部署基本域隔離策略規(guī)劃

1、部署基本域隔離策略更新時(shí)間2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsServer2003R2WindowsServer2003withSP1,WindowsServer2003withSP2,WindowsServer2008,WindowsServer2008R2，WindowsVista通過使用高級安全Windows防火墻，您可以創(chuàng)建用來指定必須通過IPSec的一個(gè)或多個(gè)功能保護(hù)流量的連接安全規(guī)則。在域隔離中，使用IPsec身份驗(yàn)證要求連接所涉及的每臺域成員計(jì)算機(jī)正確建立其他計(jì)算機(jī)的標(biāo)識。通過創(chuàng)建要求域成員進(jìn)行

2、身份驗(yàn)證的規(guī)則，可有效地將域成員計(jì)算機(jī)與不屬于域的計(jì)算機(jī)隔離。域隔離環(huán)境中的計(jì)算機(jī)要求對入站連接進(jìn)行身份驗(yàn)證。X于出站連接，通常使用該選項(xiàng)來請求而非要求IPsec保護(hù)。這樣，計(jì)算機(jī)便可在與其他同樣可以使用IPSec的計(jì)算機(jī)通信時(shí)保護(hù)流量，但在與無法使用IPSec的計(jì)算機(jī)通信時(shí)，將恢復(fù)使用純文本。在WindowsX林口早期版本的Windows中，如果啟用了恢復(fù)使用純文本，則將在嘗試使用IPsec三秒后使用純文本。但是，某些服務(wù)的響應(yīng)超時(shí)時(shí)間小于三秒，這導(dǎo)致其失敗。在以上早期版本的Windows中，這意味著必須創(chuàng)建（有時(shí)為大量的）出站豁免規(guī)則，以支持這些無法進(jìn)行身份驗(yàn)證的服務(wù)器或服務(wù)。為解決此問題

3、，Microsoft發(fā)布了WindowsServer2003和WindowsXP勺簡單策略更新。此更新會(huì)在受IPSec保護(hù)的客戶端和未受IPSec保護(hù)的客戶端之間的嘗試延遲縮短到半秒。有關(guān)WindowsServer2003和WindowsXP勺簡單策略更新的詳細(xì)信息，請參閱使用簡單策略更新簡化IPSec策略。較新版本的Windows進(jìn)一步改進(jìn)了這一點(diǎn)，不再需要更新。當(dāng)在WindowsVista和較新版本的Windows中使用請求模式時(shí)，Windows同時(shí)發(fā)送兩種連接嘗試。如果遠(yuǎn)程主機(jī)使用IPSec響應(yīng)，則將放棄非IPSec嘗試。如果IPSec請求不生成響應(yīng)，則非IPSec嘗試將繼續(xù)。延遲縮短或

4、消除后，解決了大多數(shù)程序的超時(shí)失敗問題。但是，有時(shí)仍希望確保計(jì)算機(jī)不使用IPSec來嘗試與網(wǎng)絡(luò)上的某些主機(jī)通信。在這些情況下，可為客戶端創(chuàng)建身份驗(yàn)證豁免規(guī)則，它們不再使用IPSec與豁免列表中的計(jì)算機(jī)通信。有關(guān)域隔離的詳細(xì)信息，請參閱WindowsServer技術(shù)庫中"服務(wù)器和域隔離簡介和使用MicrosoftWindows的域隔離說明。創(chuàng)建連接安全規(guī)則以強(qiáng)制執(zhí)行域隔離的步驟在此部分中，創(chuàng)建連接安全規(guī)則指定域中的計(jì)算機(jī)要求對入站網(wǎng)絡(luò)流量進(jìn)行身份驗(yàn)證并對出站流量請求身份驗(yàn)證。M|。重要事項(xiàng)請記住，如果您已將默認(rèn)的出站行為配置為阻止與出站允許規(guī)則不匹配的流量，則必須創(chuàng)建允許出站IPsec

