.png)
Configurer les paramètres pour restreindre le trafic ICMPv6 à l'intranet
Publication: octobre 2009
Mis à jour: octobre 2009
S'applique à: Windows Server 2008 R2
 Important |
|---|
| Cette rubrique décrit le déploiement de DirectAccess dans Windows Server 2008 R2. Pour un déploiement de DirectAccess dans Microsoft Forefront Unified Access Gateway (UAG), consultez le Guide de déploiement de DirectAccess Forefront UAG (page éventuellement en anglais) (http://go.microsoft.com/fwlink/?LinkId=179989). |
Comme décrit dans Restriction du trafic ICMPv6 à l'intranet, les paramètres par défaut créés par l'Assistant Installation DirectAccess autorisent les éléments suivants :
-
Tout ordinateur avec un client Teredo ou 6to4 peut envoyer du trafic ICMPv6 aux emplacements intranet via le serveur DirectAccess pour détecter les adresses IPv6 de destination intranet valides. Le volume de ce trafic est limité par la fonctionnalité de protection contre les attaques par déni de service (DoSP) du serveur DirectAccess.
-
Un utilisateur malveillant sur le même sous-réseau qu'un client DirectAccess basé sur Teredo peut déterminer les adresses IPv6 de serveurs intranet en capturant les échanges de messages de demande d'écho ICMPv6 et de réponse à l'écho.
Cette procédure vous permet de prévenir les problèmes de sécurité possibles.
Pour réaliser ces procédures, vous devez être membre du groupe Administrateurs de domaine, ou devez avoir les autorisations nécessaires pour modifier les paramètres de stratégie de groupe. Consultez les informations détaillées sur l'utilisation des comptes et des appartenances aux groupes appropriés sur le site Web suivant : Groupes locaux et de domaine par défaut(http://go.microsoft.com/fwlink/?LinkId=83477).
Pour restreindre le trafic ICMPv6 à l'intranet
-
Sur un contrôleur de domaine, démarrez une invite de commandes en tant qu'administrateur.
-
À partir de la fenêtre d'invite de commandes, exécutez la commande netsh –c advfirewall.
-
À l'invite netsh advfirewall, exécutez les commandes suivantes :
set store gpo=" DomainName \DirectAccess Policy-{3491980e-ef3c-4ed3-b176-a4420a810f12}"
consec show rule name=”DirectAccess Policy-ClientToDnsDc”
consec show rule name=”DirectAccess Policy-ClientToCorp”
-
À l'affichage des deux dernières commandes, copiez ou écrivez les adresses IPv6 pour RemoteTunnelEndpoint.
-
À l'invite netsh advfirewall, exécutez les commandes suivantes :
set global ipsec defaultexemptions neighbordiscovery,dhcp
consec add rule name=”Exempt ICMPv6 to Tunnel endpoint” profile=private,public action=noauthentication mode=tunnel endpoint1=any endpoint2= IPv6AddressesOfTheRemoteTunnelEndpoints protocol=icmpv6
set store gpo=" DomainName \DirectAccess Policy-{ab991ef0-6fa9-4bd9-bc42-3c397e8ad300}"
set global ipsec defaultexemptions neighbordiscovery,dhcp
consec add rule name=”Exempt ICMPv6 from Tunnel endpoint” profile=private,public action=noauthentication mode=tunnel endpoint1= IPv6AddressesOfTheRemoteTunnelEndpoints endpoint2=any protocol=icmpv6
-
Cliquez sur Démarrer, tapez gpmc.msc, puis appuyez sur ENTRÉE.
-
Dans l'arborescence de la console, ouvrez Forêt/DomainesVotreDomaine, cliquez avec le bouton droit sur l'objet de stratégie de groupe Stratégie DirectAccess - {3491980e-ef3c-4ed3-b176-a4420a810f12}, puis cliquez sur Modifier.
-
Dans l'arborescence de la console de l'Éditeur de gestion des stratégies de groupe, ouvrez Configuration ordinateur/Stratégies/Paramètres Windows/Paramètres de sécurité/Pare-feu Windows avec fonctions avancées de sécurité.
-
Cliquez avec le bouton droit sur Pare-feu Windows avec fonctions avancées de sécurité, puis cliquez sur Propriétés.
-
Cliquez sur l'onglet Paramètres IPsec. Dans Exemptions IPsec, dans Exempter ICMP d'IPsec, cliquez sur Non, puis cliquez sur OK.
-
Fermez l'Éditeur de gestion des stratégies de groupe.
-
Dans l'arborescence de la console de la gestion des stratégies de groupe, ouvrez Forêt/Domaines/VotreDomaine, cliquez avec le bouton droit sur l'objet de stratégie de groupe Stratégie DirectAccess - {ab991ef0-6fa9-4bd9-bc42-3c397e8ad300}, puis cliquez sur Modifier.
-
Dans l'arborescence de la console de l'Éditeur de gestion des stratégies de groupe, ouvrez Configuration ordinateur/Stratégies/Paramètres Windows/Paramètres de sécurité/Pare-feu Windows avec fonctions avancées de sécurité.
-
Cliquez avec le bouton droit sur Pare-feu Windows avec fonctions avancées de sécurité, puis cliquez sur Propriétés.
-
Cliquez sur l'onglet Paramètres IPsec. Dans Exemptions IPsec, dans Exempter ICMP d'IPsec, cliquez sur Non, puis cliquez sur OK.
Si vous êtes arrivé sur cette page en cliquant sur un lien d'une liste de contrôle, utilisez le bouton Précédent de votre navigateur pour retourner à la liste de contrôle.
