Como a regra de resposta predefinida para as políticas IPsec funciona no Windows Vista e no Windows Server 2008 Beta 3

Este artigo descreve como a regra de resposta predefinida para políticas de segurança (IPsec) do protocolo Internet funciona no Windows Vista e no Windows Server 2008 Beta 3. Também descreve como criar uma regra de substituição para a regra de resposta predefinida no Windows Vista e no Windows Server 2008 Beta 3.

A regra de resposta predefinida é aplicada em computadores remotos que requerem uma ligação de IPsec quando não existem regras estão disponíveis numa política IPsec. Para comunicar através de um canal encriptado, o computador deve responder a pedidos para estabelecer um canal encriptado. A regra de resposta predefinida é activada automaticamente quando criar uma política IPsec em versões do Windows anteriores ao Windows Vista e Windows Server 2008 Beta 3. Por predefinição, a regra de resposta predefinida não está activada quando cria uma política IPsec no Windows Vista ou no Windows Server 2008 Beta 3.

Pode utilizar o snap-in Gestão de políticas de segurança para IP ou o comando netsh ipsec para configurar a regra de resposta predefinida quando criar ou modificar uma política IPsec no Windows Vista ou no Windows Server 2008 Beta 3. Apesar de poder configurar a regra de resposta predefinida para uma política IPsec no Windows Vista ou no Windows Server 2008 Beta 3, a regra é inválida quando aplica uma política IPsec num computador baseado no Windows Vista ou num computador com o Windows Server 2008 Beta 3. A regra é válida apenas quando aplicar a regra de resposta predefinida em versões anteriores do Windows. Além disso, pode utilizar o comando netsh ipsec no Windows Vista ou no Windows Server 2008 Beta 3 para modificar a regra de resposta predefinida para uma política de IPsec é aplicada num computador com o Windows Vista. No entanto, pode modificar a regra de resposta predefinida para clientes que executam versões do Windows anteriores ao Windows Vista. Se uma política de IPsec que contém a regra de resposta predefinida é atribuída a um computador baseado no Windows Vista, não é aplicada a política. Além disso, é registado o seguinte evento no registo de segurança:

ID do evento: 5461
Origem: Auditoria de segurança
Tipo: Falha de auditoria
Mensagem: O motor PAStore fez uma falha ao aplicar política de IPsec de armazenamento no registo local no computador.
Política: Policy Name
Código de erro: Error Code. O parâmetro está incorrecto

Em vez da regra de política predefinido, pode criar uma regra para uma política que permite que o computador baseado no Windows Vista ou o computador baseado no Windows Server 2008 Beta 3 aplicar a regra em clientes baseados no Windows Vista que requerem comunicação IPsec. A regra de resposta predefinida responde apenas a pedidos de clientes. No entanto, a regra que criar pode responder a todos os tipos de pedidos. Esta regra também estabelece comunicação através de um canal encriptado com o cliente. Se não é possível estabelecer comunicação através de um canal encriptado durante as negociações IPsec, a comunicação continuará em texto simples através da rede. Esta comunicação não será ignorada.

Para criar uma nova regra para uma política IPsec no Windows Vista ou no Windows Server 2008 Beta 3, siga estes passos:

1. Utilize o snap-in Gestão de políticas de segurança para IP para modificar a política IPsec. Para o fazer, siga estes passos:
   1. Utilize o método adequado:
      • No Windows Server 2008 Beta 3, clique em Iniciar , clique em Executar , escreva mmc na caixa Abrir e, em seguida, clique em OK .
      • No Windows Vista, clique em Iniciar
        Reduzir esta imagemExpandir esta imagem

