Monitorare IPSec

Lo snap-in Monitor di sicurezza IP consente di visualizzare e monitorare le statistiche relative a IPSec e i criteri IPSec applicati al computer in uso e ad altri computer. Tali informazioni possono essere utili per risolvere i problemi relativi a IPSec e verificare i criteri creati. Per modificare i criteri IPSec, utilizzare lo snap-in Criteri di sicurezza IP.

Se si crea un criterio utilizzando lo snap-in Windows Firewall con sicurezza avanzata, non sarà possibile utilizzare lo snap-in Monitor di sicurezza IP per visualizzare queste regole. Sarà necessario invece utilizzare l'elemento Monitoraggio dello snap-in Windows Firewall con sicurezza avanzata.

Note
  • È possibile utilizzare lo snap-in Monitor di sicurezza IP solo per monitorare IPSec nei computer che eseguono Windows XP e versioni successive. Per monitorare IPSec in un computer che esegue Windows 2000, utilizzare il comando ipsecmon.
  • Lo snap-in Criteri di sicurezza IP consente la creazione di criteri IPSec che possono essere applicati a computer che eseguono Windows Vista®, Windows Server® 2008 e versioni successive di Windows, ma non utilizza i nuovi algoritmi di sicurezza e altre nuove funzionalità disponibili nelle versioni successive. Per creare criteri IPSec con gli algoritmi più recenti, utilizzare lo snap-in Windows Firewall con sicurezza avanzata. I criteri creati con lo snap-in Windows Firewall con sicurezza avanzata non possono essere applicati alle versioni precedenti di Windows.

Monitorare le attività

Di seguito è riportato un breve elenco delle attività più comuni che è possibile eseguire utilizzando lo snap-in Monitor di sicurezza IP.

Aggiungere un computer

Prima di poter monitorare IPSec in un computer remoto, è necessario aggiungere il computer allo snap-in. Per aggiungere il computer e monitorare IPSec, è necessario disporre dell'accesso come amministratori al computer remoto.

Per aggiungere un computer allo snap-in Monitor di sicurezza IP

  1. Nell'albero della console fare clic con il pulsante destro del mouse su Monitor di sicurezza IP e quindi scegliere Aggiungi computer.

  2. Nella finestra di dialogo Aggiungi computer selezionare Il computer seguente e quindi digitare il nome del computer remoto. In alternativa, fare clic su Sfoglia per individuarlo sulla rete.
Note
  • Se i servizi IPSec non sono in esecuzione nel computer che si desidera monitorare, per il server verrà visualizzata l'icona di servizio arrestato. Per aggiornare Monitor di sicurezza IP dopo che i servizi IPSec del computer sono stati riavviati, fare clic con il pulsante destro del mouse sul computer e quindi scegliere Riconnetti.
  • Nei computer che eseguono Windows Server 2003 e versioni successive è necessario impostare la chiave del Registro di sistema EnableRemoteMgmt su 1 nel computer remoto e riavviare il servizio IPSec, altrimenti lo snap-in visualizzerà un errore in cui viene indicato che il servizio IPSec non è in esecuzione. La chiave del Registro di sistema è contenuta in HKEY_LOCAL_MACHINE \SYSTEM\\CurrentControlSet\Services\PolicyAgent.

Trovare un filtro specifico

Per ricercare informazioni su un filtro specifico che potrebbero rivelarsi utili ad esempio durante la risoluzione dei problemi, è possibile procedere in due modi: ordinare la visualizzazione Filtri specifici per trovare il filtro oppure ricercare il filtro nella cartella Filtri specifici della modalità principale o della modalità rapida.

Per trovare un filtro nel relativo elenco mediante esplorazione

  1. Nella sottocartella Filtri specifici della cartella Modalità principale o Modalità rapida fare clic sull'intestazione di colonna della proprietà desiderata. Facendo nuovamente clic sull'intestazione di colonna, l'elenco verrà ordinato in sequenza inversa.

  2. Scorrere l'elenco per individuare il filtro.
Per trovare un filtro specifico mediante ricerca

  1. Nella cartella Modalità principale o Modalità rapida fare clic con il pulsante destro del mouse sulla cartella Filtri specifici e quindi scegliere Trova filtri corrispondenti.

