Funktionsweise die Standardantwortregel für IPSec-Richtlinien auf die in Windows Vista und Windows Server 2008 Beta 3

Dieser Artikel beschreibt, wie die Standardantwortregel für IP-Sicherheitsrichtlinien (IPsec) in Windows Vista und Windows Server 2008 Beta 3 funktioniert. Er beschreibt außerdem eine Ersatz-Regel für die Standardantwortregel in Windows Vista und Windows Server 2008 Beta 3 erstellen.

Die Standardantwortregel wird auf Remotecomputern angewendet, die eine IPSec-Verbindung, anfordern Wenn keine anderen Regeln in einer IPSec-Richtlinie zur Verfügung stehen. Für die Kommunikation über einen verschlüsselten Kanal muss reagiert der Computer für die Anforderungen an einen verschlüsselten Kanal herstellen. Die Standardantwortregel wird automatisch aktiviert, wenn Sie eine IPSec-Richtlinie in Versionen von Windows, die älter als Windows Vista sind und Windows Server 2008 Beta 3 erstellen. Standardmäßig ist die Standardantwortregel nicht aktiviert, beim Erstellen einer IPSec-Richtlinie in Windows Vista oder Windows Server 2008 Beta 3.

Sie können das Snap-in IP-Sicherheitsrichtlinienverwaltung oder den Befehl Netsh Ipsec verwenden, die Standardantwortregel konfigurieren, wenn Sie erstellen oder ändern eine IPSec-Richtlinie in Windows Vista oder Windows Server 2008 Beta 3. Obwohl Sie die Standardantwortregel für eine IPSec-Richtlinie in Windows Vista oder Windows Server 2008 Beta 3 konfigurieren können, ist die Regel ungültig, wenn Sie eine IPSec-Richtlinie auf einem Windows Vista-Computer oder auf einem Computer mit Windows Server 2008 Beta 3 anwenden. Die Regel ist gültig, nur wenn Sie die Standardantwortregel in früheren Versionen von Windows anwenden. Darüber hinaus kann nicht mithilfe des Befehls Netsh Ipsec in Windows Vista oder Windows Server 2008 Beta 3 die Standardantwortregel für eine IPSec-Richtlinie ändern, die auf einem Windows Vista-Computer angewendet wird zugleich. Allerdings können Sie die Standardantwortregel für Clients ändern, die Windows-Versionen ausgeführt werden, die älter als Windows Vista sind. Wenn einem Vista-Computer eine IPSec-Richtlinie, die enthält die Standardantwortregel zugewiesen ist, wird die Richtlinie nicht angewendet. Darüber hinaus wird das folgende Ereignis im Sicherheitsprotokoll protokolliert:

Ereignis-ID: 5461
Quelle: Sicherheitsüberwachung
Geben Sie Folgendes ein: Überwachungsfehler
Nachricht: PAStore konnte lokale Registrierung Speicher IPSec-Richtlinie auf dem Computer anwenden.
Richtlinie: Policy Name
Fehlercode: Error Code. Falscher Parameter

Anstelle der Standardregel der Richtlinie können Sie eine Regel für eine Richtlinie erstellen, mit dem die Windows Vista-Computer oder dem Windows Server 2008 Beta 3-basierten Computer die Regel auf Windows Vista-Clients angewendet, die IPSec-Kommunikation anfordern. Die Standardantwortregel reagiert nur auf Clientanforderungen. Die Regel, die Sie erstellen kann jedoch für alle Arten von Anforderungen antworten. Diese Regel stellt auch Kommunikation über einen verschlüsselten Kanal mit dem Client her. Wenn während der IPSec-Aushandlungen Kommunikation über einen verschlüsselten Kanal hergestellt werden kann, wird die Kommunikation im Klartext über das Netzwerk fortgesetzt. Diese Kommunikation werden nicht gelöscht.

Gehen Sie folgendermaßen vor um eine neue Regel für eine IPSec-Richtlinie in Windows Vista oder in Windows Server 2008 Beta 3 zu erstellen,

1. Verwenden Sie das IP-Sicherheitsrichtlinienverwaltung-Snap-in, um die IPSec-Richtlinie zu ändern. Gehen Sie hierzu folgendermaßen vor:
   1. Verwenden Sie die entsprechende Methode:
      • Klicken Sie in Windows Server 2008 Beta 3 auf Start , klicken Sie auf Ausführen , geben Sie Mmc im Feld Öffnen und klicken Sie dann auf OK .
      • Klicken Sie in Windows Vista auf Start
        Bild minimierenBild vergrößern

