Windows Firewall con protezione avanzata

È possibile utilizzare Windows Firewall con sicurezza avanzata per migliorare la protezione dei computer della rete. Windows Firewall con sicurezza avanzata include un firewall con stato che consente di determinare il traffico di rete a cui è consentito il passaggio attraverso il computer e la rete. Include inoltre regole di sicurezza della connessione che utilizzano Internet Protocol Security (IPsec) per proteggere il traffico mentre attraversa la rete.

Importante

Windows Firewall con sicurezza avanzata è progettato per gli amministratori di una rete gestita per consentire la protezione del traffico di rete in un ambiente aziendale. Gli utenti privati devono invece utilizzare il programma Windows Firewall disponibile nel Pannello di controllo. Per avviare il programma Windows Firewall, fare clic sul pulsante Start, scegliere Pannello di controllo, Sistema e sicurezza e quindi fare clic su Windows Firewall. È possibile accedere alla Guida di Windows Firewall premendo F1 nella pagina principale di Windows Firewall oppure facendo clic sui collegamenti presenti in molte delle finestre di dialogo di Windows Firewall.

Per ulteriori informazioni su Windows Firewall con sicurezza avanzata, vedere l'argomento relativo alla guida alla consultazione del contenuto di Windows Firewall con sicurezza avanzata all'indirizzo http://go.microsoft.com/fwlink/?linkid=64342 in TechCenter di Windows Server.

  • Panoramica di Windows Firewall con sicurezza avanzata

  • Informazioni sulle regole firewall

  • Informazioni sulle regole di sicurezza della connessione

  • Informazioni sui profili del firewall

  • Monitorare Windows Firewall con protezione avanzata

  • Impostazioni predefinite di Windows Firewall con sicurezza avanzata

  • Configurare le regole firewall

  • Risorse per Windows Firewall con sicurezza avanzata

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Panoramica di Windows Firewall con sicurezza avanzata

Che cos'è Windows Firewall con sicurezza avanzata?

Windows Firewall con sicurezza avanzata combina un firewall host e Internet Protocol Security (IPsec). A differenza di un firewall perimetrale, Windows Firewall con sicurezza avanzata viene eseguito su ogni computer che esegue questa versione di Windows e garantisce la protezione a livello locale da attacchi in rete che potrebbero penetrare nella rete perimetrale o avere origine all'interno dell'organizzazione. Offre inoltre la sicurezza della connessione da computer a computer consentendo all'utente di richiedere l'autenticazione e la protezione dei dati per le comunicazioni.

Importante

Windows Firewall con sicurezza avanzata è destinato agli amministratori IT che devono gestire la sicurezza della rete in un ambiente aziendale. Non è destinato all'uso in reti domestiche. Gli utenti privati dovrebbero invece considerare l'utilizzo del programma Windows Firewall disponibile nel Pannello di controllo.

Windows Firewall con sicurezza avanzata è un firewall con stato che ispeziona e filtra tutti i pacchetti del traffico IP versione 4 (IPv4) e IP versione 6 (IPv6). In questo contesto, per filtrare si intende consentire o bloccare il traffico di rete elaborandolo attraverso regole definite dall'amministratore. Per impostazione predefinita, il traffico in entrata viene bloccato, a meno che non si tratti di una risposta a una richiesta inoltrata dall'host (traffico richiesto) o sia stato specificamente consentito creando un'apposita regola del firewall. È possibile configurare Windows Firewall con sicurezza avanzata per consentire in modo esplicito il traffico specificando un numero di porta, un nome di applicazione, un nome di servizio o altri criteri.

Windows Firewall con sicurezza avanzata consente inoltre di richiedere o rendere obbligatoria l'autenticazione reciproca dei computer prima della comunicazione e di rendere obbligatorio l'uso dell'integrità o della crittografia dei dati durante la comunicazione.

Per ulteriori informazioni, vedere la panoramica su Windows Firewall con sicurezza avanzata all'indirizzo http://go.microsoft.com/fwlink/?linkid=137800 nella Libreria TechNet.


Informazioni sulle regole firewall

È possibile creare regole firewall per consentire al computer in uso di inviare traffico o ricevere traffico da programmi, servizi di sistema, computer o utenti. Le regole firewall possono essere create in modo da eseguire una delle tre azioni disponibili per tutte le connessioni che soddisfano i criteri specificati:

  • Consentire la connessione.

  • Consentire una connessione solo se è protetta tramite l'utilizzo di Internet Protocol Security (IPsec).

  • Bloccare la connessione.

È possibile creare regole per il traffico in entrata o in uscita. La regola può essere configurata in modo da specificare i computer o gli utenti, il programma, il servizio oppure la porta e il protocollo. È inoltre possibile specificare il tipo di scheda di rete a cui verrà applicata la regola: rete locale (LAN), wireless, accesso remoto, ad esempio una connessione VPN (Virtual Private Network), o tutti i tipi. È inoltre possibile configurare la regola in modo che venga applicata quando viene utilizzato qualsiasi profilo o solo quando viene utilizzato un profilo specificato.

Man mano che cambia l'ambiente IT, potrebbe essere necessario modificare, creare, disattivare o eliminare alcune regole.

Ulteriori riferimenti

  • Informazioni sulle regole firewall (http://go.microsoft.com/fwlink/?linkid=137808)

  • Configurare le regole firewall


Informazioni sulle regole di sicurezza della connessione

La sicurezza della connessione implica l'autenticazione di due computer prima che diano inizio alle comunicazioni e la protezione delle informazioni inviate tra i due computer. Windows Firewall con sicurezza avanzata utilizza Internet Protocol Security (IPsec) per ottenere la sicurezza della connessione mediante scambio di chiavi, autenticazione, integrità dei dati e, facoltativamente, crittografia dei dati.

Nota

Diversamente dalle regole firewall, che funzionano unilateralmente, le regole di sicurezza delle connessioni richiedono che entrambi i computer comunicanti dispongano di un criterio con regole di sicurezza delle connessioni o di un altro criterio compatibile con IPsec.

Le regole di sicurezza delle connessioni utilizzano IPsec per la protezione del traffico che attraversa la rete. È possibile utilizzare le regole di sicurezza delle connessioni per specificare che le connessioni tra due computer devono essere autenticate o crittografate. Potrebbe tuttavia essere necessario creare una regola firewall per consentire il traffico di rete protetto da una regola di sicurezza della connessione.

Per ulteriori informazioni, vedere l'argomento relativo alle regole di sicurezza delle connessioni all'indirizzo http://go.microsoft.com/fwlink/?linkid=137809 nella Libreria TechNet.


Informazioni sui profili del firewall

Un profilo del firewall consente di raggruppare impostazioni, ad esempio regole firewall e regole di sicurezza della connessione, che vengono applicate al computer in base alla rete e al dominio a cui è connesso. Nei computer su cui è in esecuzione questa versione di Windows, sono presenti tre profili per Windows Firewall con sicurezza avanzata:

Profilo | Descrizione
Dominio | Applicato a una scheda di rete connessa a una rete in cui viene rilevato un controller di dominio del dominio a cui appartiene il computer.
Privato | Applicato a una scheda di rete connessa a una rete identificata come rete privata dall'amministratore. Una rete privata non è connessa direttamente a Internet, ma è protetta da un qualche tipo di dispositivo di sicurezza, ad esempio un router NAT (Network Address Translation) o un firewall hardware. Le impostazioni del profilo privato devono essere più restrittive rispetto a quelle del profilo di dominio.
Pubblico | Applicata a una scheda di rete connessa a una rete pubblica, ad esempio una rete disponibile in un aeroporto o in un Internet café. Una rete pubblica non presenta dispositivi di sicurezza tra il computer e Internet. Le impostazioni del profilo pubblico devono essere le più restrittive perché il computer è connesso a una rete pubblica dove non è possibile controllare la sicurezza.

