Due host Windows Server 2022 (App1 e App2) uniti a un dominio si trovano sulla stessa sottorete. È necessario garantire che solo il traffico SMB tra App1 e App2 sia crittografato con IPsec; tutto il resto del traffico tra gli host non deve essere influenzato. Cosa si dovrebbe configurare? Scegliere due.

Per crittografare solo il traffico SMB tra App1 e App2, è necessario configurare una regola di sicurezza della connessione IPsec in modalità trasporto. Questa modalità crittografa il payload del pacchetto tra gli host, lasciando intatte le intestazioni IP per il routing. L'autenticazione Kerberos è ideale in un ambiente di dominio Active Directory, poiché sfrutta l'infrastruttura di autenticazione esistente. Inoltre, è fondamentale creare una regola in entrata nel Windows Defender Firewall su entrambi i server per la porta TCP 445 (utilizzata da SMB) che richieda la protezione IPsec. Questo garantisce che solo le connessioni SMB protette da IPsec siano consentite, bloccando il traffico SMB non crittografato. Le altre opzioni sono meno appropriate: la modalità tunnel crittografa l'intero pacchetto IP e viene tipicamente usata per reti remote o VPN, non per comunicazioni host-to-host sulla stessa sottorete. L'uso di una chiave precondivisa è meno sicuro e più complesso da gestire in un ambiente di dominio rispetto a Kerberos. L'esenzione IPsec per ICMP non è direttamente correlata alla crittografia selettiva del traffico SMB.