  2. Nella finestra di dialogo Trova filtri corrispondenti selezionare i criteri desiderati e quindi fare clic su Cerca.

    Nota

    Se si seleziona l'opzione Solo corrispondenza più appropriata, verrà trovata un'unica corrispondenza, ovvero quella che soddisfa maggiormente i criteri specificati. Se non viene restituito il filtro desiderato, ripetere la ricerca utilizzando l'opzione Tutte le corrispondenze. L'impostazione dell'opzione Qualsiasi come origine e destinazione non consente di ricercare qualunque origine o destinazione, bensì l'origine o la destinazione "Qualsiasi" indicata nella visualizzazione con l'elenco Filtri specifici.

Ricercare segni di possibili attacchi

Le statistiche raccolte e visualizzate dallo snap-in Monitor di sicurezza IP possono rivelarsi utili per individuare possibili attacchi al computer in uso o ad altri computer aggiunti allo snap-in. Queste informazioni sono contenute nelle sottocartelle Statistiche delle cartelle Modalità principale e Modalità rapida. Per ulteriori informazioni sulle statistiche disponibili, vedere Monitorare la modalità principale o Monitorare la modalità rapida.

Visualizzare le associazioni di sicurezza

Un'associazione di sicurezza (SA, Security Association) è la combinazione di una chiave negoziata, un protocollo di sicurezza e un indice dei parametri di sicurezza (SPI, Security Parameters Index), che insieme contribuiscono a definire la sicurezza utilizzata per la comunicazione tra mittente e ricevente. Esaminando le associazioni di sicurezza relative al computer in uso, è possibile determinare quali computer stabiliscono connessioni con esso, il tipo di integrità e crittografia dei dati utilizzato per la connessione e così via.

Queste informazioni possono essere particolarmente utili durante la verifica dei criteri IPSec o la risoluzione dei problemi di accesso.

Modificare altre impostazioni

È possibile configurare lo snap-in in modo che le informazioni fornite vengano o meno aggiornate automaticamente. È inoltre possibile specificare la frequenza di aggiornamento e se nelle visualizzazioni vengono mostrati gli indirizzi IP o i nomi DNS.

Per configurare l'aggiornamento automatico

  1. Nella cartella Monitor di sicurezza IP fare clic con il pulsante destro del mouse sul nodo del computer e quindi scegliere Proprietà.

  2. Nella finestra di dialogo Proprietà del computer selezionare la casella di controllo Abilita aggiornamento automatico.

  3. Per modificare la frequenza con cui lo snap-in aggiorna le informazioni, digitare l'intervallo desiderato.

    Nota

    Per impostazione predefinita, l'aggiornamento automatico è abilitato e viene eseguito a intervalli di 45 secondi. Se si configura l'aggiornamento automatico con un valore di frequenza troppo alto, possono verificarsi problemi di prestazioni, soprattutto se si monitorizzano più computer dallo snap-in ed è stata attivata la risoluzione dei nomi DNS.
Per visualizzare gli indirizzi IP come nomi DNS

  1. Fare clic con il pulsante destro del mouse sul nodo del computer nello snap-in Monitor di sicurezza IP e quindi scegliere Proprietà.

  2. Nella finestra di dialogo Proprietà del computer selezionare la casella di controllo Abilita risoluzione nomi DNS e quindi fare clic su OK.

    Note
    • Per impostazione predefinita, la risoluzione dei nomi DNS non è abilitata. Funziona solo nella visualizzazione Filtri specifici della modalità rapida e nella visualizzazione Associazioni sicurezza sia della modalità principale che della modalità rapida.
    • La risoluzione dei nomi DNS può incidere negativamente sulle prestazioni se in questa visualizzazione sono numerosi gli elementi da risolvere.
    • Per risolvere il nome DNS dal relativo indirizzo IP, è necessario che per l'infrastruttura DNS siano configurati i record di risorse puntatore (PTR, Pointer Record) e domini inversi appropriati. I record di risorse PTR possono essere configurati manualmente o mediante l'utilizzo dell'aggiornamento dinamico DNS. Per risolvere il nome NetBIOS di un computer dall'indirizzo IP, è necessario che NetBIOS su TCP/IP sia abilitato nel computer.