        
        , geben Sie Mmc im Feld Suche starten und dann die EINGABETASTE.
   2. Klicken Sie im Datei auf Snap-In hinzufügen/entfernen . Das Dialogfeld Hinzufügen oder entfernen-Snap-in wird geöffnet.
   3. Klicken Sie in der Liste Verfügbare Snap-Ins auf IP-Sicherheitsrichtlinienverwaltung , und klicken Sie dann auf Hinzufügen .
   4. Klicken Sie im Dialogfeld Computer auswählen oder Domäne auf Fertig stellen .
   5. Klicken Sie auf OK , um das Dialogfeld Hinzufügen oder entfernen-Snap-in zu schließen.
   6. Klicken Sie im Aufgabenbereich auf IP-Sicherheitsrichtlinien auf lokalem Computer .
   7. Klicken Sie im Detailbereich mit der rechten Maustaste auf die Richtlinie für die Sie eine neue Regel erstellen möchten; klicken Sie dann auf Eigenschaften .
   8. Klicken Sie auf Hinzufügen , um eine neue Regel zur Richtlinie hinzuzufügen.
2. Konfigurieren Sie die Tunneling-Eigenschaften und die Netzwerk-Typ-Eigenschaften für die neue Regel. Gehen Sie hierzu folgendermaßen vor:
   1. Klicken Sie auf der Willkommensseite Seite des Assistenten auf Weiter .
   2. Stellen Sie auf der Seite Tunnelendpunkt sicher, dass die Option Diese Regel spezifiziert keinen Tunnel aktiviert ist, und klicken Sie dann auf Weiter .
   3. Stellen Sie auf der Seite Netzwerktyp sicher, dass die Option alle Netzwerkverbindungen aktiviert ist, und klicken Sie dann auf Weiter .
3. Erstellen Sie eine neue IP-Filterliste, und konfigurieren Sie die Liste der Filter-Eigenschaften. Gehen Sie hierzu folgendermaßen vor:
   1. Klicken Sie auf der Seite IP-Filterliste auf Hinzufügen . Das Dialogfeld Filterliste wird geöffnet.
   2. Geben Sie in das Feld Name IP-Datenverkehr insgesamt und klicken Sie dann auf Hinzufügen .
   3. Klicken Sie auf der Seite Willkommen des IP-Filter-Assistenten auf Weiter .
   4. Fügen Sie auf der Seite "IP-Filterbeschreibung und gespiegelte Eigenschaft" eine Beschreibung für den IP-Filter hinzu, und klicken Sie dann auf Weiter .
   5. Stellen Sie auf der Seite Quelle des IP-Verkehrs sicher, dass in der Liste Quelladresse Beliebige IP-Adresse aktiviert ist, und klicken Sie dann auf Weiter .
   6. Stellen Sie auf der Seite Ziel des IP-Verkehrs sicher, dass in der Liste Zieladresse Beliebige IP-Adresse aktiviert ist, und klicken Sie dann auf Weiter .
   7. Stellen Sie auf der Seite IP-Protokolltyp sicher, dass alle in der Liste ein Protokoll aktiviert ist, und klicken Sie dann auf Weiter .
   8. Klicken Sie auf der Seite "Completing the IP-Filter Wizard" auf Fertig stellen .
   9. Klicken Sie auf OK , um die neue Filterliste zu speichern und das Dialogfeld IP-Filterliste zu schließen.
4. Erstellen Sie einen neuen Filter Aktion, und konfigurieren den Filter-Aktion-Eigenschaften. Gehen Sie hierzu folgendermaßen vor:
   1. Klicken Sie auf der Seite IP-Filterliste auf die IP-Filterliste, die Sie erstellt haben, und klicken Sie dann auf Weiter .
   2. Klicken Sie auf der Seite Filteraktion auf Hinzufügen , erstellen einen neuen Filter Aktion.
   3. Klicken Sie auf der Willkommensseite Seite des der Filteraktions-Assistent auf Weiter .
   4. Geben Sie auf der Seite Filter Name immer Sicherheit aushandeln , im Feld Name , und klicken Sie dann auf Weiter .
   5. Stellen Sie auf der Seite Allgemeine Optionen der Filteraktion Aktionen sicher, dass die Option Sicherheit aushandeln aktiviert ist, und klicken Sie dann auf Weiter .
   6. Klicken Sie auf der Seite "Kommunikation mit Computern, die IPsec nicht unterstützen" auf Unsichere Kommunikation zulassen, wenn eine sichere Verbindung kann nicht hergestellt werden , und klicken Sie dann auf Weiter .
   7. Wählen Sie auf der Seite IP Datenverkehr-die Sicherheitsmethode, die Sie verwenden möchten, und klicken Sie dann auf Weiter .
   8. Klicken Sie auf der Seite "Fertigstellen der IP-Sicherheit Filteraktions-Assistent" auf Fertig stellen .
   9. Wählen Sie auf der Seite Filteraktion die Filter-Aktion, die Sie erstellt haben, und klicken Sie dann auf Bearbeiten . Das Dialogfeld Neue Filter Aktionseigenschaften wird geöffnet.
   10. Klicken Sie auf der Registerkarte Sicherheitsmethoden dann auf das Kontrollkästchen Unsichere Kommunikation zulassen, aber immer mit IPsec Antworten , und klicken Sie dann auf OK .
   11. Klicken Sie auf der Seite Filteraktion auf Weiter .
5. Geben Sie auf der Seite Authentifizierungsmethode die Authentifizierungsmethode, die Sie verwenden möchten und klicken Sie dann auf Weiter .
6. Klicken Sie auf der Seite "Fertigstellen des Assistenten" auf Fertig stellen .
7. Klicken Sie auf OK , um IPSec-Richtlinie im Eigenschaftendialogfeld zu schließen.