A ogni scheda di rete viene assegnato il profilo firewall corrispondente al tipo di rete rilevato. Ad esempio, se la scheda di rete è connessa a una rete pubblica, tutto il traffico in entrata o in uscita in tale rete viene filtrato dalle regole firewall associate al profilo pubblico.

Importante

Windows Server 2008 R2 e Windows 7 offrono supporto per più profili per scheda di rete attivi. In Microsoft Windows Vista e Windows Server 2008, può essere attivo un solo profilo alla volta nel computer. Se sono presenti più schede di rete collegate a reti diverse, il profilo con le impostazioni più restrittive viene applicato a tutte le schede nel computer. Il profilo pubblico è considerato il più restrittivo, seguito dal profilo privato. Il profilo di dominio è considerato il meno restrittivo.

Se non si modificano le impostazioni di un profilo, i valori predefiniti verranno applicati ogni volta che Windows Firewall con sicurezza avanzata utilizza il profilo. È consigliabile attivare Windows Firewall con sicurezza avanzata per tutti e tre i profili.

Per configurare questi profili, nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Windows Firewall con sicurezza avanzata e quindi scegliere Proprietà. È inoltre possibile accedere alle proprietà tramite il menu Azione, il riquadro Azione o il riquadro centrale quando Windows Firewall con sicurezza avanzata è evidenziato.

Ulteriori riferimenti

  • Pagina Proprietà Windows Firewall con sicurezza avanzata


Monitorare Windows Firewall con protezione avanzata

La voce Monitoraggio dello snap-in MMC Windows Firewall con sicurezza avanzata consente di monitorare le regole firewall attive e le regole di sicurezza della connessione sul computer. I criteri creati utilizzando lo snap-in per i criteri di sicurezza IP non possono essere visualizzati utilizzando Windows Firewall con sicurezza avanzata.

Nella pagina di panoramica è indicato quali profili sono attivi (di dominio, privati e pubblici) e le impostazioni correnti per ogni profilo attivo.

Nota

Sono visualizzate solo le regole che si applicano ai profili attualmente attivi. Può essere attivata una regola per un altro profilo ma, se il profilo a cui è assegnata non è attivo, non lo sarà neanche la regola.

Per ulteriori informazioni, vedere l'argomento relativo al monitoraggio di Windows Firewall con sicurezza avanzata all'indirizzo http://go.microsoft.com/fwlink/?linkid=137811 nella Libreria TechNet.


Impostazioni predefinite di Windows Firewall con sicurezza avanzata

Nelle tabelle seguenti sono elencati i valori predefiniti per le impostazioni Internet Protocol Security (IPsec).

Scambio di chiavi

Impostazioni | Valore
Durata chiavi | 480 minuti/0 sessioni*
Algoritmo di scambio chiavi | Gruppo Diffie-Hellman 2
Metodi di sicurezza (integrità) | SHA1
Metodi di sicurezza (crittografia) | AES-128 (principale)/3-DES (secondario)

*Se il numero limite di sessioni è impostato su zero (0), la rigenerazione delle chiavi avviene solo in base all'impostazione Durata chiave (in minuti).

Integrità dei dati

Impostazione | Valore
Protocollo | ESP (principale)/AH (secondario)
Integrità dei dati | SHA1
Durata chiavi | 60 minuti/100.000 kilobyte (KB)

Crittografia dati

Impostazione | Valore
Protocollo | ESP
Integrità dei dati | SHA1
Crittografia dati | AES-128 (principale)/3-DES (secondario)
Durata chiavi | 60 minuti/100.000 KB

Metodo di autenticazione

Il metodo di autenticazione predefinito è Kerberos computer versione 5.

Interazione tra le impostazioni predefinite e Criteri di gruppo

I criteri creati utilizzando lo snap-in Windows Firewall con sicurezza avanzata e distribuiti con Criteri di gruppo vengono applicati nell'ordine seguente:

  1. Oggetto Criteri di gruppo con priorità più alta.

  2. Impostazioni dei criteri definite localmente.

  3. Impostazioni predefinite dei servizi, come illustrato nelle tabelle di questo argomento.

Ulteriori riferimenti

  • Windows Firewall con protezione avanzata


Configurare le regole firewall

Poiché Windows Firewall con sicurezza avanzata blocca per impostazione predefinita tutto il traffico di rete non richiesto in entrata, è necessario configurare le regole di programmi, porte o servizi di sistema per i programmi e i servizi che devono fungere da server, listener o peer. Le regole di programmi, porte e servizi di sistema vengono gestite costantemente man mano che vengono modificati i ruoli o le configurazioni del server. I ruoli e le funzionalità che è possibile installare utilizzando Server Manager in genere creano e attivano automaticamente regole firewall al momento della loro installazione. Inoltre, quando il ruolo o la funzionalità viene rimossa, tali regole vengono rimosse o disattivate. Anche un numero crescente di altri programmi e servizi non Microsoft configura automaticamente Windows Firewall con un insieme di regole che ne consentono il funzionamento.

Importante

Ogni criterio di filtro che viene aggiunto a una regola firewall aggiunge livelli ulteriori di restrizione. Se ad esempio non si specifica un programma o un servizio nella scheda Programmi e servizi, saranno autorizzati a connettersi tutti i programmi e i servizi, purché il traffico di rete relativo soddisfi gli altri criteri della regola. Con l'aggiunta di criteri più dettagliati, la regola diventerà sempre più restrittiva e le probabilità che venga soddisfatta saranno sempre più ridotte.

Per ulteriori informazioni, vedere l'argomento relativo alla configurazione delle regole firewall all'indirizzo http://go.microsoft.com/fwlink/?linkid=137813 nella Libreria TechNet.

Ulteriori riferimenti

  • Windows Firewall con protezione avanzata

  • Informazioni sulle regole firewall


Risorse per Windows Firewall con sicurezza avanzata

Per ulteriori informazioni su Windows Firewall con sicurezza avanzata, vedere le risorse seguenti nel sito Web Microsoft:

  • Windows Firewall con sicurezza avanzata e IPsec (http://go.microsoft.com/fwlink/?linkid=96525)

  • Guida alla distribuzione di Windows Firewall con sicurezza avanzata (http://go.microsoft.com/fwlink/?linkid=98308)

  • Isolamento di server e domini (http://go.microsoft.com/fwlink/?linkid=95395)

  • IPsec (http://go.microsoft.com/fwlink/?linkid=95394)

  • Windows Firewall (http://go.microsoft.com/fwlink/?linkid=95393)

  • Errori ed eventi di Windows Firewall per Windows 7 e Windows Server 2008 R2 (http://go.microsoft.com/fwlink/?linkid=137360)


Interfaccia utente: Windows Firewall con sicurezza avanzata

In questa sezione vengono descritte le pagine dell'interfaccia utente di Windows Firewall con sicurezza avanzata.

  • Pagina Proprietà Windows Firewall con sicurezza avanzata

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione

  • Pagina delle proprietà delle regole di sicurezza della connessione

  • Procedura guidata per la creazione di una nuova regola firewall

  • Pagina Proprietà regole firewall

  • Pagina proprietà regole firewall monitorate

  • Pagina delle proprietà delle regole di sicurezza della connessione monitorate

  • Associazioni di sicurezza in modalità principale monitorate

  • Associazioni di sicurezza in modalità rapida monitorate

  • Finestre di dialogo


Pagina Proprietà Windows Firewall con sicurezza avanzata

Utilizzare questa finestra di dialogo per configurare le proprietà di base del firewall per ogni profilo di rete. È inoltre possibile utilizzare la scheda Impostazioni IPSec per configurare i valori predefiniti per diverse opzioni di configurazione IPsec.

