使用 IPsec 与组策略隔离服务器和域－第 5 章：为隔离组创建 IPsec 策略

本章的目的是为实施服务器和域隔离设计提供指示。 先前各章说明了设计过程以及本章提供的指导背后的理论基础。 如果您尚未阅读这几章，则强烈建议您在继续本章之前先阅读它们。

本章为实现第 4 章“设计和规划隔离组”中设计的域隔离和服务器隔离组的安全要求提供全面指导。组合以下元素将实现这些要求：

本指导讨论了解决方案的准备工作，该解决方案在使用 Microsoft® Windows Server™ 2003 时在 Active Directory® 目录服务中使用组策略和 IPsec 策略，并讨论了如何使用 Windows Server 2003 和 Microsoft Windows® XP 配置域成员。 另外，本章还讨论了设计备用方案和部署选项。 提供了最终核对清单，以确保设计满足所有业务和安全要求。

本页内容

	本章先决条件
	在 Active Directory 中创建 IPsec 策略
	授权到隔离组的入站访问
	其他 IPsec 注意事项
	总结

本章先决条件

本节包含一些信息，用来帮助确定您的组织实施 IPsec 解决方案的准备工作。 （准备”是指后勤意识上的准备，而不是商业意识上的准备 — 本指南的第 1 章“服务器和域隔离简介”已讨论过实施本解决方案的商业动机。）

预备知识

您应熟悉 IPsec 的一般概念，特别要熟悉 Microsoft 的 IPsec 实施。 还需要熟悉 Windows Server 2003 的以下方面：

在继续本章之前，应先阅读本指南先前各章提供的规划指南并透彻理解本解决方案的体系结构和设计。 还应定义并记录解决方案的业务要求，以作为解决方案要求矩阵的一部分。

组织先决条件

应咨询组织中其他可能需要参与实施本解决方案的人员的意见，包括以下人员：

IT 基础结构的先决条件

本章还假定存在以下 IT 基础结构：

本章还要求全面了解现有 IT 基础结构，以确保对环境中的既定主机部署正确的策略。 第 3 章“确定 IT 基础结构的当前状态”描述了必需的信息以及获取的方法。 在至少获得以下信息之后，才能执行本章描述的步骤：

返回页首

在 Active Directory 中创建 IPsec 策略

创建支持必需隔离组的必要策略的进程主要包括以下主要任务：

在进行创建这些组件的进程之前，从第 4 章“设计和规划隔离组”获取通信流模型图表以及主机和网络映射表非常重要。 这些表提供必要的信息，以确保策略提供必需的功能且被指派给正确的隔离组。

下图描绘了用于模拟 Woodgrove Bank 方案的网络配置。

图 5.1 Woodgrove Bank 网络配置
查看大图

Woodgrove Bank 测试实验室配置演示了解决方案的以下关键功能：

另外，此实验室环境演示了 Windows IPsec 的下列必需功能，并测试了与现实世界环境中可能使用的其他安全技术的兼容性：

图 5.1 中展示的实验室方案用于测试是否已在解决方案的所有隔离组实现正确功能。 总共为图中显示在粗短划线中的隔离组（即隔离域、加密隔离组、无回退隔离组和边界隔离组）创建和指派了四种 IPsec 策略。以下各节说明这些策略是如何创建的。

IPsec 策略组件概述

IPsec 策略由几个组件组成，这些组件用于实施组织的 IPsec 安全要求。 下图描绘了 IPsec 策略的各种组件以及它们之间如何关联。

图 5.2 IPsec 策略组件
查看大图

IPsec 策略充当一套规则的容器，这些规则确定将允许哪些网络通信流以及如何允许。 每条规则由一个筛选器列表和一个关联操作组成。 筛选器列表包含一组筛选器。 当通信流与特定筛选器匹配时，将触发关联的筛选器操作。 另外，规则还定义在主机之间使用哪些身份验证方法。

此图以从上往下的方式描绘了策略组件。 但是，建立策略最有效的方法是从筛选器和筛选器列表开始，因为它们是控制保护哪个通信流的基础构造块。

IPsec 筛选器列表

IPsec 筛选器列表是一个或多个筛选器的集合，这些筛选器用于根据每个筛选器的标准与网络通信流匹配。 筛选器列表中的每个筛选器定义以下各项：

筛选器列表和筛选器操作设计成可在 IPsec 策略之间被共享。 这种方法允许为某种类型的免除维持一个筛选器列表，并允许在每个隔离组的个别 IPsec 策略中使用同一个筛选器列表。 但是，不能在筛选器列表之间共享组成筛选器列表的筛选器。 如果两个筛选器列表具有相同的筛选器，则必须创建这些筛选器两次，为每个筛选器列表创建一次。

IPsec 管理员应小心避免在 IPsec 策略中使用重复的筛选器，因为这些筛选器可能产生不同的操作。 IPsec 服务可能更改重复筛选器用于数据包处理的次序，从而产生不一致的结果。 当筛选器具有完全相同的操作（如允许或阻止）时，如有必要可以使用重复筛选器，且不会影响性能。

