高级安全Windows防火墙(上)之IPSec --- Windows2008新功能系列之三-阿里云开发者社区

开发者社区> 安全> 正文
登录阅读全文

高级安全Windows防火墙(上)之IPSec --- Windows2008新功能系列之三

简介:
   大家都知道,安全无疑是当前企业最为关心的话题,windows2008已经诞生一年多了,相信朋友们对于2008的部署及各项新功能,已经了如指掌了吧?!今天我们就来看看如何利用2008的改进功能来实现企业的安全通信。
网络拓朴:
单域,双子网,具体IP如上图所设置,其中w08a是DC,w08b是文件服务器,其余均是加入域的客户端。域名contoso.com,w08a兼作DNS服务器,CA服务器、DHCP服务器等。
 
企业要求:
1. 实现域内所有客户端之间通信全部加密(ICMP除外)
2. 实现域内所有客户端和文件服务器10.1.1.6之间通信全部加密。
3. 若用户不登录域,则无法和域内的客户端或文件服务器通信。
 
分析:针对企业目的,可以实现的方法很多,但最简单最直接的方法还是利用IPSec,我在《安全系列》中已经讲到使用IPSEC实现,各位可以参考。但如果用2003的IPSEC的话,实现起来有些麻烦,而且2003的IPSEC的身份验证只是针对计算机,不能实现第3点功能,即针对用户进行身份验证,要想实现只能另辟溪径。在这里我们使用windows 2008的IPSec可以轻松搞定。
    Windows Server 2008的IPSec和高级安全Windows防火墙(以下简称WFAS),集中到了一起,如下图所示:
 
在“连接安全规则”里可以设置IPSec策略
具体的打开方式有两种:
1. 利用MMC,添加删除管理单元---WFAS即可(适合于vista、WIN7)
2. 管理工具---WFAS(适合于windows 2008)
注意:通过WFAS新建的“连接安全规则”,只适用于windows 2008、vista、win7,如果使用原来的IPSec,只能通过IP安全策略管理来完成,即在MMC中添加IP安全策略管理。
 
解决思路:
由于企业是域环境,所以我们通过域中的组策略统一为客户端部署IPSec。首先我们需要在DC上利用ADUC新建一个GPO,并链接到域上。然后在这个GPO中设置相应的策略即可。这样域里的所有客户端均要加载,包括DC自己,但在本例中DC和其它客户端的通信不需要IPSEC加密,因此DC在我们免除列表里(即不需要身份验证和加密通信)。
 
一、在DC上新建GPO,取名为IPSec,链接到域上。
打开gpmc.msc后,如下图所示:
单击后,如下图所示,输入名字:
 
再次单击确定,然后在此GPO上右击,如下图所示:
 
选择“编辑”,如下图所示:
 
对于windows2008、vista、win7我们可以选择“连接安全规则”来设置IPSEC通信,如果是老版本的操作系统,我们可以选择“IP安全策略.....”这一项进行设置。
 
二、创建免除列表通信规则
1. 右击“连接安全规则”,选择“新规则”,如下图所示:
 
如下图我们选择第二项,所示:
 
选择第二项的含义,指的是这个通信不需要进行身份验证。单击下一步:
 
在这里,我们需要输入不进行身份验证的计算机的IP或地址范围,再次单击下一步,如下图所示:
 
选择默认不变,将这个应用于这三种环境,再次单击下一步,如下图所示,并给这条规则取名,单击完成。
 
注意,设置完这条规则后,一定要使所有的客户端加载此条策略设置,有三种方法:
第一种方法,客户端运行gpupdate /force,包括DC
第二种方法,客户端等一段时间,一般是90-120分钟不等
第三种方法,所有客户端重启。当然在企业里我们部署时,建议做完上述后,第二天或等一段时间后,再进行下面的第三步。
    在这里,我们是实验环境,直接在DC和客户端上运行Gpupdate /force就可以了。
    运行完后,建议在客户端上ping 下DC,正常能通信就OK了。注意:这个通信是不使用IPSEC进行身份验证和加密的。
 
三、创建域内IPSec通信规则
同上所述,我们再次创建一条IPSEC规则,如下图所示:
 
我们选择“隔离”,意味着必须要进行身份验证和加密通信,否则将不允许通信。单击下一步,如图所示:
 
我们选择第三项,意味着通信双方不管如何访问(入站或出站),均需身份验证。单击下一步,如下图所示:
 
我们选择相应的身份验证方式,第二项,即用户或计算机均需要Kerberos V5,只有在域环境下方可进行。单击下一步,如下图所示:
 
再次单击下一步,如下图,我们取名后,单击完成。
 
做完后,如下图,我们已经有了两条策略规则:
 
让我们的所有客户端都立即应用一下,gpupdate /force吧。
 
四、测试
我们怎么知道客户端是否应用了相应的组策略了呢?两种方式得知:
1. 打开客户端的WFAS,展开如下图所示,看有没有在域的GPO上所设置的两条规则:
 
2. 我们在w08c上ping 一下w08b和w08a,如:
ping -t 10.1.1.6
ping -t 10.1.1.5
然后,我们再次利用WFAS中的监视,如下图我们只能看到10.1.1.6,因为它和w08c是需要身份验证和加密的。而10.1.1.5的通信却没有,这是正常的。如下图所示:
 
其实你在快速模式中也可以看到。这里主模式和快速模式是IPSEC通信的两个阶段。
 
五、排除ICMP通信,完成实验。
但我们企业要求ICMP的通信不需要身份验证和加密,因此我们再次回到DC的组策略管理控制台,再次编辑IPSEC这个GPO,如下图所示:
 
选择“属性”后,如下图所设置即可:
 
然后所有的客户端gpupdate /force刷新,再次测试ping,发现没有身份验证了。而当我们访问共享资源时,如从w08c(172.16.1.7)访问w08b(10.1.1.6)共享资源时,我们打开监视,看到如下图所示:
 
下面我们把w08c注销,用本地用户的身份登录,再次访问10.1.1.6的共享资源,发现却不能访问,原来是用户的身份验证通不过。如下图所示:
 
全部实验结束!
 
小结:其实这个实验难度并不大,关键在于合理的应用组策略来统一设置IPSEC。其中有两条策略,这两条策略一定不能先做第二条,否则你会发现实验不成功,原理很简单,记住一点,在企业环境里,有一些特殊的计算机是不能进行身份验证和加密的,如DC、DHCP、CA、DNS等,如果非得使用,设置不当会使你的整个网络的通信崩溃。
注:必须要让客户端成功应用完第一条策略后,再设置并应用第二条策略!!!
 
希望这篇文档能给你企业应用带来一些帮助!~









本文转自 jary3000 51CTO博客,原文链接:http://blog.51cto.com/jary3000/176199,如需转载请自行联系原作者

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章