Per accedere a questa finestra di dialogo

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata eseguire una delle operazioni seguenti:

    • Nel riquadro di spostamento fare clic con il pulsante destro del mouse su Windows Firewall con sicurezza avanzata e quindi scegliere Proprietà.

    • Selezionare il nodo di primo livello nel riquadro di spostamento e quindi nella sezione Panoramica del riquadro centrale fare clic su Proprietà Windows Firewall.

    • Selezionare il nodo di primo livello nel riquadro di spostamento e nel riquadro Azioni fare clic su Proprietà.

Schede Profilo di dominio, Profilo privato e Profilo pubblico

È possibile configurare qualsiasi profilo, anche se non attualmente applicato. Se non si modificano le impostazioni del profilo, i valori predefiniti vengono applicati ogni volta che Windows Firewall con sicurezza avanzata utilizza il profilo. È consigliabile attivare Windows Firewall con sicurezza avanzata in tutti e tre i profili.

È possibile configurare le impostazioni seguenti in ogni scheda di profilo:

Stato

La selezione dello stato determina se Windows Firewall con sicurezza avanzata utilizza le impostazioni del profilo e il modo in cui il profilo gestisce i messaggi di rete in entrata e in uscita.

Stato del firewall

Selezionare Attivato (scelta consigliata) affinché Windows Firewall utilizzi le impostazioni di questo profilo per filtrare il traffico di rete. Se si seleziona Disattivato, Windows Firewall non utilizzerà alcuna delle regole del firewall o di sicurezza della connessione di questo profilo.

Importante

Se si utilizza Criteri di gruppo per disattivare Windows Firewall o si configura Windows Firewall con una regola che consente tutto il traffico di rete in entrata, Centro sicurezza PC Windows avvisa l'utente della presenza di problemi di sicurezza da correggere. Se l'utente tenta di correggere il problema segnalato facendo clic su Attiva in Centro sicurezza PC, verrà visualizzato un errore poiché Centro sicurezza PC non è in grado di attivare Windows Firewall. Questa operazione può generare chiamate di assistenza indesiderate al supporto tecnico. Se si gestisce la sicurezza dei computer dell'organizzazione e non si desidera che Centro sicurezza PC avvisi l'utente dei problemi di sicurezza, è possibile disattivare Centro sicurezza PC utilizzando l'impostazione dei Criteri di gruppo Attiva Centro sicurezza PC (solo computer del dominio) disponibile in Criteri del computer locale\Configurazione computer\Modelli amministrativi\Componenti di Windows\Centro sicurezza PC.

Connessioni in entrata

Questa impostazione determina il comportamento per tutte le connessioni in entrata che non corrispondono a una regola del firewall per il traffico in entrata. Il comportamento predefinito prevede il blocco delle connessioni, a meno che non esistano regole del firewall che consentono la connessione. È possibile scegliere come comportamento per le connessioni in entrata una delle impostazioni seguenti:

Selezione | Descrizione
Blocca (impostazione predefinita) | Blocca tutte le connessioni non autorizzate esplicitamente da regole del firewall.
Blocca tutte le connessioni | Blocca tutte le connessioni, anche se autorizzate esplicitamente da regole del firewall.
Consenti | Consente la connessione, a meno che non esista una regola del firewall che la blocca esplicitamente.

Connessioni in uscita

Questa impostazione determina il comportamento per tutte le connessioni in uscita che non corrispondono a una regola del firewall in uscita. Il comportamento predefinito prevede che le connessioni vengano consentite, a meno che non esistano regole del firewall che bloccano la connessione. È possibile scegliere come comportamento per le connessioni in uscita una delle impostazioni seguenti:

Selezione | Descrizione
Blocca | Blocca tutte le connessioni non autorizzate esplicitamente da regole del firewall.
Consenti (impostazione predefinita) | Consente la connessione, a meno che non esista una regola del firewall che la blocca esplicitamente.
Attenzione

Se si imposta Connessioni in uscita su Blocca e quindi si distribuiscono i criteri del firewall utilizzando un oggetto Criteri di gruppo, i computer che li ricevono non riceveranno gli aggiornamenti successivi dei Criteri di gruppo, a meno che non venga creata e distribuita una regola in uscita che consente il funzionamento dei Criteri di gruppo. Le regole predefinite per Funzionalità di base rete includono regole in uscita che consentono il funzionamento dei Criteri di gruppo. Controllare che queste regole in uscita siano attive e verificare accuratamente i profili del firewall prima della distribuzione dei criteri.

Connessioni di rete protette

Utilizzare queste impostazioni per specificare quali schede di rete sono soggette alla configurazione di questo profilo. Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza connessioni di rete protette per un profilo del firewall.

Impostazioni

Utilizzare queste impostazioni per configurare le impostazioni delle notifiche, la risposta unicast al traffico multicast o broadcast e l'unione di regole dei Criteri di gruppo. Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza impostazioni per un profilo del firewall.

Registrazione

Utilizzare queste impostazioni per configurare il modo in cui gli eventi vengono registrati in Windows Firewall con sicurezza avanzata, la massima dimensione consentita per il file di registro e il percorso di tale file. Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza impostazioni di registrazione per un profilo del firewall.

Scheda Impostazioni IPsec

Utilizzare questa scheda per configurare le impostazioni IPsec predefinite e a livello di sistema.

Impostazioni predefinite IPSec

Utilizzare queste impostazioni per configurare lo scambio di chiavi, la protezione dei dati e i metodi di autenticazione utilizzati da IPsec per proteggere il traffico di rete. Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza impostazioni IPSec.

Esenzioni IPSec

Utilizzare questa opzione per determinare se il traffico di rete contenente messaggi Internet Control Message Protocol (ICMP) è protetto da IPsec.

Il protocollo ICMP è comunemente utilizzato dalle procedure e dagli strumenti di risoluzione dei problemi di rete. Molti amministratori di rete accordano ai pacchetti ICMP l'esenzione dalla protezione IPsec per assicurare che questi messaggi non vengano bloccati.

Importante

Questa impostazione accorda a ICMP l'esenzione solo dalla parte IPsec di Windows Firewall con sicurezza avanzata. Per assicurare che ai pacchetti ICMP sia consentito il traffico attraverso Windows Firewall, è necessario creare e attivare una regola in entrata.

Nota

Se si attiva la condivisione file e stampanti in Centro connessioni di rete e condivisione, in Windows Firewall con sicurezza avanzata vengono automaticamente attivate le regole del firewall che consentono i tipi di pacchetti ICMP di uso comune. In questo modo, tuttavia, si attivano anche funzionalità di rete non correlate a ICMP. Se si desidera attivare solo ICMP, creare e attivare una regola in Windows Firewall per consentire il traffico dei pacchetti di rete ICMP in entrata.

Autorizzazione tunnel IPsec

Utilizzare questa opzione quando è presente una regola di sicurezza della connessione che prevede la creazione di una connessione in modalità tunnel IPsec da un computer remoto al computer locale e si desidera specificare gli utenti e i computer a cui è consentito o negato l'accesso al computer locale tramite il tunnel. Scegliere Avanzate e quindi fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza autorizzazioni tunnel IPsec.

Le autorizzazioni specificate qui si applicano unicamente alle regole di tunneling per cui è stata selezionata l'opzione Applica autorizzazione nella finestra di dialogo Personalizza impostazioni tunneling IPsec.