5、網(wǎng)絡(luò)流量的規(guī)則。步驟1:創(chuàng)建請求身份驗(yàn)證的連接安全規(guī)則步驟2:部署并測試連接安全規(guī)則步驟3:將隔離規(guī)則更改為要求身份驗(yàn)證步驟4:使用不具有域隔離規(guī)則的計(jì)算機(jī)測試隔離步驟5:為不是域成員的計(jì)算機(jī)創(chuàng)建豁免規(guī)則步驟1:創(chuàng)建請求身份驗(yàn)證的連接安全規(guī)則更新時(shí)間：2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsServer2003R2WindowsServer2003withSP1,WindowsServer2003withSP2,WindowsServer2008,WindowsServer2008R2，WindowsVista在

6、此步驟中，為域創(chuàng)建連接安全規(guī)則，這些規(guī)則導(dǎo)致所有成員計(jì)算機(jī)要求對入站網(wǎng)絡(luò)流量進(jìn)行身份驗(yàn)證，并請求對出站流量進(jìn)行身份驗(yàn)證。首先，使用僅請求入站身份驗(yàn)證的GPO確認(rèn)它正常工作后，對其進(jìn)行修改以要求入站身份驗(yàn)證。指定要使用的IPsec算法為了簡化，在以下過程中創(chuàng)建的規(guī)則使用的是默認(rèn)IPsec主模式和快速模式設(shè)置，它們指定了協(xié)商中包含的完整性算法和加密算法的某些組合。但是，Windows也為配置用于任意給定連接的特定主模式和快速模式算法提供了許多靈活性?？梢员舜送ㄐ诺乃杏?jì)算機(jī)必須至少支持一組通用的算法。如果必須使用某一特定算法組合，請執(zhí)行以下操作之一：.更改全局IPSec的默認(rèn)值。在GP8,打開“高

7、級安全Windows防火墻屬性”頁面，然后在“IPsec默認(rèn)值”部分，單擊“自定義”?？梢耘渲糜糜趨f(xié)商保護(hù)主模式和快速模式安全關(guān)聯(lián)（SA）的算法，以及可用的身份驗(yàn)證選項(xiàng)。更改這些設(shè)置將對連接安全規(guī)則沒有另行指定以及連接安全規(guī)則與主模式規(guī)則不符的計(jì)算機(jī)上經(jīng)過的所有IPsec連接的設(shè)置進(jìn)行更改。.使用特定快速模式設(shè)置創(chuàng)建連接安全規(guī)則。使用netshadvfirewallconsecaddrule命令可以創(chuàng)建包含特定快速模式算法組合的連接安全規(guī)則。如果在規(guī)則中指定這些算法，則將其用于代替全局IPsec默認(rèn)設(shè)置中的算法。使用qmsecmethods參數(shù)。添力口至UWindows7和WindowsSer

8、ver2008R2的個(gè)快速模式選項(xiàng)是“空封裝”。此選項(xiàng)指定不向連接中的每個(gè)網(wǎng)絡(luò)數(shù)據(jù)包提供任何完整性保護(hù)。不使用任何AH或ESP標(biāo)頭封裝數(shù)據(jù)。此選項(xiàng)為與AHESP不兼容的網(wǎng)絡(luò)設(shè)備和軟件提供兼容性。您可以指定在全局IPsec默認(rèn)值中使用空封裝（不推薦），也可指定在僅符合必須使用空封裝的網(wǎng)絡(luò)通信的連接安全規(guī)則中使用空封裝。有關(guān)如何使用自定義的快速模式設(shè)置創(chuàng)建連接安全規(guī)則的詳細(xì)信息，請參閱NetshAdvFirewallConsec命令。卜回備注A無法使用高級安全Windows防火墻MMCT理單元?jiǎng)?chuàng)建特定快速模式設(shè)置的規(guī)則。創(chuàng)建主模式規(guī)則.從Windows7和WindowsServer2008R2開始

