IP Security beskytter nettverkstrafikk på et grunnleggende nivå , og derfor er mange forretningskritiske applikasjoner krever dette avansert konfigurasjon tilnærming. Sette opp IP Security ( IPsec ) utfordrer nettverksadministratorer , men fordi det krever mye kontroll over både klient og server sider av nettverk konfigurasjon. Konfigurere IPsec ved hjelp av Windows Group Policy Objects ( GPOer ) ved å lage ulike retningslinjer for klienten og serveren . Du trenger
Windows Active Directory Domain
Active Directory Group Policy Editor
Vis flere instruksjoner
en

Konfigurer Windows brannmur bypass slik at klienten trafikken å omgå host- basert brannmur . I Active Directory Group Policy Editor , høyreklikk på Organizational Unit ( OU ) som inneholder datamaskinobjekt av målet serveren og velg "Opprett en GPO i dette domenet , og koble det her." Gi konsernet (GPO ) et meningsfullt navn og klikk " OK . " Høyreklikk på GPO og velg "Edit ". Utvid policymalen treet i følgende rekkefølge : . "Computer Configuration ", " Administrative maler ", " Network ", " Network Connections" og "Windows Firewall" I den høyre ruten dobbeltklikker du på politikken "Windows -brannmur: Tillat autentisert IPsec bypass " og klikk på

En brannmur bypass politikk for IPsec navngir en bestemt gruppe som vil bli gitt tillatelse til "Enabled ". bruke IPsec å krysse host- basert brannmur . I feltet " Define IPSec jevnaldrende å bli fritatt for brannmur policy: " skriv sikkerhetsbeskrivelsen Definition Language ( SDDL ) streng for den tillatte gruppen. Formatet på SDDL strengen for en enkelt gruppe er : "O : DAG : DAD : (A; ; RCGW ,,, SID ) , " der SID er Security Identifier ( SID ) av en gruppe konto . Derfor, for å definere innstillingene for din gruppe , leser teksten av politikken noe sånt som " Define IPSec jevnaldrende å bli unntatt fra brannmur policy: O : DAG : DAD : (A; ; RCGW ,,, S-1- 5-21 -4214763869-96332444560-8429442246-100290 ) . " Bruk GETSID kommandolinjeverktøy mot sikkerheten gruppenavnet for å bestemme SID hvis du ikke allerede vet det .
2

Angi en server- side " krever kryptering " regelen i Group Policy . For å kreve kryptering via IPsec , må du legge til en sikkerhet regel til gruppen politikken Windows Settings > Security Settings > IP sikkerhetspolicyer delen. I Group Policy Editor , høyreklikk på OU inneholder datamaskinobjekt av målet serveren og velg "Opprett en GPO i dette domenet , og koble det her." Gi konsernet (GPO ) et meningsfullt navn og klikk " OK ".

Utvid policymalen treet i følgende rekkefølge : "Computer Configuration ", " Windows Innstillinger" og " IP- sikkerhetspolicy på Active Directory . " Høyreklikk på "Secure Server ( Krev Security )" politikk i ruten til høyre og velg " Angi. " Når tildelt, krever denne politikken at all trafikk forsøker å nå serveren vil bruke IPsec.
3

Konfigurer en klient -side " krever kryptering " regelen . For at kundene å bruke kryptering for å nå serveren , må du konfigurere en politikk for de kundene som gjør at kryptering kun for målet serveren . I Group Policy Editor , høyreklikk på OU inneholder gruppen objekt som inneholder alle kunder som vil ha tillatelse til å bruke IPsec å nå målet serveren . Velg " Opprett en GPO i dette domenet , og koble det her." Gi GPO et meningsfullt navn og klikk " OK ".

Utvid policymalen treet i følgende rekkefølge : . "Computer Configuration ", " Windows Innstillinger" og " IP- sikkerhetspolicy på Active Directory " Dobbeltklikk på " Client ( Svare Only) "-politikk i den høyre ruten . Klikk på " Legg til ... " å starte Security Rule Wizard . Godta standardverdiene for " Tunnel Endpoint " og " Network Type ", men på " IP Filter List" side klikk på " Legg til ... " På " IP Filter List" side navn filteret listen og klikk "Legg til ... " å legge til serveren . Følg veiviseren , specifiying "Any IP -adresse" for kilden adresse og " En bestemt DNS Name" for målet serveren . Skriv inn målet serveren navn i " Host name: "-feltet . Fullfør veiviseren med de resterende standardverdiene, og klikk " OK " for å lukke "IP Filer List " wizard . I " Security Rule Wizard" velg " Permit " som filter handling og klikk " Next" for å fullføre veiviseren .

Når tildelt, krever denne politikken at all trafikk fra klientmaskinene forsøker å nå serveren vil bruke IPsec, men trafikken går til en annen server vil ikke .
4

Påfør group policy oppdateringer til både klienter og serveren . På hver maskin åpne en ledetekst og skriv " gpupdate . " Hvis du blir bedt om å logge av , gjøre det.