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione

In questa sezione vengono illustrate le pagine della procedura guidata per la creazione di nuova regola di sicurezza della connessione di Windows Firewall con sicurezza avanzata.

  • Tipo di regola

  • Endpoint

  • Requisiti

  • Metodo di autenticazione

  • Protocolli e porte

  • Computer esenti

  • Tipo di tunnel

  • Endpoint del tunnel – Configurazione personalizzata

  • Endpoint del tunnel – Da client a gateway

  • Endpoint del tunnel – Da gateway a client

  • Profilo


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Tipo di regola

È possibile utilizzare la procedura guidata per la creazione di nuova regola di sicurezza della connessione per creare regole IPsec (Internet Protocol Security) che soddisfino più obiettivi di sicurezza della rete. Utilizzare questa pagina per selezionare il tipo di regola che si desidera creare.

Nella procedura guidata sono disponibili quattro tipi di regola predefiniti. È inoltre possibile creare una regola personalizzata.

Nota

È consigliabile assegnare a ogni regola di sicurezza della connessione un nome univoco in modo che successivamente sia possibile utilizzare lo strumento da riga di comando Netsh per gestire le regole. Non assegnare a una regola di sicurezza il nome "all" poiché tale nome risulterebbe in conflitto con la parola chiave all del comando netsh.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Verrà visualizza la pagina Tipo di regola.

Isolamento

Una regola di isolamento limita le connessioni in base ai criteri di autenticazione definiti. È ad esempio possibile utilizzare questo tipo di regola per isolare i computer aggiunti al dominio da quelli esterni quali i computer in Internet. Se si seleziona questo tipo di regola, oltre alla pagina Nome della procedura guidata verranno attivate le pagine seguenti:

  • Requisiti

  • Metodo di autenticazione

  • Profilo

Esenzione da autenticazione

Utilizzare questa opzione per creare una regola che accordi ai computer specificati l'esenzione dall'obbligo di autenticazione, indipendentemente da altre regole di sicurezza delle connessioni. Questo tipo di regola viene in genere utilizzato per concedere l'accesso ai computer di infrastruttura, ad esempio controller di dominio Active Directory, autorità di certificazione (CA, Certification Authority) o server DHCP, con cui il computer deve comunicare prima che sia possibile eseguire l'autenticazione. Viene inoltre utilizzato per computer che non possono utilizzare il tipo di autenticazione configurato per questo criterio e profilo.

Se si seleziona questo tipo di regola, oltre alla pagina Nome della procedura guidata verranno attivate le pagine seguenti:

  • Computer esenti

  • Profilo

Nota

Sebbene i computer siano esenti dall'autenticazione, il traffico di rete proveniente da tali computer può comunque essere bloccato da Windows Firewall, a meno che una regola firewall non consenta loro la connessione.

Connessioni tra server specifici

Utilizzare questo tipo di regola per autenticare le comunicazioni tra due computer specificati, tra due gruppi di computer, tra due subnet oppure tra un computer specificato e un gruppo di computer o una subnet. È possibile utilizzare questa regola per autenticare il traffico tra un server database e un computer di livello aziendale o tra un computer di infrastruttura e un altro server. Questa regola è analoga al tipo di regola di isolamento, ma in questo caso verrà visualizzata la pagina Endpoint che consente di identificare i computer interessati dalla regola.

Se si seleziona questo tipo di regola, oltre alla pagina Nome della procedura guidata verranno attivate le pagine seguenti:

  • Endpoint

  • Requisiti

  • Metodo di autenticazione

  • Profilo

Tunnel

Utilizzare questo tipo di regola per proteggere le comunicazioni tra due computer utilizzando la modalità tunnel, anziché la modalità trasporto, in IPsec. Nella modalità tunnel l'intero pacchetto di rete viene incorporato in un pacchetto di rete indirizzato tra due endpoint definiti. Per ogni endpoint, è possibile specificare un singolo computer che riceva e consumi il traffico di rete inviato attraverso il tunnel oppure specificare un computer gateway che si connetta a una rete privata su cui il traffico ricevuto viene indirizzato dopo che l'endpoint del tunnel ricevente lo estrae dal tunnel.

Se si seleziona questo tipo di regola, oltre alla pagina Nome della procedura guidata verranno attivate le pagine seguenti:

  • Tipo di tunnel

  • Requisiti

  • Endpoint del tunnel

  • Metodo di autenticazione

  • Profilo

Personalizzata

Utilizzare questo tipo di regola per creare una regola che richiede impostazioni speciali. Questa opzione comporta l'attivazione di tutte le pagine della procedura guidata, ad eccezione di quelle utilizzate esclusivamente per creare regole di tunneling.

  • Endpoint

  • Requisiti

  • Metodo di autenticazione

  • Protocolli e porte

  • Profilo

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedur guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint

Utilizzare le impostazioni di questa pagina della procedura guidata per specificare i computer che possono partecipare alle connessioni create da questa regola di sicurezza della connessione. La regola di sicurezza della connessione si applica alle comunicazioni tra qualsiasi computer dell'Endpoint 1 e qualsiasi computer dell'Endpoint 2. Se il computer presenta un indirizzo IP incluso in una delle definizioni degli endpoint, potrà inviare e ricevere pacchetti di rete tramite questa connessione ai computer elencati nell'altro endpoint. Un endpoint può essere un singolo computer o un gruppo di computer, definito da un indirizzo IP, da un indirizzo subnet IP, da un intervallo di indirizzi IP o da un insieme predefinito di computer identificati in base al ruolo: gateway predefinito, server WINS, server DHCP, server DNS o subnet locale. La subnet locale è l'insieme di tutti i computer disponibili per questo computer, ad eccezione degli indirizzi IP pubblici (interfacce), inclusi sia gli indirizzi LAN (Local Area Network) sia gli indirizzi wireless.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola selezionare Connessioni tra server specifici o Personalizzato e quindi fare clic su Avanti.

Selezionare i computer inclusi nell'endpoint 1

Utilizzare questa sezione per definire i computer che fanno parte dell'endpoint 1 e che possono utilizzare questa regola per comunicare con i computer che fanno parte dell'endpoint 2.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che l'endpoint 1 è formato da qualsiasi computer che deve comunicare con un computer nell'endpoint 2. Tutto il traffico di rete diretto a un computer nell'endpoint 2 o proveniente da tale computer soddisfa questa regola ed è soggetto ai requisiti di autenticazione relativi.

Questi indirizzi IP

Selezionare questa opzione per specificare gli indirizzi IP dei computer che costituiscono l'endpoint 1. Fare clic su Aggiungi o Modifica per visualizzare la finestra di dialogo Indirizzi IP per creare o modificare le voci.

Personalizzare i tipi di interfaccia a cui applicare la regola

Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza tipi di interfaccia per selezionare i tipi di scheda di rete a cui si applica la regola. Per impostazione predefinita, la regola viene applicata a tutte le schede di rete di qualsiasi tipo.

Selezionare i computer inclusi nell'endpoint 2

Utilizzare questa sezione per definire i computer che fanno parte dell'endpoint 2 e che possono utilizzare questa regola per comunicare con i computer che fanno parte dell'endpoint 1.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che l'endpoint 2 è formato da qualsiasi computer che deve comunicare con un computer nell'endpoint 1. Tutto il traffico di rete diretto a un computer nell'endpoint 1 o proveniente da tale computer soddisfa questa regola ed è soggetto ai requisiti di autenticazione relativi.