9、，您可以創(chuàng)建指定主模式加密、完整性和身份驗(yàn)證設(shè)置的規(guī)則。符合主模式規(guī)則的連接使用的是主模式規(guī)則設(shè)置，而不是連接安全規(guī)則或全局IPsec默認(rèn)值中指定的設(shè)置。若要?jiǎng)?chuàng)建主模式規(guī)則，請使用netshadvfirewallmainmodeaddrule命令。有關(guān)詳細(xì)信息，請參IMJNetshAdvFirewallMainMode命令。防火墻和連接安全集成將防火墻功能與IPsec集成的一個(gè)主要優(yōu)勢就是可以在防火墻規(guī)則中使用其他選項(xiàng)。在WindowsVista及更高版本的Windows中，您現(xiàn)在可以創(chuàng)建根據(jù)以下條件篩選網(wǎng)絡(luò)通信的防火墻規(guī)則：僅允許經(jīng)過身份驗(yàn)證和完整性保護(hù)的連接。符合此防火墻規(guī)則的網(wǎng)絡(luò)通信必須

10、受到IPsec連接安全規(guī)則的保護(hù)，該規(guī)則要求對連接進(jìn)行身份驗(yàn)證并使用可以幫助保護(hù)連接中每個(gè)網(wǎng)絡(luò)數(shù)據(jù)包完整性的AH或ESPf法。.要求對連接進(jìn)行加密。必須采用指定使用ESP#裝進(jìn)行加密的IPsec連接安全規(guī)則對符合此規(guī)則的網(wǎng)絡(luò)通信進(jìn)行加密。還必須對網(wǎng)絡(luò)通信進(jìn)行身份驗(yàn)證和完整性保護(hù)?！霸试S計(jì)算機(jī)動(dòng)態(tài)協(xié)商加密”的其他選項(xiàng)使您可以對客戶端計(jì)算機(jī)部署較少的連接安全規(guī)則。例如，要在服務(wù)器上為單個(gè)端口啟用加密，而服務(wù)器上發(fā)送到所有其他端口的網(wǎng)絡(luò)通信以前并未加密，就需要對服務(wù)器和所有客戶端執(zhí)行兩條規(guī)則：一條通用規(guī)則應(yīng)用于發(fā)送到服務(wù)器的所有通信且不要求加密，另一條規(guī)則指定服務(wù)器的IP地址和服務(wù)器上所需的端口號，

11、且需要進(jìn)行加密。隨著需要進(jìn)行此特殊處理的端口號和服務(wù)器數(shù)量的增加，創(chuàng)建和維護(hù)所需連接安全規(guī)則的任務(wù)會(huì)變得更為困難。.使用此選項(xiàng)，僅將要求身份驗(yàn)證和所需完整性的通用規(guī)則應(yīng)用到客戶端。對于服務(wù)器，僅為要求加密和啟用動(dòng)態(tài)加密的特定端口號創(chuàng)建了防火墻規(guī)則。因此，可以使用客戶端上的單個(gè)規(guī)則協(xié)商主模式SA當(dāng)客戶端將通信發(fā)送至受到防火墻規(guī)則保護(hù)的指定端口號時(shí)，服務(wù)器對客戶端啟動(dòng)快速模式協(xié)商以創(chuàng)建需要加密的“升級”SA均可以使用全局IPsec默認(rèn)值中用于快速模式協(xié)商的任何加密算法組合。此外，為了能夠指定端口，可以另外創(chuàng)建僅需要對指定服務(wù)、可執(zhí)行程序或協(xié)議進(jìn)行加密的防火墻規(guī)則。計(jì)算機(jī)上所有發(fā)送到其他服務(wù)、其他程