Ulteriori riferimenti

  • Criterio attivo

  • Monitorare la modalità rapida

  • Monitorare la modalità principale


Criterio attivo

L'elemento Criterio attivo dello snap-in Monitor di sicurezza IP descrive il criterio IPSec (Internet Protocol Security) applicato al computer in uso. Non è possibile utilizzare lo snap-in Monitor di sicurezza IP per modificare il criterio.

Può essere attivo un solo criterio IPSec alla volta. Il criterio attivo è il criterio IPSec applicato al computer manualmente dall'amministratore dello stesso computer o mediante l'utilizzo di Servizi di dominio Active Directory e oggetti Criteri di gruppo. Il criterio attivo può essere definito utilizzando gli oggetti Criteri di gruppo anziché nello snap-in Criteri di sicurezza IP nel computer.

Nome e descrizione

Nome e descrizione assegnati al criterio al momento della creazione.

Ultima modifica

Data e ora locali in cui il criterio è stato modificato l'ultima volta.

Archivio

Posizione in cui è archiviato il criterio, ovvero l'archivio locale del computer locale oppure un oggetto Criteri di gruppo.

Percorso

Percorso LDAP (Lightweight Directory Access Protocol) di Active Directory che descrive la posizione completa esatta all'interno di Servizi di dominio Active Directory del criterio IPSec applicato al computer. È valido solo per i criteri archiviati in oggetti Criteri di gruppo in Servizi di dominio Active Directory. I criteri archiviati localmente non avranno tale percorso.

Unità organizzativa

Percorso LDAP che descrive l'unità organizzativa completa esatta di Active Directory a cui è stato applicato il criterio. È valido solo per i criteri archiviati in un oggetto Criteri di gruppo in Servizi di dominio Active Directory. I criteri archiviati localmente non disporranno di un'unità organizzativa.

Nome oggetto Criteri di gruppo

Nome dell'oggetto Criteri di gruppo e non del criterio IPSec. È valido solo per i criteri archiviati in oggetti Criteri di gruppo in Servizi di dominio Active Directory. I criteri archiviati localmente non avranno un nome oggetto Criteri di gruppo.

Ulteriori riferimenti

  • Monitorare IPSec


Monitorare la modalità principale

La negoziazione IKE (Internet Key Exchange) in modalità principale consente di stabilire tra due computer un canale sicuro, noto come associazione di sicurezza (SA, Security Association) ISAKMP (Internet Security Association and Key Management Protocol). L'associazione di sicurezza ISAKMP viene utilizzata per proteggere i successivi scambi di chiave tra computer peer, operazione conosciuta come negoziazione in modalità rapida. Per stabilire il canale sicuro, la negoziazione in modalità principale determina un insieme di suite di protezione crittografica, scambia materiale per le chiavi per stabilire la chiave privata condivisa e autentica le identità dei computer.

Monitorando le associazioni di sicurezza in modalità principale è possibile ottenere informazioni sui peer attualmente connessi al computer, sulla data di creazione dell'associazione di sicurezza, sulla suite di protezione utilizzata per creare l'associazione di sicurezza e così via.

Filtri generici

I filtri generici sono filtri IP configurati per utilizzare qualsiasi opzione per l'indirizzo IP come indirizzo di origine o di destinazione. IPSec consente di utilizzare parole chiave nella configurazione dei filtri, ad esempio Indirizzo IP, Server DNS, Server DHCP, Server WINS e Gateway predefinito. Quando vengono utilizzate parole chiave, i filtri generici visualizzano le parole chiave nello snap-in Monitor di sicurezza IP. È possibile ottenere filtri specifici espandendo le parole chiave in indirizzi IP.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Nome.

  • Origine. Indirizzo IP dell'origine del pacchetto.

  • Destinazione. Indirizzo IP della destinazione del pacchetto.