Questi indirizzi IP

Selezionare questa opzione per specificare gli indirizzi IP dei computer che costituiscono l'endpoint 2. Fare clic su Aggiungi o Modifica per visualizzare la finestra di dialogo Indirizzi IP per creare o modificare le voci.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i computer nell'endpoint 1 o 2, fare clic sulla scheda Computer. Per modificare i tipi di interfaccia a cui si applica la regola, fare clic sulla scheda Avanzate e quindi fare clic su Personalizza in Tipi di interfaccia.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Requisiti

Utilizzare le impostazioni di questa pagina della procedura guidata per specificare la modalità di applicazione dell'autenticazione alle connessioni in entrata e in uscita che soddisfano questa regola di sicurezza della connessione. Se si richiede l'autenticazione, la connessione viene consentita anche se l'autenticazione ha esito negativo. Se si rende obbligatoria l'autenticazione, la connessione viene bloccata se l'autenticazione ha esito negativo.

Utilizzare la pagina Metodo di autenticazione della procedura guidata per configurare le credenziali utilizzate per l'autenticazione.

Alcune delle opzioni seguenti vengono visualizzate solo quando si configurano determinati tipi di regole.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Fare clic su Avanti finché non si raggiunge la pagina Requisiti.

Autenticazione richiesta per le connessioni in entrata e in uscita

Selezionare questa opzione per specificare che tutto il traffico in entrata e in uscita venga autenticato se possibile, ma che la connessione venga consentita se l'autenticazione ha esito negativo. Questa opzione viene in genere utilizzata in un ambiente con un livello basso di sicurezza o in un ambiente con computer che devono poter connettersi,ma che non possono eseguire i tipi di autenticazione disponibili con Windows Firewall con sicurezza avanzata. In un ambiente di isolamento dominio e server, questa opzione viene in genere utilizzata per i computer che si trovano nella zona di confine.

Autenticazione obbligatoria per le connessioni in entrata e richiesta per le connessioni in uscita

Selezionare questa opzione per rendere obbligatoria l'autenticazione di tutto il traffico in entrata. Se l'autenticazione del traffico in entrata ha esito negativo, la connessione viene bloccata. Il traffico in uscita viene autenticato se possibile, ma viene consentito se l'autenticazione ha esito negativo. Questa opzione viene utilizzata soprattutto negli ambienti IT in cui i computer che devono connettersi possono eseguire i tipi di autenticazione disponibili con Windows Firewall con sicurezza avanzata. In un ambiente di isolamento dominio e server, questa opzione viene in genere utilizzata per i computer client che fanno parte della zona di isolamento principale del dominio.

Autenticazione obbligatoria per le connessioni in entrata e in uscita

Utilizzare questa opzione per rendere obbligatoria l'autenticazione di tutto il traffico in entrata e in uscita. Se l'autenticazione di qualsiasi traffico di rete ha esito negativo, il traffico viene bloccato. Questa opzione viene in genere utilizzata negli ambienti IT con un livello più elevato di sicurezza in cui il flusso del traffico deve essere protetto e controllato e in cui i computer che devono connettersi possono eseguire i tipi di autenticazione disponibili con Windows Firewall con sicurezza avanzata. In un ambiente di isolamento dominio e server, questa opzione viene in genere utilizzata per i server nella zona di isolamento principale del dominio.

Autenticazione obbligatoria per le connessioni in entrata. Tunnel non utilizzati per le connessioni in uscita

Utilizzare questa opzione quando si crea una regola in modalità tunnel in un computer che serve da endpoint del tunnel per i client remoti, per specificare che il tunnel si applica solo al traffico in entrata proveniente dai client. Il server può eseguire connessioni in uscita non interessate da questa regola.

Nota

Questa opzione viene visualizzata solo quando si seleziona Tunnel nella pagina Tipo di regola e Configurazione personalizzata o Da gateway a client nella pagina Tipo di tunnel.

Non autenticare

Utilizzare questa opzione per creare una regola di esenzione dall'autenticazione per le connessioni a computer che non richiedono la protezione Internet Protocol Security (IPsec).

Nota

Questa opzione viene visualizzata quando si seleziona Personalizzato nella pagina Tipo di regola o quando si seleziona Tunnel nella pagina Tipo di regola e quindi si seleziona Personalizzato o Da client a gateway nella pagina Tipo di tunnel.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i requisiti di autenticazione per questa regola, fare clic sulla scheda Autenticazione.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Metodo di autenticazione

Utilizzare queste impostazioni per configurare il tipo di autenticazione utilizzato da questa regola di sicurezza della connessione.

Nota

Non tutti i metodi di autenticazione indicati in questo elenco sono disponibili per tutti i tipi di regola di sicurezza della connessione. I metodi di autenticazione disponibili per il tipo di regola sono visualizzati nella pagina Metodo di autenticazione della procedura guidata per la creazione di una nuova regola di sicurezza della connessione e nella scheda Autenticazione della pagina delle proprietà delle regole di sicurezza della connessione.

Per ulteriori informazioni sui metodi di autenticazione, vedere la pagina relativa agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?linkid=129230.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Fare clic su Avanti finché non si raggiunge la pagina Metodo di autenticazione.

Predefinito

Questa opzione è disponibile solo quando si specifica un tipo di regola Isolamento o Personalizzato.

Selezionare questa opzione per utilizzare il metodo di autenticazione attualmente visualizzato nella finestra di dialogo Proprietà Windows Firewall con sicurezza avanzata, nella scheda Impostazioni IPsec, in Metodo di autenticazione. Per ulteriori informazioni sulla personalizzazione delle opzioni predefinite vedere Finestra di dialogo: Personalizza impostazioni IPSec

Computer e utente (Kerberos V5)

Questa opzione è disponibile solo quando si specifica un tipo di regola Isolamento o Personalizzato.

Selezionare questa opzione per utilizzare l'autenticazione di computer e utente con il protocollo Kerberos versione 5. Questa opzione equivale a fare clic su Avanzate, aggiungere Computer (Kerberos V5) per la prima autenticazione e Utente (Kerberos V5) per la seconda autenticazione e quindi deselezionare sia Prima autenticazione facoltativa e Prima autenticazione facoltativa.

Computer (Kerberos V5)

Questa opzione è disponibile solo quando si specifica un tipo di regola Isolamento o Personalizzato.

Selezionare questa opzione per utilizzare l'autenticazione del computer con il protocollo Kerberos versione 5. Questa opzione equivale a fare clic su Avanzate, aggiungere Computer (Kerberos V5) per la prima autenticazione e quindi selezionare Seconda autenticazione facoltativa.

Certificato computer

Questa opzione è disponibile solo quando si specifica un tipo di regola Connessioni tra server specifici o Tunnel.

Selezionare questa opzione per utilizzare l'autenticazione del computer basata su un certificato computer. Questa opzione equivale a fare clic su Avanzate, aggiungere Certificato computer per la prima autenticazione e quindi selezionare Seconda autenticazione facoltativa.

Algoritmo di firma

Specificare l'algoritmo di firma utilizzato per proteggere con crittografia il certificato.

RSA (impostazione predefinita)

Selezionare questa opzione se il certificato è firmato utilizzando l'algoritmo di crittografia di chiave pubblica RSA.

ECDSA-P256

Selezionare questa opzione se il certificato è firmato mediante Elliptic Curve Digital Signature Algorithm (ECDSA) con forza della chiave a 256 bit.

ECDSA-P384

Selezionare questa opzione se il certificato è firmato mediante ECDSA con forza della chiave a 384 bit.

Tipo dell'archivio certificati

Specificare il tipo di certificato identificando l'archivio in cui il certificato è contenuto.