12、序，或使用其他協(xié)議的網(wǎng)絡(luò)通信不會(huì)觸發(fā)快速模式SA協(xié)商要求加密。.雖然此選項(xiàng)是隨Windows講口WindowsServer2008R2引入的，但是它與運(yùn)行WindowsVista和WindowsServer2008的計(jì)算機(jī)兼容，且可以使用組策略進(jìn)行應(yīng)用。允許連接使用空封裝。此選項(xiàng)指定主模式協(xié)商和身份驗(yàn)證完成以后，快速模式SA不要求AH或ESP1寸裝。因止匕，連接的數(shù)據(jù)流不會(huì)接收每包完整性保護(hù)。此選項(xiàng)為與AH或ESP不兼容的網(wǎng)絡(luò)設(shè)備或軟件提供兼容性。為域隔離創(chuàng)建新的GPO勺步驟1 .在MBRSV的“組策略管理”中，右鍵單擊“組策略對象”，然后單擊“新建”。2 .在“名稱”中，鍵入域隔離，然后單擊

13、“確定”。3 .在導(dǎo)航窗格中，右鍵單擊新GPO然后單擊“編輯”。4 .在“組策略管理編輯器”中的導(dǎo)航窗格中右鍵單擊域隔離GPO勺頂級節(jié)點(diǎn)，然后單擊“屬性”。5 .選中“禁用用戶配置設(shè)置”復(fù)選框，因?yàn)檫@是一個(gè)僅計(jì)算機(jī)的GPO6 .在“確認(rèn)禁用”對話框中，單擊“是”，然后單擊“確定”。7 .在導(dǎo)航窗格中，依次展開“計(jì)算機(jī)配置”、“策略”、“Windows設(shè)置”、“安全設(shè)置”、“高級安全Windows防火墻”，然后展開“高級安全Windows防火墻-LDAP/cn=GUID,cn=policies,cn=system,DC=contoso,DC=como8 .右鍵單擊“連接安全規(guī)則”，然后單擊“新建

14、規(guī)則”。9 .在“規(guī)則類型”頁中，單擊“隔離”，然后單擊“下一步”。10 .在“要求”頁中，確認(rèn)已選中“入站和出站連接請求身份驗(yàn)證”，然后單擊“下一步”。-注意在生產(chǎn)環(huán)境中，建議您首先設(shè)置請求模式，然后再允許GP說全傳播到網(wǎng)絡(luò)。在將規(guī)則更改為要求模式之前，請確認(rèn)所有計(jì)算機(jī)正在通過使用IPSec成功進(jìn)行通信。首先將規(guī)則設(shè)置為要求模式可能導(dǎo)致計(jì)算機(jī)在所有計(jì)算機(jī)接收和應(yīng)用GPO：前無法通信。在稍后一步中，修改規(guī)則以將其更改為要求入站身份驗(yàn)證。11 .在“身份驗(yàn)證方法”頁中，單擊“計(jì)算機(jī)和用戶(KerberosV5)”，然后單擊“下一步”。1囹1備注¥盡管通常不會(huì)在域隔離中按用戶憑據(jù)進(jìn)行篩選

15、，但是除了計(jì)算機(jī)身份驗(yàn)證之外，用戶身份驗(yàn)證可以增強(qiáng)安全性，并使得稍后根據(jù)用戶標(biāo)識實(shí)現(xiàn)服務(wù)器隔離變得更為輕松，因?yàn)橐褜?shí)施了兼容性身份驗(yàn)證方法。12 .在“配置文件”頁上，清除“專用”和“公用”復(fù)選框，然后單擊“下一步”。13 .在“名稱”頁中，鍵入請求入站請求出站，然后單擊“完成”。步驟2:部署弁測試連接安全規(guī)則更新時(shí)間：2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsServer2003R2WindowsServer2003withSP1,WindowsServer2003withSP2,WindowsServer200

16、8,WindowsServer2008R2，WindowsVista在此步驟中，部署并測試域隔離規(guī)則。將包含該規(guī)則的GPO連接到包含計(jì)算機(jī)帳戶的OU然后測試連接性并查看已創(chuàng)建以支持連接的IPSec安全關(guān)聯(lián)(SA)。從將GPO連接到包含接收該規(guī)則的計(jì)算機(jī)的OUFF始。將GPO連接至U相應(yīng)的OU的步驟1. 在MBRSVR1,打開組策略管理管理單元。2. 右鍵單擊“我的客戶端計(jì)算機(jī)”，然后單擊“鏈接現(xiàn)有GPO3. 在“組策略對象”列表中，選擇“域隔離”，然后單擊“確定4. 右鍵單擊“我的成員服務(wù)器”，然后單擊“鏈接現(xiàn)有GPOo5. 在“組策略對象”列表中，選擇“域隔離”，然后單擊“確定瀏覽OU時(shí)，會(huì)

