenle, iletiþim için IPsec isterseniz, doðrudan Internet'ten baðlanabildiðiniz tüm sunucular için genel IP adresleri kullanmanýzý öneririz.

Not Bu deðiþikliklerden ayrý olarak, Windows 2000, Windows XP veya Windows Server 2003 kullanan bilgisayarlar, bir að adresi çeviricisinin ardýndayken, baþlatan olarak IPsec NAT-T tabanlý baðlantýlarý desteklerler. Örneðin, özel bir otel aðýnda yer alan L2TP/IPsec VPN istemcisi dizüstü bir bilgisayar, genel bir Internet adresi kullanan bir VPN sunucusuna baðlantý baþlatabilir.

NAT, birden fazla bilgisayarýn tek bir genel IP adresini kullanmasýna olanak saðlayan, yaygýn olarak olarak kullanýlan bir teknolojidir. Að adresi çeviricileri özel aðlarda kullanýlan özel adresleri (10.0.0.0/8, 172.16.0.0/12 ve 192.168.0.0/16), Internet'te kullanýlan genel IP adresleriyle eþler.
Sunucularý að adresi çeviricileri ardýna koyma hakkýnda, að adresi çevirisi eþleþmelerinin sunucular için nasýl yapýlandýrýlacaðý hakkýnda ve belirli bir durum için IPsec NAT-T güvenlik iliþkilendirmelerinin sonuçlarý hakkýnda daha fazla bilgi için, Microsoft Bilgi Bankasý’ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
IPsec NAT-T baþlatan bir bilgisayarýn, bir NAT ardýnda bulunan bir yanýtlayýcýya baðlanmasýna izin vermek için, baþlatan bilgisayarda AssumeUDPEncapsulationContextOnSendRule kayýt defteri deðerini oluþturup ayarlamanýz gerekir.

Not Bu kayýt defteri deðerini yapýlandýrmadan önce, að yöneticinize baþvurmanýzý veya þirketinizin güvenlik ilkesini okumanýzý öneririz.

AssumeUDPEncapsulationContextOnSendRule kayýt defteri deðerini oluþturup yapýlandýrmak için, aþaðýdaki adýmlarý izleyin:

1. Baþlat'ý týklatýn, Çalýþtýr'ý týklatýn, regedit yazýp Tamam'ý týklatýn.
2. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPsec
3. Düzen menüsünde, Yeni'nin üzerine gelin ve DWORD Deðeri'ni týklatýn.
4. Yeni Deðer No1 kutusuna, AssumeUDPEncapsulationContextOnSendRule yazýp ENTER tuþuna basýn.
   
   Önemli Bu deðer adý için büyük/küçük harf ayrýmý vardýr.
5. AssumeUDPEncapsulationContextOnSendRule'u sað týklatýn ve Deðiþtir'i týklatýn.
6. Deðer verisi kutusuna, aþaðýdaki deðerlerden birini yazýn:
   • 0 (varsayýlan)
     0 (sýfýr) deðeri Windows XP SP2'yi, að adresi çeviricileri ardýnda yer alan yanýtlayan bilgisayarlarla IPsec güvenlikli iletiþim baþlatamayacak þekilde yapýlandýrýr.
   • 1
     1 deðeri Windows XP SP2'yi, að adresi çeviricileri ardýnda yer alan yanýtlayan bilgisayarlarla IPsec güvenlikli iletiþim baþlatabilecek þekilde yapýlandýrýr.
   • 2
     2 deðeri Windows XP SP2'yi, að adresi çeviricileri ardýnda yer alan hem baþlatan, hem de yanýtlayan bilgisayarlarla IPsec güvenlikli iletiþim baþlatabilecek þekilde yapýlandýrýr.
     
     Not Bu davranýþ, IPsec NAT-T'nin hizmet paketi yüklü olmayan Windows XP'deki ve Windows XP SP1'deki davranýþýdýr.
7. Tamam'ý týklatýn ve Kayýt Defteri Düzenleyicisi'nden çýkýn.
8. Bilgisayarý yeniden baþlatýn.

AssumeUDPEncapsulationContextOnSendRule deðerini 1 veya 2 deðeriyle yapýlandýrdýktan sonra, Windows XP SP2, að adresi çevricisi ardýnda bulunan yanýtlayan bir bilgisayara baðlanabilir. Bu davranýþ, Windows Server 2003 çalýþtýran VPN sunucularýna baðlantýlar için geçerlidir.