Konfiguracja protokołu IPSec w systemie Windows Vista

System operacyjny Windows Vista posiada udoskonaloną wersję zapory sieciowej znaną ze starszych systemów operacyjnych firmy Microsoft. Rozwinięto w niej możliwości konfiguracyjne np. o zintegrowane ustawienia szyfrowanej transmisji.

1    Podstawowa konfiguracja zapory sieciowej

Nową cechą zintegrowanej z systemem Windows Vista zapory systemowej jest dwukierunkowa filtracja transmisji wraz z kontrolą zawartości pakietów, co pozwala na blokowanie niepożądanej transmisji danych do i z komputera. Dodatkowo blokowane wszystkie przychodzące połączenia, dopóki nie zostaną zainstalowane najnowsze aktualizacje zabezpieczeń systemu.

Zapora sieciowa współpracuje z mechanizmem ‘Windows Service Hardening’, co zapewnia dodatkową ochronę przed złamaniem zabezpieczeń systemu. Windows Service Hardening kontroluje najważniejsze usługi systemowe i blokuje wykonanie przez nie w rejestrze, systemie plików, sieci podejrzanych czynności, które z reguły są efektem działania szkodliwego oprogramowania.

Włączenie lub wyłączenie zapory sieciowej odbywa się w podstawowym oknie ustawień, które pojawia się po otworzeniu ikony „Centrum zabezpieczeń” znajdującej się w panelu sterowania systemu Windows Vista. Z listy po lewej wybiera się pozycję „Zapora systemu Windows” a następnie „Zmień ustawienia”. Do wyboru dostępne są pozycje:

Rys. 16.  Okno ustawień Zapory systemu Windows.

Włącz (zalecane) – ustawienie domyślne. Zapora jest włączona, większość programów ma zablokowany dostęp do sieci. Jeśli jakiś program ma posiadać dostęp do sieci należy utworzyć wyjątek na karcie Wyjątki.

Blokuj wszystkie połączenia przychodzące - to ustawienie może by włączone po wcześniejszym zaznaczeniu opcji Włącz. Blokuje ono wszystkie połączenia przychodzące. Zastosowanie znajduje w sytuacjach gdy potrzebna jest podwyższona ochrona, np. podczas korzystania z publicznej sieci bezprzewodowej. Opcja to powoduje, że firewall ignoruje wszystkie skonfigurowane wyjątki.

Wyłącz (niezalecane) – opcja ta stosowana jest w przypadkach gdy komputer jest chroniony przez inne oprogramowanie typu firewall. Powoduje wyłączenie zapory i komputer staje się łatwiejszym celem dla hakerów czy szkodliwego oprogramowania.

Standardowo Zapora systemu Windows blokuje wszystkie połączenia przychodzące z wyjątkiem tych, dla których został skonfigurowany wyjątek. Odwrotnie działa w przypadku ruchu wychodzącego zapora kiedy to zezwala na wszystkie połączenia z wyjątkiem zablokowanych. Wyjątki  połączeń przychodzących konfiguruje się z poziomu Panelu sterowania, natomiast reguły ruchu wychodzącego tworzy się w panelu konfiguracji zaawansowanej.

Jeśli jakiś program korzysta z połączeń przychodzących możliwe jest odblokowanie go przez zaznaczenie odpowiedniego pola wyboru w zakładce „wyjątki”. Gdy nie ma go na podstawowej liście można go dodać przez podanie jego ścieżki dostępu.

Działanie omówionych wyjątków polega na otwarciu konkretnego portu w sytuacji, gdy zażąda tego aplikacja. Po zakończeniu komunikacji port jest zamykany. Zdarza się, że konkretny port musi zostać otwarty na stałe, wtedy w oknie Ustawienia Zapory systemu Windows na karcie Wyjątki korzystamy z opcji Dodaj port.

2. Zaawansowana konfiguracja zapory sieciowej

Rys.17.  Okno zaawansowanych ustawień Zapory systemu Windows.

Okno zaawansowanych zabezpieczeń włącza się przez wpisaniu komendy „wf.msc” w polu „rozpocznij szukanie” w Menu Start bądź też po wybraniu opcji „Zapora systemu Windows z zabezpieczeniami zaawansowanymi” w narzędziach administracyjnych w panelu sterowania. Pozwala ono na  dostęp do zaawansowanych ustawień zapory sieciowej m.in. konfigurację protokołu IPSec (szyfrowane połączenia).
W lewym oknie są wymienione trzy kategorie reguł:

• Reguły przychodzące dotyczące ruchu z sieci w stronę komputera,
• Reguły wychodzące,
• Reguły zabezpieczeń połączeń.

Dwie pierwsze kategorie obejmują reguły zapory sieciowej, trzecia służy przechowywaniu reguł IPSec. W środkowym panelu przedstawione są informacje podsumowujące konfigurację zapory. Poprzez prawy panel możliwy jest dostęp do zaawansowanych właściwości firewalla.

Rys.18.  Okno konfiguracyjne profili Zapory systemu Windows.

Zapora posiada trzy wbudowane profile umożliwiające sporządzenie różnych konfiguracji, używanych w zależności od sieci, do której komputer jest aktualnie podłączony. Aby  otworzyć panel konfiguracji profili zapory systemowej i protokołu IPSec należy wybrać pozycję „właściwości” z prawego okna konfiguracji zaawansowanej

Profile są odpowiednikami zbiorami reguł filtrowania komunikacji sieciowej, wybieranymi przez zaporę w zależności od tego, do jakiej sieci komputer jest podłączony.

Profil domeny jest używany, gdy komputer został podłączony do sieci lokalnej z domeną, profil publiczny ma zastosowanie w sytuacjach gdy komputer jest podłączony do sieci lokalnej bez domeny, natomiast profil publiczny, gdy komputer jest podłączony do Internetu. Takie rozdzielenie profili powoduje, że funkcjonalnie zapora Windows dostosowuje się do aktualnego środowiska sieciowego.

Każdy profil ma możliwość indywidualnego włączenia bądź wyłączenia zapory. Jeśli zapora jest włączona na danym profilu, dostępny jest wybór jednej z dwóch trybów filtrowania komunikacji: zapora przepuszcza wszystkie dane i blokuje tylko spełniające warunki reguł przy opcji „Zezwalaj”, lub zapora blokuje wszystkie dane z wyjątkiem tych spełniających warunki reguł przy opcji „Zablokuj”.

Zapora domyślnie wyświetla komunikaty o zablokowaniu programu, który próbował użyć łącza internetowego. Programiści zapory przewidzieli opcję indywidualnych ustawień dla wyświetlanych komunikatów, które są dostępne po wciśnięciu przycisku „Dostosuj” w sekcji ustawienia.