高级安全Windows防火墙(上)之IPSec --- Windows2008新功能系列之三

本文涉及的产品
云防火墙,500元 1000GB
密钥管理服务KMS,1000个密钥,100个凭据,1个月
简介:
   大家都知道,安全无疑是当前企业最为关心的话题,windows2008已经诞生一年多了,相信朋友们对于2008的部署及各项新功能,已经了如指掌了吧?!今天我们就来看看如何利用2008的改进功能来实现企业的安全通信。
网络拓朴:
单域,双子网,具体IP如上图所设置,其中w08a是DC,w08b是文件服务器,其余均是加入域的客户端。域名contoso.com,w08a兼作DNS服务器,CA服务器、DHCP服务器等。
 
企业要求:
1. 实现域内所有客户端之间通信全部加密(ICMP除外)
2. 实现域内所有客户端和文件服务器10.1.1.6之间通信全部加密。
3. 若用户不登录域,则无法和域内的客户端或文件服务器通信。
 
分析:针对企业目的,可以实现的方法很多,但最简单最直接的方法还是利用IPSec,我在《安全系列》中已经讲到使用IPSEC实现,各位可以参考。但如果用2003的IPSEC的话,实现起来有些麻烦,而且2003的IPSEC的身份验证只是针对计算机,不能实现第3点功能,即针对用户进行身份验证,要想实现只能另辟溪径。在这里我们使用windows 2008的IPSec可以轻松搞定。
    Windows Server 2008的IPSec和高级安全Windows防火墙(以下简称WFAS),集中到了一起,如下图所示:
 
在“连接安全规则”里可以设置IPSec策略
具体的打开方式有两种:
1. 利用MMC,添加删除管理单元---WFAS即可(适合于vista、WIN7)
2. 管理工具---WFAS(适合于windows 2008)
注意:通过WFAS新建的“连接安全规则”,只适用于windows 2008、vista、win7,如果使用原来的IPSec,只能通过IP安全策略管理来完成,即在MMC中添加IP安全策略管理。
 
解决思路:
由于企业是域环境,所以我们通过域中的组策略统一为客户端部署IPSec。首先我们需要在DC上利用ADUC新建一个GPO,并链接到域上。然后在这个GPO中设置相应的策略即可。这样域里的所有客户端均要加载,包括DC自己,但在本例中DC和其它客户端的通信不需要IPSEC加密,因此DC在我们免除列表里(即不需要身份验证和加密通信)。
 
一、在DC上新建GPO,取名为IPSec,链接到域上。
打开gpmc.msc后,如下图所示:
单击后,如下图所示,输入名字:
 
再次单击确定,然后在此GPO上右击,如下图所示:
 
选择“编辑”,如下图所示:
 
对于windows2008、vista、win7我们可以选择“连接安全规则”来设置IPSEC通信,如果是老版本的操作系统,我们可以选择“IP安全策略.....”这一项进行设置。
 
二、创建免除列表通信规则
1. 右击“连接安全规则”,选择“新规则”,如下图所示:
 
如下图我们选择第二项,所示:
 
选择第二项的含义,指的是这个通信不需要进行身份验证。单击下一步:
 
在这里,我们需要输入不进行身份验证的计算机的IP或地址范围,再次单击下一步,如下图所示:
 
选择默认不变,将这个应用于这三种环境,再次单击下一步,如下图所示,并给这条规则取名,单击完成。
 
注意,设置完这条规则后,一定要使所有的客户端加载此条策略设置,有三种方法:
第一种方法,客户端运行gpupdate /force,包括DC
第二种方法,客户端等一段时间,一般是90-120分钟不等
第三种方法,所有客户端重启。当然在企业里我们部署时,建议做完上述后,第二天或等一段时间后,再进行下面的第三步。
    在这里,我们是实验环境,直接在DC和客户端上运行 Gpupdate /force就可以了。
    运行完后,建议在客户端上ping 下DC,正常能通信就OK了。注意:这个通信是不使用IPSEC进行身份验证和加密的。
 
三、创建域内IPSec通信规则
同上所述,我们再次创建一条IPSEC规则,如下图所示:
 
我们选择“隔离”,意味着必须要进行身份验证和加密通信,否则将不允许通信。单击下一步,如图所示:
 
我们选择第三项,意味着通信双方不管如何访问(入站或出站),均需身份验证。单击下一步,如下图所示:
 
我们选择相应的身份验证方式,第二项,即用户或计算机均需要Kerberos V5,只有在域环境下方可进行。单击下一步,如下图所示:
 
再次单击下一步,如下图,我们取名后,单击完成。
 
做完后,如下图,我们已经有了两条策略规则:
 
让我们的所有客户端都立即应用一下,gpupdate /force吧。
 
四、测试
我们怎么知道客户端是否应用了相应的组策略了呢?两种方式得知:
1. 打开客户端的WFAS,展开如下图所示,看有没有在域的GPO上所设置的两条规则:
 
2. 我们在w08c上ping 一下w08b和w08a,如:
ping -t 10.1.1.6
ping -t 10.1.1.5
然后,我们再次利用WFAS中的监视,如下图我们只能看到10.1.1.6,因为它和w08c是需要身份验证和加密的。而10.1.1.5的通信却没有,这是正常的。如下图所示:
 
