Twee aan een domein gekoppelde Windows Server 2022-hosts (App1 en App2) bevinden zich op hetzelfde subnet. U moet ervoor zorgen dat alleen SMB-verkeer tussen App1 en App2 wordt versleuteld met IPsec; al het andere verkeer tussen de hosts mag niet worden beïnvloed. Wat moet u configureren? Kies twee opties.

Om alleen SMB-verkeer (poort 445) tussen App1 en App2 te versleutelen, moet u een Connection Security Rule (CSR) configureren. Een server-naar-server CSR in transportmodus versleutelt verkeer tussen de twee specifieke hosts en Kerberos-authenticatie is de aanbevolen en veiligste methode in een domeinomgeving. De transportmodus versleutelt alleen de payload van het IP-pakket en is geschikt voor host-naar-host communicatie binnen hetzelfde subnet. Daarnaast is een inkomende Windows Defender Firewall-regel op beide servers voor TCP 445, die vereist dat de verbinding beveiligd is met IPsec, essentieel om ervoor te zorgen dat alleen SMB-verkeer wordt afgedwongen om IPsec te gebruiken. De tunnelmodus is bedoeld voor netwerk-naar-netwerk communicatie of host-naar-netwerk over onvertrouwde netwerken en is hier niet nodig. Het gebruik van een vooraf gedeelde sleutel (PSK) is minder veilig dan Kerberos in een domeinomgeving. Een IPsec-uitzondering voor ICMP is niet relevant voor het beperken van de bescherming tot alleen SMB.