Deux hôtes Windows Server 2022 (App1 et App2) joints à un domaine se trouvent sur le même sous-réseau. Vous devez vous assurer que seul le trafic SMB entre App1 et App2 est chiffré avec IPsec ; tout autre trafic entre les hôtes ne doit pas être affecté. Que devez-vous configurer ? Choisissez-en deux.

Pour chiffrer uniquement le trafic SMB entre App1 et App2, vous devez configurer une règle de sécurité de connexion IPsec en mode transport. Le mode transport chiffre la charge utile du paquet, laissant l'en-tête IP intact, ce qui est idéal pour la communication de bout en bout entre hôtes sur le même sous-réseau. L'utilisation de Kerberos pour l'authentification est appropriée dans un environnement de domaine. De plus, une règle de pare-feu Windows Defender entrante sur les deux serveurs pour le port TCP 445 (SMB) qui exige une connexion sécurisée (IPsec) garantit que seul le trafic SMB chiffré est autorisé. La création d'une règle IPsec en mode tunnel est incorrecte car le mode tunnel est généralement utilisé pour les passerelles ou les VPN, chiffrant l'intégralité du paquet IP et l'encapsulant dans un nouveau paquet IP, ce qui n'est pas nécessaire ici. L'utilisation d'une clé pré-partagée est moins sécurisée et moins pratique que Kerberos dans un environnement de domaine. L'activation d'une exemption IPsec pour ICMP n'est pas directement liée à l'objectif de chiffrer uniquement le trafic SMB.