Изменение существующих политик IPSec

В большинстве случаев лучше всего начать работу с политиками IPSec с изменения одной из существующих, поскольку они уже сконфигурированы и требуют лишь небольшого вмешательства. Чтобы работать с политиками IPSec, используя локальную политику безопасности, выполните следующие действия.

1. Откройте консоль Локальная политика безопасности (Local Security Policy) — Пуск > Панель управления > Производительность и обслуживание > Администрирование > Локальная политика безопасности (Start > Control > Panel > Performance and Maintenance > Administrative Tools > Local Security Policy).

2. Щелкните по ветви Политика безопасности IP (IP Security), чтобы отобразить ее содержимое.

3. Чтобы просмотреть описание политики, дважды щелкните по ней, чтобы открыть диалоговое окно Свойства (Properties) с открытой вкладкой Правила (Rules), а затем щелкните по вкладке Общие (General).

4. На вкладке Общие можно изменить следующие параметры:

— имя правила: отображается в оснастке Политика безопасности IP (IP Security Policy);

— описание правила: к примеру, отметьте здесь вносимые изменения и эффект от их применения;

— интервал, через который Windows ХР Professional должен опрашивать Active Directory на предмет изменений в политике: этот параметр работает, только если компьютер входит в состав домена.

5. На вкладке Общие можно щелкнуть по кнопке Дополнительно (Advanced),

чтобы отобразить диалоговое окно Параметры обмена ключами (Key Changes

Settings) — рис. 43.1а, — в котором задаются следующие параметры:

— поставить флажок Основной ключ безопасности пересылки (Master Key Perfect Forward Secrecy), если Windows XP Professional должна заново аутентифицировать и определять основной ключ всякий раз, когда нужен новый ключ сеанса;

— уменьшить значение Проверять подлинность и создавать новый ключ через каждые лл минут (Authenticate And Generate A New Key After Every nn Minutes), чтобы улучшить безопасность, меняя ключи чаще;

— чтобы Windows ХР Professional получала новый ключ после указанного количества сеансов, ввести нужное число в поле Проверять подлинность и создавать новый ключ каждые лл сеансов (Authenticate And Generate А New Key After Every nn Sessions); по умолчанию это значение равно О, что ничего не меняет; если поставите галочку Основной ключ безопасности пересылки (Master Key Perfect Forward Secrecy), то Windows XP Professional сделает это значение равным 1 и не позволит его менять; - чтобы задать предпочитаемый метод безопасности, щелкнуть по кнопке Методы (Methods) и использовать диалоговое окно Методы безопасности при обмене ключами (Key Exchange Security Methods) На вкладке Правила (Rules) вы можете поставить или снять флажки для существующих правил в поле Правила безопасности IP (IP Security Rules), чтобы применить их в политике или отключить. Можно редактировать правило, дважды щелкнув по нему и используя параметры на вкладках открывшегося окна Свойства: Изменить правило (Edit Rule Properties) — рис. 43.2. (Заметьте, что набор вкладок в диалоговом окне Свойства: Изменить правило варьируется в зависимости от редактируемого правила).

7. На вкладке Методы безопасности (Security Methods) диалогового окна Свойства: Изменить правило (Edit Rule Properties) вы можете сделать следующие изменения:

— использовать кнопки Вверх (Move Up) и Вниз (Move Down) для изменения порядка предпочтений методов безопасности;

— добавлять новые методы безопасности, щелкая по кнопке Добавить (Add) и выбирая нужные варианты в диалоговом окне Новый метод безопасности (New Security Method): Шифрование и обеспечение целостности (Encryption And Integrity) (используемый ESP), Только обеспечение целостности (Integrity Only) (используемый АН) или Настраиваемая безопасность (Custom); если выбран вариант Настраиваемая безопасность (Custom), нажмите кнопку Параметры (Settings) и используйте открывшееся диалоговое окно для определения специальных параметров;

— редактировать существующие методы безопасности: выберите их, щелкните Изменить (Edit) и работайте в диалоговых окнах Изменить метод безопасности (Modify Security Method) и Параметры особого метода безопасности (Custom Security Method Settings);

— удалить метод безопасности: выберите его, щелкните по кнопке Удалить (Remove), а'затем по кнопке Да (Yes) в окне подтверждения Управление политикой безопасностью IP (IP Security Management);

- настроить безопасность, поставив флажок Сеансовые циклы безопасности пересылки (Session Key Perfect Forward Secrecy); этот параметр заставляет Windows ХР Professional создавать новый основной ключ каждый раз, когда необходим новый ключ сеанса. 8. На вкладке Методы проверки подлинности (Authentication Method) диалогового окна Свойства: Изменить правило (Edit Rule Properties) можно изменить типы проверки подлинности, используемые правилом, и порядок их применения. По умолчанию для Windows ХР Professional, входящего в состав домена, используется Kerberos V5. Альтернативой является использование указанного сертификата или предварительного ключа.