Как работает протокол ipSec
На рис. 9.11 схематически изображена работа протокола IPSec. Хост с активной политикой безопасности хочет установить соединение с другим компьютером, использующим политику безопасности.
Хост А пытается передать данные. IPSec-драйвер хоста А связывается с IPSec-драйвером хоста В для установления ассоциированной безопасности (SA) , о которой пойдет речь в следующем разделе.
Два компьютера производят обмен секретными ключами проверки подлинности, создавая секретные ключи совместного пользования.
Используя методику безопасности, согласованную в SA, хост А подписывает и шифрует пакеты, предназначенные для хоста В.
Хост В получает пакеты, и драйвер IPSec проверяет подпись и ключ пакетов. После аутентификации данные передаются по стеку в хост В.
Разумеется, весь процесс происходит быстро и незаметно для пользователей компьютеров А и В. Однако на шифрование и дешифрование этих пакетов расходуются дополнительные циклы работы процессора.
Согласование протоколов ipSec
На каждом компьютере в Windows XP/2000/.NET сетях имеется агент IP-политки. Является он активным или нет, решает администратор. Если агент активен, то он извлекает IPSec-политику, которая описывает согласование методов локальной защиты, и внедряет ее на локальном компьютере.
Рис. 9.11. Для обмена информацией два хоста устанавливают связь посредством протокола IPSec
SA является контрактом, заключаемым между двумя компьютерами до начала обмена данными. В этом соглашении определены следующие особенности обмена данными.
Протокол IPSec. Заголовок аутентификации, инкапсулированная полезная нагрузка.
Алгоритм целостности. Message Digest 5, алгоритм безопасного хэширования.
Алгоритм шифрования. Data Encryption Standard (DES), Triple DES, 40-битное DES или никакого.
Установка ipSec-политики
По умолчанию Windows XP Professional предоставляет три вида заранее определенной политики безопасности, которые подходят для большинства случаев. Вы также можете начать с одного из этих видов политики и модифицировать его в соответствии со своими нуждами. Ниже дается описание этих политик.
Client (Работает только в режиме отклика). Компьютеру дается указание использовать протокол IPSec, если другой компьютер запрашивает его. IPSec не требуется при установке связи с другим компьютером. Эта политика лучше всего подходит для компьютеров, в которых находится очень мало или отсутствуют секретные данные.
Server (Защита желательна). Эта политика предназначена для серверов, которые должны по мере возможности использовать протокол IPSec, но не отменяют сеанс связи, если клиент не поддерживает IPSec. При необходимости тотальной безопасности должна применяться политика Secure Server, описанная ниже. Политика Server применяется в таком окружении, где не каждый клиент может использовать IPSec. Например, во время миграции из системы Windows NT.
Secure Server (Защита обязательна). Эта политика подходит для серверов, содержащих секретные данные. Она требует использования IPSec всеми клиентами. Все исходящие соединения безопасны, а все небезопасные запросы клиентов получают отказ.
Выбор правильной политики основывается на тщательной оценке данных. Необдуманное предписание самого высокого уровня безопасности для всех пользователей и серверов создаст огромную и ненужную нагрузку на серверах и клиентских рабочих станциях. Это связано с дополнительной работой компьютеров по шифрованию и дешифрованию всего сетевого трафика. Однако разрешение любому клиенту устанавливать связь с безопасным сервером открывает широкий доступ для потока небезопасной информации.