Festlegen von IPsec-Einstellungen auf dem Computer

Legen Sie exakt dieselben Einstellungen für IPsec-SA-Einstellungen auf Ihrem Computer fest, die Sie in der Sicherheitsstufe Ihres Geräts festgelegt haben. Die Vorgehensweise dabei variiert je nach Betriebssystem des Computers. Das nachfolgend beschriebene Beispiel für die Festlegung der Authentifizierung und der Low-Level Verschlüsselungs-Sicherheitsstufe verwendet Windows XP.

Klicken Sie im Menü [Start] auf [Systemsteuerung], [Leistung und Wartung] und dann auf [Verwaltung].
Klicken Sie auf [Lokale Sicherheitsrichtlinie].
Klicken Sie auf [IP-Sicherheitsrichtlinien auf Lokaler Computer].
Klicken Sie im Menü "Aktion" auf [IP-Sicherheitsrichtlinie erstellen].
Der IP-Sicherheitsrichtlinien-Assistent erscheint.
Klicken Sie auf [Weiter].
Geben Sie einen Sicherheitsrichtliniennamen unter "Name" ein und klicken Sie dann auf [Weiter].
Deaktivieren Sie das Kontrollkästchen "Die Standardantwortregel aktivieren" und klicken Sie dann auf [Weiter].
Wählen Sie "Eigenschaften bearbeiten" und klicken Sie dann auf [Fertig stellen].
Klicken Sie auf der Registerkarte "Allgemein" auf [Erweitert].
Geben Sie in das Feld "Authentifizieren und einen neuen Schlüssel erzeugen nach:" dieselbe Gültigkeitsdauer (in Minuten) ein, die Sie im Gerät unter Einstellungen für automatischen Austausch des Verschlüsselungscodes, Phase 1, festgelegt haben, und klicken Sie dann auf [Methoden].
Vergewissern Sie sich, dass die Kombination der HASH-Algorithmen ("Integrität" unter Windows XP), der Verschlüsselungsalgorithmen ("Verschlüsselung" unter Windows XP) und der Diffie-Hellman-Gruppeneinstellungen unter "Reihenfolge der Sicherheitsmethoden" mit der im Gerät unter Einstellungen für automatischen Austausch des Verschlüsselungscodes, Phase 1, vorgenommenen übereinstimmt.
Wenn die Einstellungen nicht angezeigt werden, klicken Sie auf [Hinzufügen].
Klicken Sie zweimal auf [OK].
Klicken Sie auf der Registerkarte "Regeln" auf [Hinzufügen].
Der Sicherheitsregel-Assistent erscheint.
Klicken Sie auf [Weiter].
Wählen Sie "Diese Regel spezifiziert keinen Tunnel" und klicken Sie dann auf [Weiter].
Wählen Sie den Netzwerktyp für IPsec und klicken Sie dann auf [Weiter].
Wählen Sie die "standardmäßige Authentifizierungsmethode" und klicken Sie dann auf [Weiter].
Wenn Sie "Zertifikat" als Authentifizierungsverfahren in den Einstellungen für automatischen Austausch des Verschlüsselungscodes im Gerät gewählt haben, legen Sie das Gerätezertifikat fest. Wenn Sie PSK gewählt haben, geben Sie denselben PSK-Text ein, der im Gerät zusammen mit dem gemeinsamen Verschlüsselungscode festgelegt wurde.
Klicken Sie in der IP-Filterliste auf [Hinzufügen].
Geben Sie unter [Name] einen IP-Filternamen ein und klicken Sie dann auf [Hinzufügen].
Der IP-Filter-Assistent erscheint.
Klicken Sie auf [Weiter].
Wählen Sie "Eigene IP-Adresse" unter "Quelladresse" und klicken Sie dann auf [Weiter].
Wählen Sie "Spezielle IP-Adresse" unter "Zieladresse", geben Sie die IP-Adresse des Geräts ein und klicken Sie dann auf [Weiter].
Wählen Sie den Protokolltyp für IPsec und klicken Sie dann auf [Weiter].
Klicken Sie auf [Fertig stellen].
Klicken Sie auf [OK].
Wählen Sie den soeben erstellten IP-Filter und klicken Sie dann auf [Weiter].
Wählen Sie den IPsec-Sicherheitsfilter und klicken Sie dann auf [Bearbeiten].
Klicken Sie auf [Hinzufügen], aktivieren Sie die Auswahloption "Benutzerdefiniert" und klicken Sie dann auf [Einstellungen].
Wählen Sie unter "Integritätsalgorithmus" den Authentifizierungsalgorithmus, der in den Einstellungen für den automatischen Austausch des Verschlüsselungscodes, Phase 2, im Drucker festgelegt wurde.
Wählen Sie unter "Verschlüsselungsalgorithmus" den Verschlüsselungsalgorithmus, der in den Einstellungen für den automatischen Austausch des Verschlüsselungscodes, Phase 2, im Drucker festgelegt wurde.
Aktivieren Sie unter Sitzungsschlüsseleinstellungen das Kontrollkästchen "Neuen Schlüssel alle:" und geben Sie die Gültigkeitsdauer (in Sekunden) ein, die in den Einstellungen für den automatischen Austausch des Verschlüsselungscodes, Phase 2, im Drucker festgelegt wurde.
Klicken Sie dreimal auf [OK].
Klicken Sie auf [Weiter].
Klicken Sie auf [Fertig stellen].
Klicken Sie auf [OK].
Klicken Sie auf [Schließen].
Die neue IP-Sicherheitsrichtlinie (IPsec-Einstellungen) ist festgelegt.
Wählen Sie die soeben erstellte Sicherheitsrichtlinie, klicken Sie mit der rechten Maustaste und wählen Sie dann [Zuweisen].
Die IPsec-Einstellungen sind auf dem Computer aktiviert.

Um die IPsec-Einstellungen des Computers zu deaktivieren, wählen Sie die Sicherheitsrichtlinie, klicken Sie mit der rechten Maustaste und klicken Sie dann auf [Zuweisung entfernen].
Wenn Sie die Sicherheitsstufe "Authentifizierung und High-Level Verschlüsselung" in den Einstellungen für automatischen Austausch des Verschlüsselungscodes festgelegt haben, aktivieren Sie auch das Kontrollkästchen "Sitzungsschlüssel mit Perfect Forward Secrecy (PFS)" im Dialogfeld Eigenschaften des Sicherheitsfilters (das in Schritt 29 erscheint). Bei Verwendung von PFS unter Windows XP wird die in Phase 2 zu verwendende PFS-Gruppennummer in Phase 1 unter den Diffie-Hellman-Gruppennummern (die in Schritt 11 eingegeben wurden) ausgehandelt. Daher müssen Sie, wenn die für die Sicherheitsstufe automatisch festgelegten Einstellungen im Gerät geändert werden und "Anwendereinstellung" erscheint, dieselbe Gruppennummer für "Phase 1 Diffie-Hellman-Gruppe" und "Phase 2 PFS" im Gerät festlegen, um eine IPsec-Kommunikation aufzubauen.