Có thể dùng IPSEC trên Windows 2000/XP/2003 để ngăn chặn Ping packets

Các computer Windows 2000/XP/2003 có phương tiện bảo mật IP được tích hợp được gọi là IPSec (IP Security). IPSec là một giao thức được thiết kế để bảo vệ các TCP/IP packets truyền qua mạng bằng cách dùng mã hóa khóa công -public key encryption. Có thể hình dung đơn giản như sau: Các gói IP packet thông thường được bao bọc bởi gói Ipsec đã mã hóa -encrypted IPSec packet. Và packet này sau đó vẫn giữ thuộc tính mã hóa cho đến khi packet được nhận ở Computer đầu bên kia.

Chúng tôi không đề cập quá chi tiết về các tính năng IPSec ở đây, nhưng các bạn ghi nhớ rằng bên cạnh khả năng mã hóa các gói IP, thì IPSec còn giúp bạn bảo vệ server/workstation thông qua việc cấu hình một số chức năng tương tự firewall.
Vậy thì làm sao bạn có thể bảo vệ Computer mình với IPSec? Chỉ đơn giản bằng cách thực hiện một policy ra lệnh cho Computer hãy ngăn chặn-block tất cả các lưu thông IP được chỉ định trong các quy tắc sẽ thiết lập -rules.

Chặn PING trên một computer
Để thực hiện việc chặn PING tới và từ một computer , bạn cần tạo một IPSec policy cho phép block tất cả ICMP traffic (Internet Control Message protocol, giao thức mà Ping traffic sử dụng). Hình dưới là cấu trúc của ICMP packet mà Ping sử dụng



PING đến một Server và nhận phản hồi:



Để cấu hình trên một computer tiên hành các bước sau:

Cấu hình các IP Filter Lists và Filter actions (danh sách các Ip filter và các hành động đưa ra trên mỗi Ip filter đó)

1. Mở MMC: Start > Run > đánh lệnh MMC.



2. Chọn File, Add/Remove Snap-in, chọn tiếp Add và chọn IP Security and Policy Management.



3. Trong Select which computer this policy will manage (chọn máy tính chính sách này sẽ quản lý) chọn local computer. Click Close và click Ok.



4. Right-click IP Security Policies trong khung trái của MMC console. Chọn Manage IP Filter Lists and Filter Actions.



5. Bạn không cần phải cấu hình một IP Filter riêng cho ICMP (protocol được sử dụng cho lệnh PING) bởi vì một filter mặc định đã có sẵn – tên của nó là All ICMP Traffic.



Tuy nhiênnếu bạn muốn có thể chúng ta sẽ muốn cấu hình nhiều hơn một IP Filter cho ICMP. Ví dụ như, bạn muốn ngăn chặn một server trả lời tất cả các PINGS, ngoại trừ các PINGs cụ thể xác định được gửi từ một computer thuộc phòng hỗ trợ kĩ thuật của cty- Help Desk department. Trong trường hợp này, bạn nên thêm vào một IP Filter mới xác định rõ IP address nguồn (help desk), IP Addresses đích (server của bạn) , và giao thức ICMP được nhận sự phản hồi. Sau đây là ví dụ tạo các IP Filters.

6. Trong Manage IP Filter Lists và Filter actions xem lại các filters cuả bạn đã xác lập và , click vào Manage Filter Actions tab. Bây giờ bạn cần đưa ra quyết định cụ thể (filter action) tiến hành ngăn chặn các traffic mong muốn, click Add.



7. Trong Welcome screen, click Next.
8. Trong Filter Action Name , điền vào Block và click Next



9. Trong Filter Action General Options , click Block , click Next.



10. Quay trở lại Manage IP Filter Lists và Filter actions, xem lại các filters của bạn, click Close. Bạn có thể add Filters và Filter Actions tại bất cứ thời điểm nào .



Bước kế tiếp là cấu hình IPSec Policy và áp đặt.

Cấu hình chính sách IPSec Policy

1. Trong MMC console, right-click IP Security Policies on Local Computer , chọn Create IP Security Policy.



2. Trong Welcome screen , click Next
3. Trong IP Security Policy Name , điền vào tên mô tả policy, chẳng hạn như "Block PING". Click Next



4. Trong Request for Secure Communication window, click để xóa Active the Default Response Rule trong check-box. Click Next



5. Trong Completing IP Security Policy Wizard window, click Finish.



6. Bây giờ chúng ta cần thêm vào các IP Filters và Filter Actions khác nhau cho IPSec Policy. Trong IPSec Policy window mới này, click Add để bắt đầu thêm vào các IP Filters và Filter Actions.



7. Trong Welcome window, click Next.
8. Trong Tunnel Endpoint , đảm bảo rằng xác lập mặc định -default setting, được chọn và click Next.



9. Trong Network Type windows, chọn All Network Connections và click Next



10. Trong IP Filter List window chọn "All ICMP Traffic" (hoặc bất cứ IP Filter nào đã config ở bước #5). Vì một lý do nào đó, nếu bạn đã chưa config IP Filter trước đó, giờ đây có thể nhấn Add và bắt đầu khởi tạo. Khi đã thực hiện, click Next.



11. Trong Filter Action window chọn "Block". (nếu trước đó bạn chưacấu hình Filter Action đúng có thể thực hiện lại ở đây, bằng cách nhấn Add và khởi tọa. Khi đã thực hiện, click Next.



12. Nhận thấy IP Filter đã được tạo.



Ngoài những cấu hình đã thực hiện, bạn có thể tạo tiếp bất kì sự kết hợp nào giữa IP Filters và Filter Actions mà bạn muốn.

Bạn có nhận thấy rằng bạn không thể thay đổi trình tự sắp xếp của chúng như trên các firewalls thực thụ ?. Bất cháp điều này, cấu hình chúng ta vừa thực hiện sẽ làm việc hoàn hảo ...

Giai đoạn kế tiếp là áp đặt IPSec Policy.

Áp đặt IPSec Policy

1. Tại cùng MMC console, right-click vào IPSec Policy mới và chọn Assign.



Thực hiện xong, giờ đây bạn có thể kiểm tra cấu hình bằng cách thực hiện lệnh ping và kiểm tra kết quả phản hồi.