前面收集的网络信息用于确定管理员想保护的各种通信流模式。 另外，该信息还用于确定任何可能需要免除 IPsec 限制的通信流。

下表描述了典型组织中可能存在的一些基本筛选器列表。 根据组织的具体业务要求和网络设计，可能还需要其他筛选器列表。

表 5.1：解决方案提供的筛选器列表

安全子网列表包含组织内部网络内的所有子网。 此筛选器列表与实施特定隔离组所需操作的筛选器操作相关联。 此操作是对该子网所有网络通信流使用最广的安全操作（例如，协商 IPsec），因为其他筛选器（如用于 ICMP 的筛选器）更加特别，将需要不同的操作（如允许）。 切记这种方法意味着那些子网上不得有不受信任的主机或非 IPsec 主机。

这些筛选器必须同时实施入站和出站安全要求。 定义这些筛选器时，应将它们配置为镜像。 镜像确保当使用正好相反的源和目标地址时，也与通信流相匹配。 当描述筛选器时，符号“<->”用于表示该筛选器是镜像的。 每当筛选器操作协商 IPsec 封装的安全措施时，必须使用镜像筛选器。

源和目标地址

每个筛选器对源和目标地址都进行了设置。 Windows XP 和 Windows Server 2003 比 Windows 2000 具有更多的地址选项。 因此，仅当 Windows 2000 是域的成员时，才使用 Windows 2000 设置。 Windows 2000 设置说明如下：

协议

除了源和目标地址配置之外，还可将每个筛选器配置为与特定协议或端口匹配。 默认情况下，筛选器将与所有协议和所有端口上的通信流匹配。 如果选择了支持端口的特定协议作为筛选条件的一部分，则管理员还可以选择配置源和目标端口。

源和目标端口

虽然可将筛选器配置为与 TCP 或 UDP 端口匹配，但是此解决方案建议不要创建特定于端口的筛选器。 端口筛选大幅增加管理开销和 IPsec 筛选器配置的复杂程度，并需要在 IKE 的客户端和服务器策略之间进行复杂的协调才能成功地协商安全性。 因为此解决方案假定受信任计算机之间的通信事实上也是可信任的，所以筛选器允许所有通信流（ICMP 除外）受 IPsec 保护。 如果在受信任主机上需要端口筛选，请参阅 Business_Requirements.xls 以了解相应的安全要求，通过组合使用 IPsec 和位于 IPsec 层之上基于主机的防火墙（如 Windows 防火墙）可满足这些安全要求。

为了解决附录 A 中提到的有关使用“我的 IP 地址”的筛选器行为的一些问题，此解决方案为 Woodgrove Bank 方案使用了“任何 IP 地址 <-> 子网”筛选器。 创建了一个筛选器列表，该列表由多个“任何 IP 地址 <-> 特定子网”筛选器组成，在这些筛选器中显式列出了组织的所有子网。 这种方法允许管理员定义应保护的特定子网。 指定的子网之外的任何通信流将不与任何 IPsec 筛选器匹配，将以明文方式发送到目标主机。

有关筛选器设计的其他最佳做法建议，请参阅 Microsoft TechNet 上的 IT Showcase 白皮书“Improving Security with Domain Isolation: Microsoft IT implements IP Security (IPsec)”的“Best Practices”部分，网址为 www.microsoft.com/technet/itsolutions/msit/
security/ipsecdomisolwp.mspx。

免除列表注意事项

由于支持、技术或商业原因，可能无法使用 IPsec 保护一些通信流。 另外，不运行 Windows 操作系统的计算机可能不支持 IPsec 或不能轻松地给它们部署 IPsec。 运行较旧的 Windows 版本（如 Microsoft Windows NT® 版本 4.0、Windows 95 和 Windows 98）的计算机不能处理基于组策略的 IPsec。 最后，仅当手动将策略部署到个别计算机且使用了某种不同于 Kerberos V5 协议的身份验证（如预共享密钥或证书），运行 Windows 2000 或更高版本的未受管理的计算机才可以参与 IPsec 协商。

另外，运行 Windows 2000 或更高版本的计算机需要拥有网络连接且能从域获得 IPsec 策略，然后才能建立 IPsec。 当前，连接到网络、查找域控制器和检索策略需要免除支持基础结构服务受 IPsec 安全性保护。 这些服务包括命名服务（如 DNS 和 WINS）以及域控制器本身。

除了这些基础结构服务之外，组织中可能存在不支持 IPsec 的其他服务。 例如，需要从高级部署服务 (ADS) 或远程安装服务 (RIS) 下载映像的瘦客户端或其他引导客户端不支持 IPsec。 如果您的网络上存在提供这些服务的服务器，应检查它们是否包括在免除列表中或使它们成为边界隔离组的成员，以便它们可接受来自不能使用 IPsec 的主机的网络通信。

注：决定是否在免除列表上包括提供 ADS、RIS 或其他类似服务的服务器，或是否使它们成为边界隔离组的成员，取决于风险和可管理性因素。 在任一情况下，都应彻底测试所选择的方法。

如果客户端不能参与 IPsec 基础结构但有访问使用 IPsec 的服务器的商业需要，则必须实施某种方法来允许建立通信路径。 本指南中的解决方案使用免除筛选器列表来通过允许操作控制这些通信流要求。 免除列表设计成集成到 IPsec 基础