Como a regra de resposta padrão para as diretivas IPsec funciona no Windows Vista e no Windows Server 2008 Beta 3

Este artigo descreve como a regra de resposta padrão para diretivas de segurança (IPsec) IP funciona no Windows Vista e no Windows Server 2008 Beta 3. Ela também descreve como criar uma regra de substituição para a regra de resposta padrão no Windows Vista e no Windows Server 2008 Beta 3.

A regra de resposta padrão é aplicada a computadores remotos que solicitam uma conexão IPsec quando outras regras não estão disponíveis em uma diretiva IPsec. Para se comunicar por um canal criptografado, o computador deve responder às solicitações para estabelecer um canal criptografado. A regra de resposta padrão é habilitada automaticamente quando você cria uma diretiva IPsec nas versões do Windows anteriores ao Windows Vista e Windows Server 2008 Beta 3. Por padrão, a regra de resposta padrão não é ativada quando você cria uma diretiva IPsec no Windows Vista ou no Windows Server 2008 Beta 3.

Você pode usar o snap-in de gerenciamento de diretivas de segurança ou o comando netsh ipsec para configurar a regra de resposta padrão quando você cria ou modifica uma diretiva IPsec no Windows Vista ou no Windows Server 2008 Beta 3. Mesmo que você pode configurar a regra de resposta padrão para uma diretiva IPsec no Windows Vista ou no Windows Server 2008 Beta 3, a regra é inválida quando você aplica uma diretiva IPsec em um computador baseado no Windows Vista ou em um computador baseado no Windows Server 2008 Beta 3. A regra é válida somente quando você aplica a regra de resposta padrão em versões anteriores do Windows. Além disso, você não pode usar o comando netsh ipsec no Windows Vista ou no Windows Server 2008 Beta 3 para modificar a regra de resposta padrão para uma diretiva IPsec que é aplicada em um computador baseado no Windows Vista. No entanto, você pode modificar a regra de resposta padrão para clientes que executam versões do Windows anteriores ao Windows Vista. Se uma diretiva IPsec que contém a regra de resposta padrão é atribuída a um computador baseado no Windows Vista, a diretiva não é aplicada. Além disso, o seguinte evento é registrado no log de segurança:

IDENTIFICAÇÃO de evento: 5461
Origem: Auditoria de segurança
Tipo: Falha de auditoria
Mensagem: PAStore Engine não pôde aplicar diretiva de IPsec de armazenamento do Registro local no computador.
Diretiva: Policy Name
Código de erro: Error Code. O parâmetro está incorreto

Em vez da regra de diretiva padrão, você pode criar uma regra para uma diretiva que permite que o computador baseado no Windows Vista ou o computador baseado no Windows Server 2008 Beta 3 para aplicar a regra em clientes com base no Windows Vista que solicitam a comunicação IPsec. A regra de resposta padrão responde apenas às solicitações do cliente. No entanto, a regra que você cria pode responder a todos os tipos de solicitações. Essa regra também estabelece a comunicação por um canal criptografado com o cliente. Se a comunicação em um canal criptografado não pode ser estabelecida durante negociações de IPsec, a comunicação continuará em texto não criptografado pela rede. Essa comunicação não será descartada.

Para criar uma nova regra para uma diretiva IPsec no Windows Vista ou no Windows Server 2008 Beta 3, siga estas etapas:

1. Use o snap-in de gerenciamento de diretivas de segurança para modificar a diretiva IPsec. Para fazer isso, execute as seguintes etapas:
   1. Use o método apropriado:
      • No Windows Server 2008 Beta 3, clique em Iniciar , clique em Executar , digite mmc na caixa Abrir e, em seguida, clique em OK .
      • No Windows Vista, clique em Iniciar com o
        Recolher esta imagemExpandir esta imagem

