The netsh.exe command can be used to work with IPSec policies and it is referred to throughout this chapter. Let's take a minute to review the netsh.exe command. netsh.exe is a command-line utility that can be used instead of the console-based management provided by the IP Security Policy Management and IP Security Monitor snap-ins in the MMC. The netsh command has many different uses in Windows Server 2003. Each type of use is called a context. For example, you can use the DHCP context to manage DHCP, or you can use the IPSec context to manage IPSec. For more information on using the various contexts with the netsh.exe command, you can refer to the Windows Server 2003 help files. We're going to limit our discussion to the IPSec context. Support for this context was added to Windows Server 2003, providing another method of managing IPSec policy for admins more familiar or comfortable using the command-line utility. Using netsh.exe, you can configure and view dynamic or static IPSec main mode settings, quick mode settings, rules, and configuration parameters. This command-line utility is particularly useful when you want to use scripts to configure IPSec or to extend features not available via the snap-ins. These features include IKE (Oakley) logging, logging intervals, computer startup security, computer startup traffic exemptions, IPSec diagnostics, default traffic exemptions, and strong certificate revocation list (CRL) checking.To use the netsh.exe command, open a command prompt (Start | Run | type in cmd | OK) and type netsh ipsec. This establishes the context for the netsh.exe command. The command structure begins with static or dynamic mode, meaning that the syntax of the command begins in this way: netsh ipsec static or netsh ipsec dynamic. Both modes have many options. For example, in the static mode, you can add, delete, or modify a filter; add, delete, or modify a filter list; or add, delete, or modify a policy. Dynamic mode also has a long list of options you can set. You can use the netsh ipsec static mode to create, modify, and assign IPSec policies without immediately affecting the configuration of the active IPSec policy. Using the netsh ipsec dynamic mode, you can display the active state of IPSec and immediately affect the configuration of the active IPSec policy. Dynamic commands immediately configure the security policy database (SPD) but take effect only when the IPSec service is running. If the IPSec service is stopped, the dynamic settings are discarded.A few of the dynamic commands do not take effect immediately and require that the computer or the IPSec service be restarted. It's important to note that the IPSec policy agent does not interpret netsh ipsec dynamic commands, so you need to understand the IKE main and quick mode policies to use these commands effectively. Another caution is that because almost all of these commands are executed immediately, you can create invalid IPSec policy configurations "on the fly." One important note here is that the netsh.exe commands for IPSec can only be used to work with IPSec policies on computers running Windows Server 2003. The command line to configure IPSec policies for computers running Windows XP is ipseccmd.exe. Windows 2000 computers use the command-line ipsecpol.exe Continue reading here: How IPSec Policy Is Applied Was this article helpful? Xét mô hình mạng thử nghiệm như trong hình 6.1, bao gồm một máy tính cài HĐH Windows server 2003 và một máy tính cài HĐH Linux (Fedora 7) được kết nối với nhau qua một Hub/Switch (mạng LAN). Hình 6.1 – Mô hình mạng thực hành IPv6 trên Windows server 2003 và Linux Mục đích của thí nghiệm này là kích hoạt thủ tục TCP/IPv6 trên các HĐH Windows và Linux, đồng thời thực hiện một số thao tác cấu hình kết nối mạng giữa chúng. Trên máy tính cài HĐH Windows server 2003 Mọi giao tiếp sẽ được thực hiện trên cửa sổ lệnh Run/cmd. Quan sát cấu hình khi chưa kích hoạt giao thức IPv6 bằng lệnh ipconfig kết quả sẽ chỉ có những thông tin liên quan đến IPv4. Kích hoạt thủ tục IPv6 bằng lệnh netsh interface ipv6 install ta thấy IPv6 trên HĐH được kích hoạt cùng với một số cấu hình mặc định. Quan sát thông tin cấu hình Hình 6.2 – Thông tin về IPv6 sau khi cài đặt Địa chỉ bắt đầu bằng tiền tố FE80 là địa chỉ link-local đã được tự động cấu hình từ địa chỉ MAC của card mạng. Chúng ta đã thảo luận về cách thức tự động tạo địa chỉ này từ các phần trên. Hình 6.3 – Thông tin về các giao diện IPv6 Hình 6.3 là thông tin về các giao diện