Zwei in die Domäne eingebundene Windows Server 2022-Hosts (App1 und App2) befinden sich im selben Subnetz. Sie müssen sicherstellen, dass nur der SMB-Datenverkehr zwischen App1 und App2 mit IPsec verschlüsselt wird; der gesamte andere Datenverkehr zwischen den Hosts soll unbeeinflusst bleiben. Was sollten Sie konfigurieren? Wählen Sie zwei aus.

Um SMB-Datenverkehr (Port 445) zwischen App1 und App2 mit IPsec zu verschlüsseln, während anderer Datenverkehr unbeeinflusst bleibt, sind zwei Schritte erforderlich. Erstens muss eine Server-zu-Server-Verbindungssicherheitsregel im Transportmodus erstellt werden. Der Transportmodus verschlüsselt nur den Datenverkehr zwischen den Endpunkten, ohne den IP-Header zu ändern, was ideal für Host-zu-Host-Kommunikation ist. Die Anforderung der Verschlüsselung und die Verwendung von Kerberos zur Authentifizierung stellen die Sicherheit und Domänenintegration sicher. Zweitens muss eine eingehende Windows Defender Firewall-Regel auf beiden Servern für TCP 445 konfiguriert werden, die die Verbindung nur zulässt, wenn sie durch IPsec gesichert ist. Dies stellt sicher, dass nur der SMB-Verkehr von der IPsec-Regel betroffen ist. Eine IPsec-Regel im Tunnelmodus ist falsch, da der Tunnelmodus für Gateway-zu-Gateway- oder Host-zu-Gateway-Szenarien verwendet wird und den gesamten IP-Paket kapselt, was hier nicht gewünscht ist. Ein vorinstallierter Schlüssel ist zwar einfacher einzurichten, aber Kerberos ist die sicherere und empfohlene Methode in einer Domänenumgebung. Eine IPsec-Ausnahme für ICMP ist irrelevant, da die Firewall-Regel bereits die Einschränkung auf SMB vornimmt.