17、看到類似于下圖的列表：DefaultDornunPolicyDomainControllersnDoriaiitIsolationFl| Firewall SettingE-MyM errterServrsVi st a Cli ent e富'Don'in工51glmti©nxfireirallSettingsforTfSEWSServers匕畫組策略對象MU磨f血ItDcvainContrsllersPolicyUe£皿、DomainFolicyDoE&inIsolationfir&wallSattingzforVizliClientsfi

18、reyrallSetting£for出強(qiáng)（JOBServers受陶工篩選黑1+11Sttrt*rGPO9重要事項(xiàng)II請勿將域隔離GPOS用到域控制器上?；貍渥_在上述過程中，您沒有使用WM或安全組篩選器，是因?yàn)楸局改现惺褂玫降膶?shí)驗(yàn)室設(shè)置比較簡單，并且此處演示的內(nèi)容并不重要。但是，在生產(chǎn)環(huán)境中，請確保使用適當(dāng)?shù)腤M和安全組篩選器認(rèn)真將GPOZ部署到所需目標(biāo)計(jì)算機(jī)上。現(xiàn)在，請確保兩臺計(jì)算機(jī)都接收并應(yīng)用新的GPO在計(jì)算機(jī)上測試新的GPO步步驟1. 在MBRSVR1CLIENT1上的“管理員：命令提示符”處，運(yùn)行g(shù)pupdate/force。等待命令完成。2. 在CLIENT1上的命令提示

19、符處，運(yùn)行telnetmbrsvM。連接已成功。請暫不結(jié)束Telnet會(huì)話。3. 打開高級安全Windows防火墻管理單元。4. 依次展開“監(jiān)視”、“安全關(guān)聯(lián)”，然后單擊“主模式5. 在“主模式”窗格中，雙擊顯示的安全關(guān)聯(lián)（SA）6. 檢查設(shè)置（如下圖所示），本地計(jì)算機(jī)（CLIENT1）已與遠(yuǎn)程計(jì)算機(jī)（MBRSVR1I行協(xié)商。顯示的具體算法可能會(huì)不同，具體取決于在CLIENT1上使用了Windows7還是WindowsVista,以及對MBRSVR1用了WindowsServer2008R2還是WindowsServer2008。7. 單擊“確定”。8. 在導(dǎo)航窗格中，單擊“快速模式”，然后雙

20、擊顯示的SA9. 檢查設(shè)置，它顯示已使用封裝安全有效負(fù)載（ESP）完整性算法安全哈希算法（SHA-1）對使用任何協(xié)議的兩臺計(jì)算機(jī)間的任何流量進(jìn)行保護(hù)。ESP完整性使用加密保護(hù)的校驗(yàn)和來確保收到的數(shù)據(jù)包在發(fā)送后未經(jīng)修改。完整性測試失敗的任何數(shù)據(jù)包均被丟棄，且無任何提示。10. 在Telnet提示符處，鍵入exit結(jié)束Telnet會(huì)話。步驟3:將隔離規(guī)則更改為要求身份驗(yàn)證更新時(shí)間：2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsServer2003R2WindowsServer2003withSP1,WindowsServe

