Два хоста Windows Server 2022 (App1 и App2), присоединенные к домену, находятся в одной подсети. Необходимо убедиться, что только SMB-трафик между App1 и App2 шифруется с помощью IPsec; весь остальной трафик между хостами не должен быть затронут. Что следует настроить? Выберите два варианта.

Для шифрования SMB-трафика между App1 и App2, не затрагивая другой трафик, необходимо использовать комбинацию правил. Правило безопасности подключения (Connection Security Rule) типа «сервер-сервер» в транспортном режиме с требованием шифрования и аутентификацией Kerberos обеспечит шифрование всего IP-трафика между этими хостами. Однако, чтобы ограничить это шифрование только SMB-трафиком, нужно создать входящее правило брандмауэра Windows Defender для TCP 445 (порт SMB), которое разрешает подключение только в том случае, если оно защищено IPsec. Это гарантирует, что только SMB-соединения будут требовать и использовать IPsec-шифрование. Туннельный режим IPsec используется для защиты трафика между сетями через незащищенную сеть, а не между хостами в одной подсети. Использование предварительно согласованного ключа менее безопасно и сложнее в управлении в доменной среде, чем Kerberos. Исключение IPsec для ICMP не поможет ограничить шифрование только SMB-трафиком.