do IPv6 tạo ra. Khi giao thức IPv6 được kích hoạt, HĐH windows sẽ tự động tạo ra nhiều giao diện, trong đó có những giao diện thực vật lý (Local Area Connection) của card mạng, có những giao diện ảo, ví dụ "6to4 Pseudo-Interface" là giao diện ảo được windows tự động cấu hình cho công nghệ tunnel 6to4 nếu card mạng của máy có gán sẵn một địa chỉ IPv4 toàn cầu. Mỗi giao diện này được định danh bằng một số index duy nhất. Cấu hình bằng tay địa chỉ IPv6 cho giao diện card mạng: Gán địa chỉ IPv6 toàn cầu cho giao diện card mạng bằng lệnh netsh>interface ipv6> add address “Local Area Connection” 2001:dc9::1. Kiểm tra lại thông tin cấu hình với lệnh ipconfig “Local Area Connection” hoặc lệnh ipconfig /all ta sẽ quan sát thấy trên giao diện vật lý, có thông tin về địa chỉ Hình 6.4 – Thông tin về địa chỉ IPv6 được khai báo bằng tay Nhận dạng giao diện của địa chỉ IPv6 có thể tự động tạo ra từ địa chỉ MAC hoặc nhận một dãy số ngẫu nhiên. Khi kích hoạt giao thức IPv6 trên HĐH Window, cách thức tạo địa chỉ tự động bằng cách nhận dãy số ngẫu nhiên làm nhận dạng giao diện được mặc định kích hoạt. Nếu muốn tắt chức năng này, ta sử dụng lệnh: netsh>interface ipv6> set privacy state=disabled store=persistent. Khi chưa tắt chức năng trên, nếu lúc này trong mạng LAN có router quảng bá thông tin tiền tố thì máy tính windows sẽ đồng thời có ba địa chỉ IPv6: - Địa chỉ IPv6 gán bằng tay - Địa chỉ IPv6 tự động tạo từ tiền tố quảng bá của router và địa chỉ MAC - Địa chỉ IPv6 từ tiền tố và 64 bít nhận dạng giao diện ngẫu nhiên, thay đổi theo khoảng thời gian nhất định. Trên máy tính cài Linux Khi chưa kích hoạt giao thức IPv6 sử dụng lệnh ifconfig ta cũng sẽ chỉ nhận được các thông tin liên quan đến IPv4. Sử dụng lệnh modprobe ipv6 để kích hoạt tính năng IPv6 trên máy Linux sau đó sử dụng lại lệnh ifconfig ta sẽ quan sát thấy các thông tin liên quan đến địa chỉ IPv6 được tự động sinh ra. Hệ điều hành Linux không tự động sinh ra giao diện ảo cho tunnel 6to4 như trong Windows. Sử dụng một số lệnh như: ifconfig eth0 hoặc ip -6 route show dev eth0 sẽ cho ta thông tin về giao diện eth0 hoặc các tuyến tạo ra cho giao diện này. Tiếp theo ta sẽ cấu hình bằng tay địa chỉ IPv6 toàn cầu cho giao diện của card mạng sử dụng lệnh ifconfig eth0 inet6 add 2001:dc9::2/64 và sử dụng lệnh ifconfig Hình 6.5 – Thông tin về địa chỉ IPv6 được tạo ra và dược gán Kiểm tra trạng thái kết nối giữa hai máy bằng địa chỉ IPv6 + Trên máy chạy Windows ta sử dụng các lệnh: ping -6 -t fe80::202:55ff:fe56:8cb0%4 (địa chỉ link-local máy windows) ping -6 -t fe80::202:44ff:fe84:3891%4 (địa chỉ link-local máy linux) ping -6 -t 2001:dc9::1 (địa chỉ toàn cầu máy windows) ping -6 -t 2001:dc9::2 (địa chỉ toàn cầu máy linux) Ta thu được kết quả thành công như hình 6.6. Ở đây khi ping địa chỉ link-local, ta phải xác định chỉ mục của giao diện. Trong HĐH Window, chỉ mục được xác định bằng cách đặt sau dấu %. + Trên máy chạy Linux ta sử dụng các lệnh: ping6 -I eth0 fe80::202:44ff:fe84:3891(địa chỉ link-local máy linux) ping6 -I eth0 fe80::202:55ff:fe56:8cb0(địa chỉ link-local máy windows) ping6 2001:dc9::2 (địa chỉ toàn cầu máy linux) ping6 2001:dc9::1 (địa chỉ toàn máy windows) Hình 6.6 – Kết quả sử dụng lệnh Ping trên máy Windows Xoá địa chỉ gắn bằng tay và gỡ bỏ giao thức IPv6 Trên máy window: Xoá địa chỉ đã gán bằng tay sử dụng lệnh: netsh>interface ipv6> delete address “Local Area Connection” 2001:dc9::1. Để gỡ bỏ giao thức IPv6 ta sử dụng lệnh uninstall. Trên máy linux: Xoá địa chỉ đã gán bằng tay sử dụng lệnh: ifconfig eth0 inet6 del 2001:dc9::2. Modul thực thi giao thức IPv6 trên HĐH Linux không được tự động load lên khi máy tính khởi động. Địa chỉ IPv6 đã gắn bằng tay sẽ bị xóa đi sau khi máy linux khởi động lại. Để load modul thực thi IPv6 khi khởi động lại máy và địa chỉ IPv6 đã gán bằng tay không bị xóa đi mỗi khi khởi động lại máy, chúng ta cần trực tiếp thêm thông tin vào các file cấu hình mạng như sau:Cấu hình để load IPv6 modul tự động Kiểm tra thư viện script IPv6 tồn tại: Kiểm tra có tồn tại file /etc/sysconfig/network-scripts/network-functions ipv6. Hoặc test bằng lệnh: test -f /etc/sysconfig/network-scripts/network-functions-ipv6 && echo "Có thu vien IPv6 script" Sửa đổi file cấu hình mạng dùng vi thêm dòng ―NETWORKING_IPV6=yes‖ vào file /etc/sysconfig/network. Cấu hình vĩnh viễn địa chỉ IPv6 Sửa đổi file cấu hình giao diện. Dùng vi sửa đổi file /etc/sysconfig/network-scripts/ifcfg-eth0, thêm những dòng thông tin sau vào file: IPV6INIT=yes IPV6ADDR=<địa_chỉ_IPv6>. |