  • Criterio IKE. Indica il nome del criterio IKE associato al filtro generico e non il nome del criterio IPSec creato utilizzando lo snap-in Criteri di sicurezza IP. I dettagli relativi al criterio, ad esempio l'insieme di algoritmi di crittografia utilizzato, sono visibili nel nodo Criterio IKE.

  • Metodi di autenticazione. Elenco di tutti i metodi di autenticazione disponibili per il filtro, in ordine di preferenza.

  • Tipo di connessione. Tipo di connessione a cui è applicato il filtro, ovvero rete locale (LAN), accesso remoto o tutti i tipi di connessione di rete.

Filtri specifici

Per utilizzare filtri specifici, è necessario espandere i filtri generici utilizzando gli indirizzi IP del computer di origine o di destinazione per la connessione effettiva. Se ad esempio si dispone di un filtro che utilizza l'opzione Indirizzo IP come indirizzo di origine e l'opzione Server DHCP come indirizzo di destinazione, quando si crea una connessione con tale filtro, verrà creato automaticamente un filtro con l'indirizzo IP del computer e l'indirizzo IP del server DHCP utilizzato dal computer.

Nota

Lo snap-in Monitor di sicurezza IP è inoltre in grado di risolvere gli indirizzi IP in nomi DNS per la sottocartella Filtri specifici della cartella Modalità rapida, ma non della cartella Modalità principale.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Nome.

  • Origine. Indirizzo IP dell'origine del pacchetto.

  • Destinazione. Indirizzo IP della destinazione del pacchetto.

  • Direzione. Specifica se il filtro è in ingresso o in uscita.

  • Criterio IKE. Indica il nome del criterio IKE e non il nome del criterio IPSec creato utilizzando lo snap-in Criteri di sicurezza IP. I dettagli relativi al criterio, ad esempio l'insieme di algoritmi di crittografia utilizzato, sono visibili nel nodo Criterio IKE.

  • Metodi di autenticazione. Elenco di tutti i metodi di autenticazione disponibili per il filtro, in ordine di preferenza.

  • Peso. Priorità assegnata al filtro dal servizio IPsec. Il peso dipende da numerosi fattori. Per ulteriori informazioni sui pesi dei filtri, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=62212.

    Nota

    La proprietà relativa al peso è sempre impostata su 0 nei computer che eseguono Windows Vista®, Windows Server® 2008 o versioni successive di Windows.

Criteri IKE

Il criterio IKE è relativo ai metodi di integrità o crittografia che i due computer peer possono utilizzare per le negoziazioni durante lo scambio di chiave in modalità principale.

Statistiche

In questa tabella sono riportate le statistiche disponibili dalla visualizzazione Statistiche della modalità principale:

Nota

Alcune di queste statistiche non si applicano ai computer che eseguono Microsoft Windows Vista, Windows Server 2008 o versioni successive di Windows.

