網(wǎng)絡(luò)的安全性已經(jīng)成為大家關(guān)注的焦點(diǎn)。由于在 IP協(xié)議設(shè)計(jì)之初并沒過多考慮安全問題，因此早期的網(wǎng)絡(luò)中經(jīng)常發(fā)生遭受攻擊或機(jī)密數(shù)據(jù)被竊取等問題。為了增強(qiáng)網(wǎng)絡(luò)的安全性，IP安全(IPSec)協(xié)議應(yīng)運(yùn)而生。Windows 2000/XP/2003操作系統(tǒng)也提供了對(duì)IPSec協(xié)議的支持，這就是我們平常所說的“IPSec安全策略”功能，雖然它提供的功能不是很完善，但只要你合理定制，一樣能很有效地增強(qiáng)網(wǎng)絡(luò)安全。
如何啟用本地IPSec安全策略
筆者以Windows2003系統(tǒng)為例，啟用IPSec安全策略功能非常簡單，介紹如下兩種方法：
方法一：利用MMC控制臺(tái)
第一步：點(diǎn)擊“開始→運(yùn)行”，在運(yùn)行框中輸入“MMC”，點(diǎn)擊“確定”按鈕后，啟動(dòng)“控制臺(tái)”窗口。
第二步：點(diǎn)擊“控制臺(tái)”菜單中的“文件→添加/刪除管理單元”選項(xiàng)，彈出“添加/刪除管理單元”對(duì)話框(如圖1)，點(diǎn)擊“獨(dú)立”標(biāo)簽頁的“添加”按鈕，彈出“添加獨(dú)立管理單元”對(duì)話框。
第三步：在列表框中選擇“IP安全策略管理”(如圖2)，點(diǎn)擊“添加”按鈕，在“選擇計(jì)算機(jī)”對(duì)話框中，選擇“本地計(jì)算機(jī)”，最后點(diǎn)擊“完成”。這樣就在“MMC控制臺(tái)”啟用了IPSec安全策略。
方法二：利用本地安全策略
進(jìn)入“控制面板→管理工具”選項(xiàng)，運(yùn)行“本地安全設(shè)置”選項(xiàng)，在“本地安全設(shè)置”窗口中展開“安全設(shè)置”選項(xiàng)，就可以找到“IP安全策略，在本地計(jì)算機(jī)”。
IPSec安全策略的組成
為了增強(qiáng)網(wǎng)絡(luò)通信安全或?qū)蛻魴C(jī)器的管理，網(wǎng)絡(luò)管理員可以通過在Windows系統(tǒng)中定義IPSec安全策略來實(shí)現(xiàn)。一個(gè)IPSec安全策略由IP篩選器和篩選器操作兩部分構(gòu)成，其中IP篩選器決定哪些報(bào)文應(yīng)當(dāng)引起IPSec安全策略的關(guān)注，篩選器操作是指“允許”還是“拒絕”報(bào)文的通過。要新建一個(gè)IPSec安全策略，一般需要新建IP篩選器和篩選器操作。
IPSec安全策略應(yīng)用實(shí)例一級(jí)標(biāo)題
目的：阻止中IP為“192.168.0.2”的機(jī)器訪問Windows2003終端。
很多服務(wù)器都開通了終端服務(wù)，除了使用用戶權(quán)限控制訪問外，還可以創(chuàng)建IPSec安全策略進(jìn)行限制。
第一步：在Windows 2003服務(wù)器的IP安全策略主窗口中，右鍵點(diǎn)擊“IP安全策略，在本地計(jì)算機(jī)”，選擇“創(chuàng)建IP安全策略”選項(xiàng)，進(jìn)入“IP安全策略向?qū)А?，點(diǎn)擊“下一步”，在“IP安全策略”名稱對(duì)話框中輸入該策略的名字(如圖3)，如“終端服務(wù)過濾”，點(diǎn)擊“下一步”，下面彈出的對(duì)話框都選擇默認(rèn)值，最后點(diǎn)擊“完成”按鈕。
