Transport Mode

Le scénario de stratégie IPsec en mode transport nécessite la protection du mode de transport IPsec pour tout le trafic correspondant. Tout trafic de texte clair correspondant est supprimé jusqu’à ce que la négociation IKE ou AuthIP soit terminée avec succès. Si la négociation échoue, la connectivité avec l’adresse IP correspondante reste interrompue.

Un exemple de scénario de mode de transport possible est « Sécuriser tout le trafic de données unidiffusion, à l’exception d’ICMP, à l’aide du mode de transport IPsec ».

Pour implémenter cet exemple par programme, utilisez la configuration PAM suivante.

À FWPM_LAYER_IKEEXT_V{4|6} configurer la stratégie de négociation MM

1. Ajoutez un ou les deux contextes de fournisseur de stratégie MM suivants.

   • Pour IKE, un contexte de fournisseur de stratégie de type FWPM_IPSEC_IKE_MM_CONTEXT.
   • Pour AuthIP, un contexte de fournisseur de stratégie de type FWPM_IPSEC_AUTHIP_MM_CONTEXT.

   Note

   Un module de keying commun sera négocié et la stratégie MM correspondante sera appliquée. AuthIP est le module de keying préféré si IKE et AuthIP sont pris en charge.

2. Pour chacun des contextes ajoutés à l’étape 1, ajoutez un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   Conditions de filtrage	Vide. Tout le trafic correspond au filtre.
   providerContextKey	GUID du contexte du fournisseur MM ajouté à l’étape 1.

À FWPM_LAYER_IPSEC_V{4|6} configurer la stratégie de négociation QM et EM

1. Ajoutez un ou les deux contextes de fournisseur de stratégie de mode de transport QM suivants.

   • Pour IKE, un contexte de fournisseur de stratégie de type FWPM_IPSEC_IKE_QM_TRANSPORT_CONTEXT.
   • Pour AuthIP, un contexte de fournisseur de stratégie de type FWPM_IPSEC_AUTHIP_QM_TRANSPORT_CONTEXT. Ce contexte peut éventuellement contenir la stratégie de négociation en mode étendu AuthIP (EM).

   Note

   Un module de clé commune sera négocié et la stratégie QM correspondante sera appliquée. AuthIP est le module de keying préféré si IKE et AuthIP sont pris en charge.

2. Pour chacun des contextes ajoutés à l’étape 1, ajoutez un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   Conditions de filtrage	Vide. Tout le trafic correspond au filtre.
   providerContextKey	GUID du contexte du fournisseur QM ajouté à l’étape 1.

À FWPM_LAYER_INBOUND_TRANSPORT_V{4|6} configurer les règles de filtrage entrant par paquet

1. Ajoutez un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE condition de filtrage	NlatUnicast
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_INBOUND_TRANSPORT_V{4|6}

2. Exemptez le trafic ICMP d’IPsec en ajoutant un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPEcondition de filtrage	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL condition de filtrage	IPPROTO_ICMP{V6}Ces constantes sont définies dans winsock2.h.
   action.type	FWP_ACTION_PERMIT
   poids	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

À FWPM_LAYER_OUTBOUND_TRANSPORT_V{4|6} configurer les règles de filtrage sortant par paquet

1. Ajoutez un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE condition de filtrage	NlatUnicast
   action.type	FWP_ACTION_CALLOUT_TERMINATING
   action.calloutKey	FWPM_CALLOUT_IPSEC_OUTBOUND_TRANSPORT_V{4|6}

2. Exemptez le trafic ICMP d’IPsec en ajoutant un filtre avec les propriétés suivantes.

   Propriété Filter	Valeur
   FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE condition de filtrage	NlatUnicast
   FWPM_CONDITION_IP_PROTOCOL condition de filtrage	IPPROTO_ICMP{V6}Ces constantes sont définies dans winsock2.h.
   action.type	FWP_ACTION_PERMIT
   poids	FWPM_WEIGHT_RANGE_IKE_EXEMPTIONS

Rubriques connexes

exemple de code : utilisation du mode de transport

identificateurs de couche de filtrage

types de contexte de fournisseur

conditions de filtrage

FWPM_ACTION0

identificateurs de légende intégrés