Statistica IKE | Descrizione
Acquisizione attiva | Un'acquisizione è una richiesta di esecuzione di un'attività da parte di IKE avanzata dal driver IPSec. Queste informazioni includono la richiesta in attesa e il numero di eventuali richieste in coda. Il numero delle acquisizioni attive è in genere uguale a 1. In caso di un carico elevato, il numero è comunque uguale a 1, mentre aumenta il numero delle richieste accodate da IKE per l'elaborazione.
Ricezione attiva | Numero dei messaggi IKE ricevuti accodati per l'elaborazione.
Acquisizione non riuscite | Numero delle volte in cui un'acquisizione ha avuto esito negativo.
Ricezioni non riuscite | Numero delle volte in cui la funzione Windows Sockets WSARecvFrom() ha avuto esito negativo durante la ricezione di messaggi IKE.
Invii non riusciti | Numero delle volte in cui la funzione Windows Sockets WSASendTo() ha avuto esito negativo durante l'invio di messaggi IKE.
Acquisizione dimensioni heap | Numero delle voci nell'heap di acquisizione, nel quale vengono archiviate le acquisizioni attive. Il valore aumenta in caso di carico elevato e diminuisce man mano che l'heap di acquisizione viene svuotato.
Ricezione dimensioni heap | Numero di voci nei buffer di ricezione IKE per i messaggi IKE in ingresso.
Errori di autenticazione | Numero totale degli errori di autenticazione dell'identità (Kerberos, certificato e chiave già condivisa) che si sono verificati durante la negoziazione in modalità principale. In caso di problemi nelle comunicazioni sicure, tentare la comunicazione e verificare in questa statistica se il valore aumenta. Se il valore aumenta, controllare se nelle impostazioni di autenticazione è presente un metodo senza corrispondenze o una configurazione di un metodo di autenticazione non corretta, ad esempio chiavi già condivise non corrispondenti.
Negoziazioni non riuscite | Numero totale di negoziazioni non riuscite durante le negoziazioni in modalità principale o in modalità rapida. In caso di problemi nelle comunicazioni sicure, tentare la comunicazione e verificare in questa statistica se il valore aumenta. Se il valore aumenta, controllare se nelle impostazioni dei metodi di autenticazione e di sicurezza è presente un metodo di autenticazione senza corrispondenze, una configurazione di un metodo di autenticazione non corretta, ad esempio chiavi già condivise non corrispondenti, o metodi e impostazioni di sicurezza senza corrispondenze.
Ricevuti cookie non validi | Un cookie è un valore contenuto in un messaggio IKE ricevuto, utilizzato da IKE per trovare lo stato di una modalità principale attiva. Un cookie in un messaggio IKE ricevuto che non corrisponde a una modalità principale attiva non è valido.
Totale acquisizioni | Numero totale delle richieste di elaborazione inviate da IKE al driver IPSec.
Totale ricerche SPI | Numero totale delle richieste inviate da IKE al driver IPSec per ottenere un indice dei parametri di sicurezza (SPI, Security Parameters Index) univoco.
Aggiunte chiavi | Numero delle associazioni di sicurezza in modalità rapida in uscita aggiunte da IKE al driver IPSec.
Aggiornamenti chiavi | Numero delle associazioni di sicurezza in modalità rapida in ingresso aggiunte da IKE al driver IPSec.
Ricerche SPI non riuscite | Numero delle richieste non riuscite inviate da IKE al driver IPSec per ottenere un indice SPI univoco.
Aggiunta chiave non riuscita | Numero delle richieste di aggiunta di associazioni di sicurezza in modalità rapida in uscita non riuscite inviate da IKE al driver IPSec.
Aggiornamento chiave non riuscito | Numero delle richieste di aggiunta di associazioni di sicurezza in modalità rapida in ingresso non riuscite inviate da IKE al driver IPSec.
Dimensioni elenco ISADB | Numero delle voci di stato della modalità principale, comprendente le modalità principali negoziate, in corso e non riuscite che non sono state eliminate.
Dimensioni elenco connessioni | Numero delle voci di stato della modalità rapida.
Modalità principale IKE | Numero totale delle associazioni di sicurezza create durante le negoziazioni in modalità principale.
Modalità rapida IKE | Numero totale delle associazioni di sicurezza create durante le negoziazioni in modalità rapida. Poiché in genere esistono più associazioni di sicurezza in modalità rapida per ogni associazione di sicurezza in modalità principale, il valore non corrisponde necessariamente al valore relativo alla modalità principale.
Associazioni deboli | Numero totale delle negoziazioni che hanno portato all'utilizzo di testo non crittografato, denominate anche associazioni di sicurezza trasferibili. Questo valore in genere corrisponde al numero delle associazioni create con computer che non hanno risposto ai tentativi di negoziazione in modalità principale. Può trattarsi di computer che non supportano IPSec e di computer che supportano questo sistema di sicurezza ma che non dispongono di criteri IPSec per negoziare la sicurezza con il peer IPSec. Benché le associazioni di sicurezza trasferibili non derivino da negoziazioni in modalità principale o rapida, vengono considerate comunque come associazioni di sicurezza in modalità rapida.
Pacchetti non validi ricevuti | Numero dei messaggi IKE ricevuti non validi, comprendente i messaggi IKE con campi di intestazione non validi, lunghezze di payload non corrette e valori non corretti per il cookie del risponditore, che di solito è impostato su 0. I messaggi IKE non validi sono in genere causati dalla ritrasmissione di messaggi IKE non aggiornati o da una chiave già condivisa non corrispondente tra i peer IPSec.
Nota

Alcune di queste statistiche possono essere utilizzate per rilevare tentativi di attacco alla rete.