CA radice (impostazione predefinita)

Selezionare questa opzione se il certificato è stato emesso da un'autorità di certificazione (CA, Certification Authority) radice ed è archiviato nell'archivio certificati Autorità di certificazione radice attendibili.

CA intermedia

Selezionare questa opzione se il certificato è stato emesso da una CA intermedia ed è archiviato nell'archivio certificati Autorità di certificazione intermedie.

Consenti solo certificati di integrità

Questa opzione limita l'uso dei certificati computer a quelli contrassegnati come certificati di integrità. I certificati di integrità sono pubblicati da una CA in supporto di una distribuzione Protezione accesso alla rete. Protezione accesso alla rete consente di definire e applicare criteri di integrità in modo che i computer non conformi ai requisiti di rete, ad esempio computer senza software antivirus o privi degli ultimi aggiornamenti del software, abbiano meno possibilità di accedere alla rete. Per implementare Protezione accesso alla rete, è necessario configurare le relative impostazioni sia sul server sia sul client. Lo snap-in di gestione del client di Protezione accesso alla rete, disponibile in Microsoft Management Console (MMC), consente di configurare le impostazioni di Protezione accesso alla rete nei computer client. Per ulteriori informazioni, vedere la Guida dello snap-in MMC Protezione accesso alla rete. Per utilizzare questa funzione , è necessario aver impostato nel dominio un server Protezione accesso alla rete.

Avanzate

Questa opzione è disponibile quando si specifica qualsiasi tipo di regola.

Selezionare questa opzione per configurare qualsiasi metodo di autenticazione disponibile. È quindi necessario fare clic su Personalizza e specificare un elenco dei metodi sia per la prima sia per la seconda autenticazione. Per ulteriori informazioni, vedere Finestra di dialogo: Personalizza metodi di autenticazione avanzata, Finestra di dialogo: Aggiungi o modifica primo metodo di autenticazione e Finestra di dialogo: Aggiungi o modifica secondo metodo di autenticazione.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i metodi di autenticazione utilizzati da questa regola, fare clic sulla scheda Autenticazione.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Protocolli e porte

Utilizzare questa pagina della procedura guidata per specificare il protocollo e la porta o le porte di un pacchetto di rete che soddisfano questa regola di sicurezza della connessione. Solo il traffico di rete che soddisfa i criteri in questa pagina e nella pagina Endpoint soddisfa le regola ed è soggetto ai requisiti di autenticazione relativi.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Personalizzato.

  3. In Passaggi fare clic su Protocollo e porte.

Tipo di protocollo

Selezionare il protocollo il cui traffico di rete verrà protetto da questa regola di sicurezza della connessione. Se il protocollo desiderato non è presente nell'elenco, fare clic su Personalizzato e quindi digitare il numero del protocollo in Numero protocollo.

Se si seleziona TCP o UDP nell'elenco, è quindi possibile digitare i numeri di porta TCP o UDP in Porta endpoint 1 e Porta endpoint 2.

Numero protocollo

Quando si seleziona un tipo di protocollo, il numero di identificazione corrispondente viene visualizzato automaticamente in Numero protocollo ed è di sola lettura. Se si seleziona Personalizzato come tipo di protocollo, sarà necessario digitare il numero di identificazione del protocollo in Numero protocollo.

Porta endpoint 1

Questa opzione è disponibile solo se il protocollo è impostato su TCP o UDP. Utilizzare questa opzione per specificare il numero di porta utilizzato dal computer che fa parte dell'endpoint 1. Se si seleziona Tutte le porte, tutto il traffico di rete per il protocollo selezionato soddisferà questa regola di sicurezza della connessione. Se si seleziona Porte specifiche, sarà possibile digitare i numeri di porta nella casella sotto l'elenco. Separare i numeri di porta con virgole.

Note
  • Se per questa regola è selezionata l'opzione Non autenticare nella pagina Requisiti, sarà possibile digitare i numeri di porta in un intervallo separando i valori massimo e minimo con un trattino, come illustrato di seguito:
  • 80, 445, 5000-5010

Porta endpoint 2

Questa opzione è disponibile solo se il protocollo è impostato su TCP o UDP. Utilizzare questa opzione per specificare il numero di porta utilizzato dal computer che fa parte dell'endpoint 2. Se si seleziona Tutte le porte, tutto il traffico di rete per il protocollo selezionato soddisferà questa regola di sicurezza della connessione. Se si seleziona Porte specifiche, sarà possibile digitare i numeri di porta nella casella sotto l'elenco. Separare i numeri di porta con virgole.

Note
  • Se per questa regola è selezionata l'opzione Non autenticare nella pagina Requisiti, sarà possibile digitare i numeri di porta in un intervallo separando i valori massimo e minimo con un trattino, come illustrato di seguito:
  • 80, 445, 5000-5010

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i numeri di protocolli e porte, fare clic su Protocolli e porte.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Computer esenti

Utilizzare questa pagina della procedura guidata per accordare l'esenzione dall'autenticaione a computer o gruppi di computer, indipendentemente da altre regole di sicurezza della connessione. Questo tipo di regola viene in genere utilizzato per concedere l'accesso a computer di infrastruttura con cui il computer in uso deve comunicare per poter eseguire le autenticazioni. Viene inoltre utilizzato per altri computer in cui non è possibile utilizzare il tipo di autenticazione configurato per questo criterio e profilo.

È possibile che ai computer di infrastruttura quali controller di dominio Active Directory, autorità di certificazione (CA, Certification Authority) o server DHCP venga concessa l'autorizzazione a comunicare con il computer in uso per poter eseguire le autenticazioni.

Per creare una regola di esenzione dall'autenticazione, è sufficiente specificare i computer oppure un gruppo o un intervallo di indirizzi IP (computer) e assegnare alla regola un nome e, facoltativamente, una descrizione.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola selezionare Esenzione da autenticazione.

  3. In Passaggi fare clic su Computer esenti.

Computer esenti

In questa pagina della procedura guidata è possibile aggiungere all'elenco uno o più computer o gruppi di computer per esentarli dai requisiti di autenticazione. Fare clic su Aggiungi per specificare i computer tramite indirizzo IPv4 (Internet Protocol versione 4) o IPv6 (Internet Protocol versione 6), subnet, intervallo di indirizzi IP oppure tramite uno degli indirizzi IP predefiniti: gateway predefinito, server WINS, server DHCP, server DNS o subnet locale. La subnet locale è l'insieme di tutti i computer disponibili per questo computer, ad eccezione degli indirizzi IP pubblici (interfacce), inclusi sia gli indirizzi LAN (Local Area Network) sia gli indirizzi wireless.

Quando si fa clic su Aggiungi o Modifica, viene visualizzata la finestra di dialogo Indirizzo IP.

Nota

Sebbene i computer elencati in questa pagina siano esenti dall'autenticazione, possono comunque essere bloccati da Windows Firewall, a meno che non esista una regola firewall che consenta loro la connessione.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i computer esenti, fare clic sulla scheda Computer. L'impostazione che indica che si tratta di una regola di esenzione viene visualizzata nella scheda Autenticazione. Modalità di autenticazione è impostata su Non autenticare.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Tipo di tunnel

La modalità tunnel IPsec viene principalmente utilizzata per interoperabilità con router, gateway o sistemi finali che non supportano il tunneling VPN Layer Two Tunneling Protocol (L2TP)/Internet Protocol Security (IPsec) o Point-to-Point Tunneling Protocol (PPTP). La modalità tunnel IPSec è supportata solo in scenari di tunneling da gateway a gateway e per determinate configurazioni da server a server o da server a gateway. La modalità tunnel IPSec non è supportata per gli scenari VPN di accesso remoto. Per le connessioni VPN di accesso remoto è consigliabile utilizzare L2TP/IPSec o PPTP.