其实你在快速模式中也可以看到。这里主模式和快速模式是IPSEC通信的两个阶段。
 
五、排除ICMP通信,完成实验。
但我们企业要求ICMP的通信不需要身份验证和加密,因此我们再次回到DC的组策略管理控制台,再次编辑IPSEC这个GPO,如下图所示:
 
选择“属性”后,如下图所设置即可:
 
然后所有的客户端gpupdate /force刷新,再次测试ping,发现没有身份验证了。而当我们访问共享资源时,如从w08c(172.16.1.7)访问w08b(10.1.1.6)共享资源时,我们打开监视,看到如下图所示:
 
下面我们把w08c注销,用本地用户的身份登录,再次访问10.1.1.6的共享资源,发现却不能访问,原来是用户的身份验证通不过。如下图所示:
 
全部实验结束!
 
小结:其实这个实验难度并不大,关键在于合理的应用组策略来统一设置IPSEC。其中有两条策略,这两条策略一定不能先做第二条,否则你会发现实验不成功,原理很简单,记住一点,在企业环境里,有一些特殊的计算机是不能进行身份验证和加密的,如DC、DHCP、CA、DNS等,如果非得使用,设置不当会使你的整个网络的通信崩溃。
注:必须要让客户端成功应用完第一条策略后,再设置并应用第二条策略!!!
 
希望这篇文档能给你企业应用带来一些帮助!~









本文转自 jary3000 51CTO博客,原文链接:http://blog.51cto.com/jary3000/176199,如需转载请自行联系原作者
目录
相关文章
|
3月前
|
运维 监控 安全
安全运维:入侵检测与防御实战指南
安全运维:入侵检测与防御实战指南 【10月更文挑战第9天】
166 3
|
2月前
|
安全 Windows
【Azure Cloud Service】在Windows系统中抓取网络包 ( 不需要另外安全抓包工具)
通常,在生产环境中,为了保证系统环境的安全和纯粹,是不建议安装其它软件或排查工具(如果可以安装,也是需要走审批流程)。 本文将介绍一种,不用安装Wireshark / tcpdump 等工具,使用Windows系统自带的 netsh trace 命令来获取网络包的步骤
89 32
|
2月前
|
存储 安全 网络安全
Windows Server 本地安全策略
由于广泛使用及历史上存在的漏洞,Windows服务器成为黑客和恶意行为者的主要攻击目标。这些系统通常存储敏感数据并支持关键服务,因此组织需优先缓解风险,保障业务的完整性和连续性。常见的威胁包括勒索软件、拒绝服务攻击、内部威胁、恶意软件感染等。本地安全策略是Windows操作系统中用于管理计算机本地安全性设置的工具,主要包括用户账户策略、安全选项、安全设置等。实施强大的安全措施,如定期补丁更新、网络分段、入侵检测系统、数据加密等,对于加固Windows服务器至关重要。
|
2月前
|
SQL 负载均衡 安全
安全至上:Web应用防火墙技术深度剖析与实战
【10月更文挑战第29天】在数字化时代,Web应用防火墙(WAF)成为保护Web应用免受攻击的关键技术。本文深入解析WAF的工作原理和核心组件,如Envoy和Coraza,并提供实战指南,涵盖动态加载规则、集成威胁情报、高可用性配置等内容,帮助开发者和安全专家构建更安全的Web环境。
89 1
|
3月前
|
Kubernetes 安全 应用服务中间件
动态威胁场景下赋能企业安全,F5推出BIG-IP Next Web应用防火墙
动态威胁场景下赋能企业安全,F5推出BIG-IP Next Web应用防火墙
69 3
|
3月前
|
缓存 安全 网络协议
Windows 安全基础——NetBIOS篇
Windows 安全基础——NetBIOS篇
46 4
|
22天前
|
安全 关系型数据库 MySQL
Windows Server 安装 MySQL 8.0 详细指南
安装 MySQL 需要谨慎,特别注意安全配置和权限管理。根据实际业务需求调整配置,确保数据库的性能和安全。
111 9
|
2月前
|
网络安全 Windows
Windows server 2012R2系统安装远程桌面服务后无法多用户同时登录是什么原因?
【11月更文挑战第15天】本文介绍了在Windows Server 2012 R2中遇到的多用户无法同时登录远程桌面的问题及其解决方法,包括许可模式限制、组策略配置问题、远程桌面服务配置错误以及网络和防火墙问题四个方面的原因分析及对应的解决方案。
147 4
|
2月前
|
监控 安全 网络安全
使用EventLog Analyzer日志分析工具监测 Windows Server 安全威胁
Windows服务器面临多重威胁,包括勒索软件、DoS攻击、内部威胁、恶意软件感染、网络钓鱼、暴力破解、漏洞利用、Web应用攻击及配置错误等。这些威胁严重威胁服务器安全与业务连续性。EventLog Analyzer通过日志管理和威胁分析,有效检测并应对上述威胁,提升服务器安全性,确保服务稳定运行。