Associazioni sicurezza

In questa visualizzazione vengono mostrate le associazioni di sicurezza attive nel computer. Un'associazione di sicurezza (SA, Security Association) è la combinazione di una chiave negoziata, un protocollo di sicurezza e un indice dei parametri di sicurezza (SPI, Security Parameters Index), che insieme contribuiscono a definire la sicurezza utilizzata per proteggere la comunicazione tra mittente e ricevente. Esaminando le associazioni di sicurezza relative al computer in uso, è pertanto possibile determinare quali computer stabiliscono connessioni con esso, il tipo di integrità e crittografia dei dati utilizzato per la connessione e così via.

Queste informazioni possono essere particolarmente utili durante la verifica dei criteri IPSec e la risoluzione dei problemi di accesso.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Utente. Indirizzo IP del computer locale.

  • ID. Nome DNS del computer locale.

  • Peer. Indirizzo IP del computer remoto o peer.

  • ID peer. Nome DNS del computer remoto o peer.

  • Autenticazione. Metodo di autenticazione utilizzato per la creazione dell'associazione di sicurezza.

  • Crittografia. Metodo di crittografia utilizzato dall'associazione di sicurezza per gli scambi di chiavi in modalità rapida.

  • Integrità. Metodo di integrità dei dati utilizzato dall'associazione di sicurezza per gli scambi di chiavi in modalità rapida.

  • Diffie-Hellman. Gruppo Diffie-Hellman utilizzato per creare l'associazione di sicurezza in modalità principale.

Ulteriori riferimenti

  • Monitorare IPSec

  • Monitorare la modalità rapida


Monitorare la modalità rapida

La negoziazione IKE in modalità rapida, nota anche come Fase 2, consente di stabilire un canale sicuro tra due computer per proteggere i dati. Poiché questa fase prevede la definizione di associazioni di sicurezza (SA, Security Association) che vengono negoziate per conto del servizio IPSec, le associazioni di sicurezza create mentre è attiva la modalità rapida vengono indicate come associazioni di sicurezza IPSec. Quando è attiva la modalità rapida, il materiale per le chiavi viene aggiornato o, se necessario, vengono generate nuove chiavi. Viene inoltre selezionata una suite di protezione per traffico IP specificato. Una suite di protezione è un insieme definito di impostazioni per l'integrità o la crittografia dei dati. La modalità rapida non è considerata uno scambio completo, poiché dipende da uno scambio in modalità principale.

Monitorando le associazioni di sicurezza in modalità rapida è possibile ottenere informazioni sui peer attualmente connessi al computer, sulla suite di protezione utilizzata per creare l'associazione di sicurezza e così via.

Filtri generici

I filtri generici sono filtri IP configurati per utilizzare qualsiasi opzione per l'indirizzo IP come indirizzo di origine o di destinazione. IPSec inoltre consente di utilizzare parole chiave nella configurazione dei filtri, ad esempio Indirizzo IP, Server DNS, Server DHCP, Server WINS e Gateway predefinito. Quando vengono utilizzate parole chiave, i filtri generici visualizzano le parole chiave nello snap-in Monitor di sicurezza IP. È possibile ottenere filtri specifici da filtri generici espandendo le parole chiave in indirizzi IP.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Nome.

  • Origine. Indirizzo IP dell'origine del pacchetto.

  • Destinazione. Indirizzo IP della destinazione del pacchetto.

  • Porta di origine. Porta TCP o UDP dell'origine del pacchetto.

  • Porta di destinazione. Porta TCP o UDP della destinazione del pacchetto.

  • Endpoint tunnel di origine. Endpoint del tunnel più vicino al computer locale, qualora ne sia stato specificato uno.

  • Endpoint tunnel di destinazione. Endpoint del tunnel più vicino al computer di destinazione, qualora ne sia stato specificato uno.

  • Protocollo. Protocollo specificato nel filtro.