第二步：為該策略創(chuàng)建一個(gè)篩選器。右鍵點(diǎn)擊“IP安全策略，在本地計(jì)算機(jī)”，在菜單中選擇“管理IP篩選器表和篩選器操作”，切換到“管理IP篩選器列表”標(biāo)簽頁(如圖4)，點(diǎn)擊下方的“添加”，彈出的“IP 篩選器列表”對(duì)話框，在“名稱”輸入框中輸入“終端服務(wù)”，點(diǎn)擊“添加”，進(jìn)入“IP篩選器向?qū)А贝翱?，點(diǎn)擊“下一步”，在“源地址”下拉列表框中選擇“一個(gè)特定IP地址”，然后輸入該客戶機(jī)的IP地址和子網(wǎng)掩碼，如“192.168.0.2”。點(diǎn)擊“下一步”后，在“目標(biāo)地址”下拉列表框中選擇“我的IP地址”，點(diǎn)擊“下一步”，接著在“選擇協(xié)議類型”中選擇“TCP”協(xié)議(如圖5)，點(diǎn)擊“下一步”，接著在協(xié)議端口中選擇“從任意端口，到此端口”，在輸入框中填入“3389”，點(diǎn)擊“下一步”后完成篩選器的創(chuàng)建(如圖6)。
第三步：新建一個(gè)阻止操作。切換到“篩選器操作”標(biāo)簽頁，點(diǎn)擊“添加”按鈕，進(jìn)入到“IP安全篩選器操作向?qū)А?，點(diǎn)擊“下一步”，給這個(gè)操作起一個(gè)名字，如“阻止”，點(diǎn)擊“下一步”，接著設(shè)置“篩選器操作的行為”，選擇“阻止”單選項(xiàng)(如圖7)，點(diǎn)擊“下一步”，就完成了“IP安全篩選器操作”的添加工作。
最后在IP安全策略主窗口中，雙擊第一步建立的“終端服務(wù)過濾”安全策略，點(diǎn)擊“添加”按鈕，進(jìn)入“創(chuàng)建IP安全規(guī)則向?qū)А?，點(diǎn)擊“下一步”，選擇“此規(guī)則不指定隧道”，點(diǎn)擊“下一步”，在網(wǎng)絡(luò)類型對(duì)話框中選擇“局域網(wǎng)”，點(diǎn)擊“下一步”，在接下來對(duì)話框中選擇默認(rèn)值，點(diǎn)擊“下一步”，在IP 篩選器列表中選擇“終端服務(wù)”選項(xiàng)，點(diǎn)擊“下一步”，接著在篩選器操作列表中選擇“阻止”，最后點(diǎn)擊“完成”。
完成了創(chuàng)建IPSec安全策略后，還要進(jìn)行指派，右鍵單擊“終端服務(wù)過濾”，在彈出的菜單中選擇“指派”，這樣就啟用了該IPSec安全策略 。局域網(wǎng)中IP為“192.168.0.2”的機(jī)器就不能訪問Windows 2003終端服務(wù)器了。
補(bǔ)充：Windows系統(tǒng)的IPSec安全策略也存在不足，一臺(tái)機(jī)器同時(shí)只能有一個(gè)策略被指派。
IPSec安全策略驗(yàn)證一級(jí)標(biāo)題
指派了我們創(chuàng)建的IP安全策略后，它是否真的生效了呢?
如果你不放心的話，也可以在“命令提示符”下使用“gpupdate /force”命令強(qiáng)行刷新IPSec安全策略。
驗(yàn)證指派的IPSec安全策略很簡單，在“命令提示符”下輸入“netsh ipsec dynamic show ALL”命令(該命令只能在Windows2003系統(tǒng)使用)，然后返回命令結(jié)果。這樣，我們就能很清楚地看到該IP安全策略是否生效了。