IPSec und kein Ende in Sicht !

[ChristianHemker 10]

Nach meinen Erfahrungen in Testumgebungen und Schulungsnetzen kann ich das Verhalten nur als korrekt (Wie von Microsoft dokumentiert) beschreiben. Allerdings waren das dann auch immer keine dauerhaften IPSec Einrichtungen.

In diesen Umgebungen wurde alles einwandfrei verschlüsselt und Ping wurde dauerhaft unverschlüsselt durchgelassen. Das funktionierte mit allen sinnvollen Richtlinienkombinationen.

[IThome 10]

Warum diese Sicherheitsregel dann allerdings bei den Sicherheitsrichtlinien definiert ist, kann ich nicht verstehen?

ICMP wird zur Fehlerdiagnose benutzt, kommt keine sichere Verbindung zustande , kann hiermit z.B. die grundsätzliche Erreichbarkeit überprüft werden. Ausserdem kann der mit dieser Richtlinie abgesicherte Server von jedem via ICMP erreicht werden, der keine zugewiesene Sicherheitsrichtlinie hat (also z.B. auch von einem DC, der per PING feststellt, ob die anzuwendenden Gruppenrichtlinien über eine langsame Verbindung angewendet werden). Wie auf welche Art auf Netzwerkverkehr reagiert wird, wird durch das Lastgewicht der IPSec-Filter festgelegt

http://www.microsoft.com/germany/technet/datenbank/articles/600635.mspx

edit: hab´s im nachhinein noch mehrfach geändert, weil es mir nicht richtig gefiel ... :D

edit2: hab´s mal gesnifft, hat mir keine Ruhe gelassen. Besteht noch keine Sicherheitsverknüpfung, schickt der Client (Client (nur Antwort)) ICMP Echo Request Pakete zum Server, da der Client von sich aus niemals eine Sicherheitsaushandlung beginnt. Der Server antwortet wegen des konfigurierten ICMP-Filters unverschlüsselt mit ICMP Echo Reply Paketen. Besteht aber eine Sicherheitsverknüpfung, schickt der Client nur noch ESP-Pakete, in denen sich die ICMP-Nutzlast befindet (um die Nutzlast zu sehen, habe ich auf Client und Server einen Proposal erstellt, der keine ESP-Vertraulichkeit und nur ESP-Integrität beinhaltet und diese Proposals nach oben geschoben). Der Server antwortet nicht etwa ebenfalls mit ESP-Paketen, sondern anhand seines ICMP-Filters mit ICMP Echo Reply Paketen. Der Server verhält sich also genau so, wie er soll ...