21、r2003withSP2,WindowsServer2008,WindowsServer2008R2，WindowsVista在此步驟中，修改已創(chuàng)建的規(guī)則，以便要求而不是請求身份驗(yàn)證。在完成此步驟之后，無法進(jìn)行身份驗(yàn)證的客戶端，或沒有連接安全規(guī)則對流量進(jìn)行身份驗(yàn)證的客戶端，將無法與作為域成員的計(jì)算機(jī)通信。ir1J_注意II在生產(chǎn)環(huán)境中，只有在確認(rèn)所有客戶端和服務(wù)器使用“請求”版本規(guī)則中的IPsec設(shè)置進(jìn)行通信后，才能執(zhí)行此過程。在確認(rèn)計(jì)算機(jī)可以使用其設(shè)置成功進(jìn)行通信之前，如果將規(guī)則更改成“需要”，則可能會(huì)無意中將計(jì)算機(jī)置于無法通信的狀態(tài)。將策略從請求更改為要求身份驗(yàn)證的步驟1 .在MBRSVR

22、1,切換到“組策略管理編輯器”。2 .在結(jié)果窗格中，右鍵單擊“請求入站請求出站”，然后單擊“屬性”。3 .在“名稱”文本框中，將名稱更改為要求入站請求出站以準(zhǔn)確反映其新行為。4 .單擊“身份驗(yàn)證”選項(xiàng)卡。5 .在“要求”下，將“身份驗(yàn)證模式”更改為“要求入站和請求出站”，然后單擊“確定”。Ir囹備注盡管使用“要求入站和出站”在本指南中可以工作，但在生產(chǎn)環(huán)境中要求出站身份驗(yàn)證通常并不可行。通常域成員計(jì)算機(jī)必須啟動(dòng)與不是域中的計(jì)算機(jī)（例如遠(yuǎn)程網(wǎng)站）的通信。請確認(rèn)即使要求身份驗(yàn)證，計(jì)算機(jī)也仍可以通信。測試要求身份mt證的已修改GPO勺步驟1. 在MBRSVR1CLIENT1上的“管理員：命令提示符”

23、處，運(yùn)行g(shù)pupdate/force。2. 在CLIENT1上的命令提示符處，運(yùn)行telnetmbrsvM。連接已成功。3. 鍵入exit結(jié)束Telnet會(huì)話。步驟4:使用不具有域隔離規(guī)則的計(jì)算機(jī)測試隔離更新時(shí)間：2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsServer2003R2WindowsServer2003withSP1,WindowsServer2003withSP2,WindowsServer2008,WindowsServer2008R2，WindowsVista若要模擬不屬于域的計(jì)算機(jī)，請從CLIEN

24、T1中刪除GPO然后重新嘗試連接。從CLIENT1中刪除GPO勺步驟1. 在MBRSVR1,切換到“組策略管理”。2. 在MyClientComputers下，右鍵單擊"域隔離”，然后單擊"已啟用鏈接"來禁用鏈接。在下一組步驟中，將刷新CLIENT1上的GPO嘗t與MBRSVR1信。在CLIENT1上測試經(jīng)過修改的GPO勺步驟1. 在CLIENT1上的"管理員：命令提示符"下，運(yùn)行g(shù)pupdate/force。等待命令完成。2. 在命令提示符下，運(yùn)行telnetmbrsvr1。連接失敗，因?yàn)樗鼜奈词盏綄ζ湔埱蟮幕貜?fù)。由于MBRSVR1求身份驗(yàn)證

25、，而CLIENT1無法提供身份驗(yàn)證，因此所有傳入數(shù)據(jù)包將被丟棄。3. 鍵入exit,然后按Enter結(jié)束Telnet會(huì)話。在下一組步驟中，會(huì)將GPOS原到客戶端，以便布置好正確的規(guī)則供后面的步驟使用。將GPOM新應(yīng)用于CLIENT1的步驟1. 在MBRSVR1的MyClientComputers下，右鍵單擊“域隔離”，然后單擊“已啟用鏈接”。2. 如果需要，可以重復(fù)前面的“在CLIENT1上測試經(jīng)過修改的GP。勺步驟”來確認(rèn)可以重新連接。此次連接成功。步驟5:為不是域成員的計(jì)算機(jī)創(chuàng)建豁免規(guī)則更新時(shí)間：2009年8月應(yīng)用至Windows%WindowsServer2000,WindowsServer2003,WindowsS