Un tunnel IPsec deve essere definito a entrambe le estremità della connessione. A ogni estremità, le voci per il computer del tunnel locale e per il computer del tunnel remoto devono essere invertite, poiché il computer locale a un'estremità del tunnel è il computer remoto all'altra estremità e viceversa.

Utilizzare Windows Firewall con sicurezza avanzata per eseguire il tunneling di livello 3 negli scenari in cui non è possibile utilizzare L2TP. Se si utilizza L2TP per le comunicazioni remote, non sarà necessaria alcuna configurazione del tunnel IPsec poiché i componenti VPN client e server di questa versione di Windows creano le regole appropriate per proteggere automaticamente il traffico L2TP.

Utilizzare questa pagina della procedura guidata per configurare il tipo di tunnel IPsec che si desidera creare. Un tunnel IPsec viene in genere utilizzato per connettere una rete privata dietro un gateway a un client remoto o a un gateway remoto con un'altra rete privata. La modalità tunnel IPsec protegge un pacchetto di dati incapsulando l'intero pacchetto di dati all'interno di un pacchetto protetto da IPsec e quindi indirizzando il pacchetto protetto da IPsec tra gli endpoint del tunnel. Quando arriva all'endpoint di destinazione, il pacchetto di dati viene estratto e quindi indirizzato alla destinazione finale.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Tunnel.

  3. In Passaggi selezionare Tipo di tunnel.

Configurazione personalizzata

Selezionare questa opzione per attivare tutte le opzioni di configurazione degli endpoint nella pagina Endpoint del tunnel – Configurazione personalizzata. È possibile specificare gli indirizzi IP dei computer che servono come endpoint del tunnel e i computer presenti in reti private dietro ogni endpoint del tunnel. Per ulteriori informazioni, vedere Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel – Configurazione personalizzata.

Da client a gateway

Selezionare questa opzione se si desidera creare una regola per un computer client che deve connettersi a un gateway remoto e i computer dietro il gateway in una rete privata.

Quando il client invia un pacchetto di rete a un computer nella rete privata remota, IPsec incorpora il pacchetto di dati all'interno di un pacchetto IPsec indirizzato all'indirizzo del gateway remoto. Il gateway estrae il pacchetto e lo indirizza nella rete privata al computer di destinazione.

Se si seleziona questa opzione, è possibile configurare solo l'indirizzo IP pubblico del computer gateway e gli indirizzi IP dei computer nella rete privata. Per ulteriori informazioni, vedere Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel (client-gateway).

Da gateway a client

Selezionare questa opzione se si desidera creare una regola per un computer gateway collegato sia a una rete privata sia a una rete pubblica da cui riceve il traffico di rete da client remoti.

Quando il client invia un pacchetto di rete a un computer nella rete privata remota, IPsec incorpora il pacchetto di dati all'interno di un pacchetto IPsec indirizzato all'indirizzo IP pubblico di questo computer gateway. Quando il computer gateway riceve il pacchetto, lo estrae e lo indirizza nella rete privata al computer di destinazione.

Quando un computer nella rete privata remota deve rispondere al computer client, il pacchetto di dati viene indirizzato al computer gateway. Il computer gateway incorpora il pacchetto di dati all'interno di un pacchetto IPsec indirizzato al computer client remoto e quindi indirizza il pacchetto IPsec sulla rete pubblica al computer client remoto.

Se si seleziona questa opzione, è possibile configurare solo gli indirizzi dei computer nella rete privata e l'indirizzo IP pubblico del computer gateway. Per ulteriori informazioni, vedere Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel (gateway-client).

Accorda esenzione per connessioni protette IPsec

In alcuni casi un pacchetto d di rete potrebbe soddisfare più regole di sicurezza della connessione. Se una delle regole stabilisce un tunnel IPsec, è possibile scegliere se utilizzare il tunnel o inviare il pacchetto all'esterno del tunnel protetto dall'altra regola.

Sì

Selezionare questa opzione se la connessione è già protetta da un'altra regola di sicurezza della connessione e non si desidera che il pacchetto di rete attraversi il tunnel IPsec. Tutto il traffico di rete protetto dal protocollo ESP (Encapsulating Security Payload), incluso ESP Null, non può attraversare il tunnel.

No

Selezionare questa opzione se si desidera che tutti i pacchetti di rete che soddisfano la regola del tunnel attraversino il tunnel anche se sono protetti da un'altra regola di sicurezza della connessione.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel – Configurazione personalizzata

Utilizzare questa pagina della procedura guidata per configurare le opzioni degli endpoint per una regola del tunnel IPsec.

Se si seleziona Configurazione personalizzata nella pagina Tipo di tunnel, è possibile configurare tutti i dettagli del tunnel nella pagina Endpoint del tunnel.

Nel diagramma seguente sono illustrati i componenti che è possibile configurare mediante questa pagina della procedura guidata.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Tunnel.

  3. In Passaggi fare clic su Tipo di tunnel e quindi fare clic su Configurazione personalizzata.

  4. Fare clic su Avanti finché non si raggiunge la pagina Endpoint del tunnel.

Selezionare i computer inclusi nell'endpoint 1

L'endpoint 1 è l'insieme di computer all'estremità locale del tunnel che devono essere in grado di inviare e ricevere dati dai computer che fanno parte dell'endpoint 2. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer mediante la finestra di dialogo Indirizzo IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Endpoint del tunnel locale più vicino ai computer nell'endpoint 1

L'endpoint del tunnel locale è il gateway a cui un computer nell'endpoint 1 invia pacchetti di rete indirizzati a un computer nell'endpoint 2. L'endpoint del tunnel locale accetta un pacchetto di rete da un computer nell'endpoint 1 e quindi lo incapsula in un nuovo pacchetto di rete indirizzato all'endpoint del tunnel remoto. L'endpoint del tunnel remoto estrae il pacchetto originale incapsulato, lo inserisce nella rete connessa ai computer nell'endpoint 2 e quindi lo indirizza alla destinazione finale.

È possibile specificare un indirizzo Internet Protocol versione 4 (IPv4), un indirizzo Internet Protocol versione 6 (IPv6) o entrambi. Per aggiungere un indirizzo, fare clic su Modifica e immettere le informazioni richieste nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Importante

Se si specifica Qualsiasi, il computer nell'endpoint 1 risulta l'endpoint del tunnel locale per la connessione. Il computer nell'endpoint 1 incapsula e indirizza i propri pacchetti di rete all'endpoint del tunnel remoto, il quale estrae e indirizza i dati al computer di destinazione nell'endpoint 2.

Nota

La versione IP dell'indirizzo a ogni estremità del tunnel deve corrispondere. Ad esempio, se si specifica un indirizzo IPv4 a un'estremità, anche l'altra estremità deve presentare un indirizzo IPv4. È possibile specificare sia un indirizzo IPv4 sia un indirizzo IPv6, ma se si utilizza un indirizzo a un'estremità è necessario utilizzare la stessa versione anche all'altra.

Applica autorizzazione per tunnel IPsec

Selezionare questa opzione per specificare che il computer o l'utente nell'endpoint 1 deve eseguire l'autenticazione con l'endpoint del tunnel locale prima che sia possibile inviare qualsiasi pacchetto attraverso il tunnel. Per specificare i computer o gli utenti autorizzati a inviare traffico attraverso il tunnel, eseguire la procedura seguente:

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per specificare gli utenti e i computer a cui è concessa o negata l'autorizzazione all'invio di traffico di rete attraverso il tunnel

  1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata selezionare Windows Firewall con sicurezza avanzata.

