制定IPSec安全策略的注意事項

　　慎用IPSec安全策略“防Ping”

　　使用IPSec安全策略“防Ping”，是大家常用的一種方法，經過對IPSec安全策略簡單的幾步配置，就可以實現防Ping的效果。該方法配置比較簡單，並且IPSec安全策略是Windows系統內置的一個功能組件，不需要額外安裝，因此得到不少用戶的喜愛。但這裡筆者還是要提醒大家，使用IPSec安全策略“防Ping”，還是要慎用。

　　為什麼這麼說呢?首先我們看看IPSec安全策略是如何“防Ping”的，其原理是通過新建一個IPSec策略來過濾掉本機所有的ICMP數據包實現的。這樣確實是可以有效的“防Ping”，但同時也會留下後遺症。

　　因為Ping命令和ICMP協議(Internet Control and Message Protocal)有著密切的關系，在ICMP協議的應用中包含有11種報文格式，其中Ping命令就是利用ICMP協議中的“Echo Request”報文進行工作的。但IPSec安全策略防Ping時采用格殺勿論的方法，把所有的ICMP報文全部過濾掉，特別是很多有用的其它格式的報文也同時被過濾掉了。因此在某些有特殊應用的局域網環境中，容易出現數據包丟失的現象，影響用戶正常辦公，因此筆者建議大家還是要慎用IPSec安全策略“防Ping”。

　　使用第三方防火牆工具來防范

　　大家已經知道了IPSec安全策略“防Ping”的不足之處，為了保證本地機器發出的數據包通過網絡被正確的傳送給目標主機，大家可以采用別的更加有效的方法，如使用網絡防火牆“防Ping”。

　　對於一般的上網用戶來說，使用個人網絡防火牆“防Ping”是最簡單的一種方法。應用此方法“防Ping”不需要進行復雜的設置，只要您正確配置好防火牆內置的“防Ping”規則，就可以輕松實現“防Ping”的目的。個人網絡防火牆的種類較多，幾乎都可以有效實現“防Ping”，如天網個人防火牆、瑞星個人網絡防火牆、Windows防火牆(或ICF)等，下面筆者以瑞星個人網絡防火牆為例，介紹如何配置防火牆實現“防Ping”目的。

　　運行瑞星個人網絡防火牆主程序後，在主窗口中點擊“設置→設置規則”選項，彈出“瑞星個人網絡防火牆規則設置”窗口，在規則列表中一定要選中“缺省的ICMP入站”規則，接著雙擊此規則，彈出“規則屬性”對話框(如圖1)，在這裡大家可以進行詳細參數設置，在“類別”框中選中“系統”選項，“方向”框中選擇“接收”選項，“協議”框中一定要選中Ping命令使用的“ICMP”協議了，操作框中選擇“禁止”選項。這裡要注意ICMP報文類型的選擇，切換到“ICMP類型”標簽頁中，在“類型”下拉列表框中一定要選擇“Echo Request”項，最後點擊“修改”按鈕，保存設置。這樣瑞星個人網絡防火牆就可以過濾掉，Ping命令所使用的名為“Echo Request”的ICMP報文了，而別的有用的ICMP報文則可以安全通過。完成以上設置後，就實現了利用個人網絡防火牆有效“防Ping”的目的。

　　使用“路由與遠程訪問”組件

　　對於局域網用戶來說，個人網絡防火牆就很難滿足他們的需要了，這時您就要使用企業級的網絡防火牆“防Ping”，如ISA 2004等，但對於一些小型局域網來說，這些企業級防火牆過於昂貴，難以接受，其實利用Windows 2000/Server 2003服務器操作系統的“路由和遠程訪問”組件就能解決這個問題，並且該組件是Windows系統內置的，不需要額外購買。

　　下面我以Windows Server 2003系統為例，介紹如何利用“路由和遠程訪問”組件“防Ping”。大家都知道，“路由和遠程訪問”組件內置了路由表管理、VPN服務、IP報文過濾等功能，默認情況下，Windows Server 2003系統並沒有啟用路由和遠程訪問服務，所以要首先手工啟用它。在Windows Server 2003網關服務器中，進入到“控制面板→管理工具”窗口，運行“路由和遠程訪問”工具，在“路由和遠程訪問”主窗口中，右鍵點擊“本地”服務器，在彈出的菜單中選擇“配置並啟用路由及遠程訪問”選項，接著在“路由及遠程訪問服務器安裝向導”對話框中點擊“下一步”按鈕，選擇“自定義配置”選項，然後點擊“下一步”，在接下來的窗口中選擇“LAN路由器”選項，最後點擊“完成”按鈕。

　　在“路由和遠程訪問”主窗口中依次展開“IP路由選擇→常規”選項，接著在“常規”框體中右鍵點擊接入互聯網的那塊網卡(如圖2)，選擇“屬性”選項，然後在屬性對話框中點擊“入站篩選器”按鈕，彈出“入站篩選器”對話框後，選擇“接收所有除符合下列條件以外的數據包”選項，下面點擊“新建”按鈕，彈出“添加IP篩選器”對話框(如圖3)，在協議下拉列表框中選擇“ICMP”協議，接著在“ICMP類型”和“ICMP代碼”欄中分別輸入“8和0”，最後點擊“確定”按鈕。其中ICMP類型為“8”、ICMP代碼為“0”的報文就是Ping命令所使用的“Echo Request”報文，最後點擊“確定”按鈕，完成“防Ping”設置。

　　以上我介紹了幾種不同的“防Ping”方法，分別適用於不同的網絡環境，如果您感興趣的話，不妨試試。

　　圖1 設置瑞星個人防火牆

　　圖2 選擇連通網絡的網卡

　　圖3 添加IP篩選器