        
        , digite mmc na caixa Iniciar pesquisa e, em seguida, pressione ENTER.
   2. No menu arquivo , clique em Adicionar/remover Snap-in . A caixa de diálogo Adicionar ou remover snap-in é aberta.
   3. Na lista snap-ins disponíveis , clique em Gerenciamento de diretiva de segurança IP e, em seguida, clique em Adicionar .
   4. Na caixa de diálogo Selecionar computador ou domínio , clique em Concluir .
   5. Clique em OK para fechar a caixa de diálogo Adicionar ou remover snap-in .
   6. No painel tarefas, clique em Diretivas de segurança IP no computador local .
   7. No painel de detalhes, clique com o botão direito do mouse na diretiva para o qual você deseja criar uma nova regra e, em seguida, clique em Propriedades .
   8. Clique em Adicionar para adicionar uma nova regra à diretiva.
2. Configure as propriedades de encapsulamento e as propriedades de tipo de rede para a nova regra. Para fazer isso, execute as seguintes etapas:
   1. Na página Bem-vindo do Assistente de regra de segurança, clique em Avançar .
   2. Na página Tunnel Endpoint, verifique se a opção esta regra não especifica um encapsulamento é habilitada e, em seguida, clique em Avançar .
   3. Na página Tipo de rede, verifique se a opção todas as conexões de rede está ativada e em seguida, clique em Avançar .
3. Criar uma nova lista de filtros IP e, em seguida, configurar as propriedades de lista de filtros. Para fazer isso, execute as seguintes etapas:
   1. Na página lista de filtros IP, clique em Adicionar . A caixa de diálogo Lista de filtros IP é aberta.
   2. Na caixa nome , digite Todo o tráfego IP e, em seguida, clique em Adicionar .
   3. Na página Bem-vindo do Assistente de filtro IP, clique em Avançar .
   4. Na página "propriedade de descrição do filtro IP e espelhado", adicione uma descrição para o filtro IP e, em seguida, clique em Avançar .
   5. Na página origem do tráfego IP, verifique se Qualquer endereço IP é selecionado na lista de endereço de origem e, em seguida, clique em Avançar .
   6. Na página destino do tráfego IP, verifique se Qualquer endereço IP é selecionado na lista de endereço de destino e, em seguida, clique em Avançar .
   7. Na página Tipo de protocolo IP, verifique se qualquer está selecionado na lista Selecione um tipo de protocolo e, em seguida, clique em Avançar .
   8. Na página "Concluindo o Assistente de filtro IP", clique em Concluir .
   9. Clique em OK para salvar a nova lista de filtro e fechar a caixa de diálogo Lista de filtros IP .
4. Criar uma nova ação de filtro e, em seguida, configurar as propriedades de ação de filtro. Para fazer isso, execute as seguintes etapas:
   1. Na página lista de filtros IP, clique na lista de filtros IP que você criou e, em seguida, clique em Avançar .
   2. Na página ação de filtro, clique em Adicionar para criar uma nova ação de filtro.
   3. Na página Bem-vindo do Assistente de ação de filtro, clique em Avançar .
   4. Na página Nome da ação de filtro, digite sempre negociar a segurança na caixa nome e em seguida, clique em Avançar .
   5. Na página Opções gerais de ações de filtro, verifique se a opção Negociar segurança é habilitada e, em seguida, clique em Avançar .
   6. Na página "Communicating com computadores que não oferecem suporte a IPsec", clique em Permitir comunicação não segura se não pode ser estabelecida uma conexão segura e, em seguida, clique em Avançar .
   7. Na página segurança de tráfego IP, selecione o método de segurança que você deseja usar e, em seguida, clique em Avançar .
   8. Na página "Concluindo o IP Security filtro ação Assistente", clique em Concluir .
   9. Na página ação de filtro, selecione a ação de filtro que você criou e em seguida, clique em Editar . A caixa de diálogo Propriedades de nova ação de filtro é aberta.
   10. Na guia Métodos de segurança , marque a caixa de seleção Aceitar comunicação não segura, mas sempre responder usando IPsec e em seguida, clique em OK .
   11. Na página ação de filtro, clique em Avançar .
5. Na página método de autenticação, especifique o método de autenticação que você deseja usar e, em seguida, clique em Avançar .
6. Na página "Concluindo o Assistente de regra de segurança", clique em Concluir .
7. Clique em OK para fechar a caixa de diálogo Propriedades da diretiva IPsec.