  • Operazione in entrata. Indica se il traffico in ingresso è consentito, bloccato o con negoziazione della sicurezza.

  • Operazione in uscita. Indica se il traffico in uscita è consentito, bloccato o con negoziazione della sicurezza.

  • Criterio di negoziazione. Nome del criterio di negoziazione in modalità rapida o impostazioni di crittografia.

  • Tipo di connessione. Tipo di connessione a cui è applicato il filtro, ovvero rete locale (LAN), accesso remoto o tutti i tipi di connessione di rete.

Filtri specifici

Per utilizzare filtri specifici, è necessario espandere i filtri generici utilizzando gli indirizzi IP del computer di origine o di destinazione per la connessione effettiva. Se ad esempio si dispone di un filtro che utilizza l'opzione Indirizzo IP come indirizzo di origine e l'opzione Server DHCP come indirizzo di destinazione, quando si crea una connessione con tale filtro, verrà creato automaticamente un filtro con l'indirizzo IP del computer e l'indirizzo IP del server DHCP utilizzato dal computer.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Nome.

  • Origine. Indirizzo IP dell'origine del pacchetto.

  • Destinazione. Indirizzo IP della destinazione del pacchetto.

  • Porta di origine. Porta TCP o UDP dell'origine del pacchetto.

  • Porta di destinazione. Porta TCP o UDP della destinazione del pacchetto.

  • Endpoint tunnel di origine. Endpoint del tunnel più vicino al computer locale, qualora ne sia stato specificato uno.

  • Endpoint tunnel di destinazione. Endpoint del tunnel più vicino al computer di destinazione, qualora ne sia stato specificato uno.

  • Protocollo. Protocollo specificato nel filtro.

  • Operazione in entrata. Indica se il traffico in ingresso è consentito, bloccato o con negoziazione della sicurezza.

  • Operazione in uscita. Indica se il traffico in uscita è consentito, bloccato o con negoziazione della sicurezza.

  • Criterio di negoziazione. Nome del criterio di negoziazione in modalità rapida o impostazioni di crittografia.

  • Peso. Priorità assegnata al filtro dal servizio IPsec. Lo spessore dipende da diversi fattori. Per ulteriori informazioni sui pesi dei filtri, visitare il sito Web all'indirizzo http://go.microsoft.com/fwlink/?LinkId=62212.

    Nota

    La proprietà relativa al peso è sempre impostata su 0 nei computer che eseguono Windows Vista®, Windows Server® 2008 o versioni successive di Windows.

Criteri di negoziazione

Per criterio di negoziazione si intende l'ordine di preferenza dei metodi di sicurezza che i due computer peer concordano di utilizzare per comunicare reciprocamente durante le negoziazioni in modalità rapida.

Statistiche

In questa tabella sono riportate le statistiche disponibili dalla visualizzazione Statistiche della modalità rapida:

Statistica IPSec | Descrizione
Associazioni di sicurezza attive | Numero delle associazioni di sicurezza IPSec attive.
Associazioni di sicurezza scaricate | Numero delle associazioni di sicurezza IPSec attive con scaricamento sull'hardware.
Operazioni chiave in sospeso | Numero delle operazioni per le chiavi IPSec in corso.
Aggiunte chiavi | Numero totale delle negoziazioni di associazioni di sicurezza IPSec completate.
Eliminazioni chiavi | Numero delle eliminazioni di chiavi per le associazioni di sicurezza IPSec.
Reimposta le chiavi | Numero delle operazioni di reimpostazione delle chiavi per le associazioni di sicurezza IPSec.
Tunnel attivi | Numero dei tunnel IPSec attivi.
Pacchetti SPI errati | Numero totale dei pacchetti con SPI (Security Parameters Index) non corretto. Tale indice consente di trovare le corrispondenze tra i pacchetti in ingresso e le associazioni di sicurezza. Se l'indice non è corretto, è possibile che l'associazione di sicurezza in ingresso sia scaduta e che sia recentemente arrivato un pacchetto che utilizza l'indice precedente. È probabile che il valore aumenti se gli intervalli di reimpostazione delle chiavi sono brevi ed esiste un numero elevato di associazioni di sicurezza. È normale che le associazioni di sicurezza scadano e pertanto la presenza di un pacchetto SPI errato non significa necessariamente che vi sia un problema di sicurezza IPSec.
Pacchetti non decrittografati | Numero totale dei pacchetti che non è stato possibile decrittografare. Questo errore può indicare che è arrivato un pacchetto per un'associazione di sicurezza scaduta. In tal caso, viene eliminata anche la chiave di sessione che consente di decrittografare il pacchetto. Anche in questo caso, ciò non significa necessariamente che vi sia un problema di protezione IPSec.
Pacchetti non autenticati | Numero totale dei pacchetti per cui non è possibile controllare i dati. L'errore è in genere causato da un'associazione di sicurezza scaduta.
Pacchetti con rilevamento risposta | Numero totale dei pacchetti contenenti un campo Numero sequenza valido.
Byte riservati inviati | Numero totale dei byte inviati tramite il protocollo ESP.
Byte riservati ricevuti | Numero totale dei byte ricevuti tramite il protocollo ESP.
Byte autenticati inviati | Numero totale dei byte inviati tramite il protocollo AH.
Byte autenticati ricevuti | Numero totale dei byte ricevuti tramite il protocollo AH.
Byte di trasporto inviati | Numero totale dei byte inviati tramite la modalità di trasporto IPSec.
Byte di trasporto ricevuti | Numero totale dei byte ricevuti tramite la modalità di trasporto IPSec.
Byte inviati nei tunnel | Numero totale dei byte inviati tramite la modalità tunnel IPSec.
Byte ricevuti nei tunnel | Numero totale dei byte ricevuti tramite la modalità tunnel IPSec.
Byte scaricati inviati | Numero totale dei byte inviati tramite scaricamento sull'hardware.
Byte scaricati ricevuti | Numero totale dei byte ricevuti tramite scaricamento sull'hardware.
Nota

Alcune di queste statistiche possono essere utilizzate per rilevare tentativi di attacco alla rete.

Associazioni sicurezza

In questa visualizzazione vengono mostrate le associazioni di sicurezza attive nel computer. Un'associazione di sicurezza (SA, Security Association) è la combinazione di una chiave negoziata, un protocollo di sicurezza e un indice dei parametri di sicurezza (SPI, Security Parameters Index), che insieme contribuiscono a definire la sicurezza utilizzata per la comunicazione tra mittente e ricevente. Esaminando le associazioni di sicurezza relative al computer in uso, è pertanto possibile determinare quali computer stabiliscono connessioni con esso, il tipo di integrità e crittografia dei dati utilizzato per la connessione e così via.

Queste informazioni possono essere particolarmente utili durante la verifica dei criteri IPSec o la risoluzione dei problemi di accesso.

Aggiungere, rimuovere e ordinare le colonne

Nel riquadro dei risultati è possibile aggiungere, rimuovere e ridisporre le colonne seguenti, nonché eseguire ordinamenti in base a esse:

  • Utente. Indirizzo IP del computer locale.

  • Peer. Indirizzo IP del computer remoto.

  • Protocollo. Protocollo specificato nel filtro.

  • Porta utente. Porta TCP o UDP del computer locale specificato nel filtro.

  • Porta Peer. Porta TCP o UDP del computer remoto specificato nel filtro.

  • Criterio di negoziazione. Nome del criterio di negoziazione in modalità rapida o impostazioni di crittografia.

  • Integrità AH: Metodo di integrità dei dati specifico del protocollo AH utilizzato per le comunicazioni peer.

  • Riservatezza ESP. Metodo di crittografia specifico del protocollo ESP utilizzato per le comunicazioni peer.

  • Integrità ESP. Metodo di integrità dei dati specifico del protocollo ESP utilizzato per le comunicazioni peer.

  • Endpoint tunnel. Endpoint del tunnel più vicino al computer locale, qualora ne sia stato specificato uno.

  • Endpoint tunnel peer. Endpoint del tunnel più vicino al computer locale, qualora ne sia stato specificato uno.

Ulteriori riferimenti

  • Monitorare IPSec

  • Monitorare la modalità principale