Dos hosts con Windows Server 2022 unidos a un dominio (App1 y App2) están en la misma subred. Debe asegurarse de que solo el tráfico SMB entre App1 y App2 esté cifrado con IPsec; todo lo demás tráfico entre los hosts no debe verse afectado. ¿Qué debe configurar? Elija dos.

Para cifrar solo el tráfico SMB entre App1 y App2, se necesitan dos configuraciones clave. Primero, debe crear una regla de seguridad de conexión de servidor a servidor en modo de transporte que requiera cifrado y use Kerberos para la autenticación. El modo de transporte cifra solo la carga útil de los paquetes, dejando las cabeceras IP intactas, lo cual es ideal para la comunicación host-a-host dentro de la misma subred. Kerberos es el método de autenticación preferido en entornos de dominio. Segundo, debe configurar una regla de Windows Defender Firewall de entrada en ambos servidores para TCP 445 (el puerto SMB) que permita la conexión solo si es segura (IPsec). Esto asegura que solo el tráfico SMB cifrado sea permitido. La creación de una regla IPsec en modo túnel no es apropiada, ya que el modo túnel cifra todo el paquete IP y se usa típicamente para comunicaciones entre redes o a través de una WAN, no para hosts en la misma subred. Configurar IPsec con una clave precompartida es menos seguro y no es la mejor práctica en un entorno de dominio que soporta Kerberos. Habilitar una exención de IPsec para ICMP no es relevante para el objetivo de cifrar solo SMB, ya que el problema no es el tráfico ICMP.