        
        , escreva mmc na caixa Iniciar procura e, em seguida, prima ENTER.
   2. No menu ficheiro , clique em Adicionar/remover Snap-in . A caixa de diálogo Adicionar ou remover snap-in é aberta.
   3. Na lista snap-ins disponíveis , clique em Gestão de políticas de segurança para IP e, em seguida, clique em Adicionar .
   4. Na caixa de diálogo Seleccionar computador ou domínio , clique em Concluir .
   5. Clique em OK para fechar a caixa de diálogo Adicionar ou remover snap-in .
   6. No painel de tarefas, clique em Políticas de segurança IP em computador local .
   7. No painel de detalhes, clique com o botão direito do rato a política para o qual pretende criar uma nova regra e, em seguida, clique em Propriedades .
   8. Clique em Adicionar para adicionar uma nova regra à política.
2. Configure as propriedades do túnel e as propriedades de tipo de rede para a nova regra. Para o fazer, siga estes passos:
   1. Na página Bem-vindo do Assistente de regras de segurança, clique em seguinte .
   2. Na página ponto final do túnel, certifique-se que a opção esta regra não especifica um túnel está activada e, em seguida, clique em seguinte .
   3. Na página tipo de rede, certifique-se que a opção de todas as ligações de rede está activada e, em seguida, clique em seguinte .
3. Crie uma nova lista de filtros IP e, em seguida, configure as propriedades da lista de filtros. Para o fazer, siga estes passos:
   1. Na página lista de filtros IP, clique em Adicionar . A caixa de diálogo Lista de filtros IP é aberta.
   2. Na caixa nome , escreva O tráfego IP ALL e, em seguida, clique em Adicionar .
   3. Na página Bem-vindo do Assistente para filtro IP, clique em seguinte .
   4. Na página "Descrição do filtro IP e o mirror propriedade", adicione uma descrição para o filtro IP e, em seguida, clique em seguinte .
   5. Na página origem do tráfego IP, certifique-se que Qualquer endereço IP está seleccionada na lista de endereços de origem e, em seguida, clique em seguinte .
   6. Na página destino do tráfego de IP, certifique-se que Qualquer endereço IP está seleccionada na lista de endereços de destino e, em seguida, clique em seguinte .
   7. Na página tipo de protocolo IP, certifique-se de que qualquer está seleccionada na lista Seleccione um tipo de protocolo e, em seguida, clique em seguinte .
   8. Na página "A concluir o IP Filtro Assistente", clique em Concluir .
   9. Clique em OK para guardar a nova lista de filtros e para fechar a caixa de diálogo Lista de filtros IP .
4. Criar uma nova acção de filtro e, em seguida, configure as propriedades de acção de filtro. Para o fazer, siga estes passos:
   1. Na página lista de filtros IP, clique a lista de filtros IP que criou e, em seguida, clique em seguinte .
   2. Na página acção de filtro, clique em Adicionar para criar uma nova acção de filtro.
   3. Na página Bem-vindo do Assistente de acção de filtro, clique em seguinte .
   4. Na página nome da acção de filtro, escreva o sempre negociar a segurança na caixa Nome e, em seguida, clique em seguinte .
   5. Na página Opções de geral de acções de filtro, certifique-se que a opção Negociar segurança está activada e, em seguida, clique em seguinte .
   6. Na página "Communicating com computadores que não suportam IPsec", clique em Permitir comunicações não seguras se não for possível estabelecer uma ligação segura e, em seguida, clique em seguinte .
   7. Na página segurança de tráfego IP, seleccione o método de segurança que pretende utilizar e, em seguida, clique em seguinte .
   8. Na página "A concluir o filtro Assistente para acção segurança IP", clique em Concluir .
   9. Na página acção de filtro, seleccione a acção de filtro que criou e, em seguida, clique em Editar . A caixa de diálogo Propriedades de acção de filtro novo é aberta.
   10. No separador Métodos de segurança , clique para seleccionar a caixa de verificação Aceitar comunicações não seguras, mas responder sempre utilizando IPsec e, em seguida, clique em OK .
   11. Na página acção de filtro, clique em seguinte .
5. Na página métodos de autenticação, especifique o método de autenticação que pretende utilizar e, em seguida, clique em seguinte .
6. Na página "A concluir a segurança assistente regras", clique em Concluir .
7. Clique em OK para fechar a caixa de diálogo de propriedades de política IPsec.