  2. In Panoramica fare clic su Proprietà Windows Firewall.

  3. Fare clic sulla scheda Impostazioni IPsec.

  4. In Autorizzazione tunnel IPsec fare clic su Avanzate e quindi su Personalizza.

  5. Aggiungere utenti e computer agli elenchi, in base alla progettazione. Per ulteriori informazioni, vedere Finestra di dialogo: Personalizza autorizzazioni tunnel IPsec.

Endpoint del tunnel remoto più vicino ai computer nell'endpoint 2

L'endpoint del tunnel remoto è il gateway a cui l'endpoint del tunnel locale invia i pacchetti di rete indirizzati a un computer nell'endpoint 2. L'endpoint del tunnel remoto riceve un pacchetto di rete dal computer del tunnel locale, estrae il pacchetto originale incapsulato e quindi lo indirizza al computer di destinazione nell'endpoint 2.

È possibile specificare un indirizzo IPv4, IPv6 o entrambi. Per aggiungere un indirizzo, fare clic su Modifica e immettere le informazioni richieste nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Importante

Se si specifica Qualsiasi, il computer nell'endpoint 2 che riceve i dati servirà anche da endpoint del tunnel remoto. Il computer nell'endpoint 2, quindi, estrae ed elabora il pacchetto originale.

Nota

La versione IP dell'indirizzo a ogni estremità del tunnel deve corrispondere. Ad esempio, se si specifica un indirizzo IPv4 a un'estremità, anche l'altra deve presentare un indirizzo IPv4. È possibile specificare sia un indirizzo IPv4 sia un indirizzo IPv6, ma se si utilizza un indirizzo a un'estremità è necessario utilizzare la stessa versione anche all'altra.

Selezionare i computer inclusi nell'endpoint 2

L'endpoint 2 è l'insieme di computer all'estremità remota del tunnel che devono essere in grado di inviare e ricevere dati dai computer che fanno parte dell'endpoint 1. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer mediante la finestra di dialogo Indirizzo IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i computer nell'endpoint 1 e 2, fare clic sulla scheda Computer. Per modificare l'impostazione dell'autorizzazione o i computer che servono come endpoint del tunnel, fare clic sulla scheda Avanzate e quindi fare clic su Personalizza in Tunneling IPsec.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel (client-gateway)

Selezionare Da client a gateway nella pagina Tipo di tunnel se la regola di sicurezza della connessione è destinata a un computer client che deve comunicare con un gateway remoto e con i computer dietro il gateway di una rete privata. È possibile utilizzare questa pagina per configurare l'indirizzo IP dell'endopoint del tunnel remoto (gateway) e i computer dietro l'endpoint del tunnel remoto in una rete privata.

Nella figura seguente sono illustrati i componenti che è possibile configurare mediante questa pagina della procedura guidata.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Tunnel.

  3. In Passaggi fare clic su Tipo di tunnel e quindi su Da client a gateway.

  4. Fare clic su Avanti finché non si raggiunge la pagina Endpoint del tunnel.

Client

Questa opzione è impostata su Indirizzo IP e non può essere modificata.

Nota

In questo scenario il computer client rappresenta l'unico computer dell'endpoint 1 ed è anche l'endpoint del tunnel locale.

Gateway

Il gateway è il computer a cui il client invia i pacchetti indirizzati a un computer nell'endpoint remoto. Il gateway riceve un pacchetto di rete dal client, decapsula il pacchetto originale e lo indirizza al computer di destinazione nell'endpoint 2. È possibile specificare un indirizzo Internet Protocol versione 4 (IPv4), un indirizzo Internet Protocol versione 6 (IPv6) o entrambi.

Note
  • La versione IP dell'indirizzo a ogni estremità del tunnel deve corrispondere. Ad esempio, se si specifica un indirizzo IPv4 a un'estremità, anche l'altra deve presentare un indirizzo IPv4. È possibile specificare un indirizzo IPv4 e un indirizzo IPv6, ma se si utilizza un indirizzo a un'estremità è necessario utilizzare la stessa versione anche all'altra. È inoltre necessario specificare la stessa versione di IP sia per l'endpoint del tunnel remoto (gateway) sia per gli endpoint remoti dietro il gateway.
  • Il computer gateway viene indicato come endpoint del tunnel remoto nella finestra di dialogo Impostazioni tunneling IPsec, nello strumento da riga di comando Netsh e se si seleziona Configurazione personalizzata nella pagina Tipo di tunnel.

Che cosa sono gli endpoint remoti?

Gli endpoint remoti sono i computer all'estremità remota del tunnel sull'altro lato del gateway che devono essere in grado di inviare e ricevere dati dal client. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer utilizzando la finestra di dialogo Indirizzo IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Nota

Il computer gateway viene indicato come endpoint del tunnel remoto nella finestra di dialogo Impostazioni tunneling IPsec, nello strumento da riga di comando Netsh e se si seleziona Configurazione personalizzata nella pagina Tipo di tunnel.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i computer accessibili dietro l'endpoint del tunnel remoto, utilizzare la scheda Computer e configurare le impostazioni per Endpoint 2. Per modificare l'endpoint del tunnel remoto (gateway), nella scheda Avanzate in Tunneling IPsec fare clic su Personalizza e quindi modificare Endpoint del tunnel remoto.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Endpoint tunnel (gateway-client)

Selezionare Da gateway a client nella pagina Tipo di tunnel se la regola di sicurezza della connessione è destinata a un computer che costituirà l'endpoint del tunnel locale (gateway) per i computer in una rete privata. È possibile utilizzare questa pagina per configurare gli indirizzi IP dei client remoti che possono stabilire un tunnel a questo gateway e i computer dietro il gateway nella rete privata.

Nella figura seguente sono illustrati i componenti che è possibile configurare mediante questa pagina della procedura guidata.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Tunnel.

  3. In Passaggi fare clic su Tipo di tunnel e quindi fare clic su Da gateway a client.

  4. Fare clic su Avanti finché non si raggiunge la pagina Endpoint del tunnel.

Che cosa sono gli endpoint locali?

Gli endpoint locali sono computer nella rete privata dietro il gateway che devono essere in grado di inviare e ricevere dati dal client remoto attraverso il tunnel. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer utilizzando la finestra di dialogo Indirizzi IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Nota

Gli endpoint locali vengono indicati come endpoint 1 nella finestra di dialogo Impostazioni tunneling IPsec, nello strumento da riga di comando Netsh e se si seleziona Configurazione personalizzata nella pagina Tipo di tunnel.

Gateway

L'endpoint del tunnel locale è il computer a cui il client remoto invia i pacchetti indirizzati a un computer nell'endpoint 1. Il computer del tunnel locale riceve un pacchetto di rete dal client remoto, decapsula il pacchetto originale e quindi lo indirizza al computer di destinazione nell'endpoint 1. È possibile specificare un indirizzo Internet Protocol versione 4 (IPv4), un indirizzo Internet Protocol versione 6 (IPv6) o entrambi.

Nota

La versione IP dell'indirizzo a ogni estremità del tunnel deve corrispondere. Ad esempio, se si specifica un indirizzo IPv4 a un'estremità, anche l'altra estremità deve presentare un indirizzo IPv4. È possibile specificare sia un indirizzo IPv4 sia un indirizzo IPv6, ma se si utilizza un indirizzo a un'estremità è necessario utilizzare la stessa versione anche all'altra. È inoltre necessario specificare la stessa versione di IP sia per l'endpoint del tunnel remoto (gateway) sia per gli endpoint remoti dietro il gateway.

Client

Questa opzione è impostata su Qualsiasi indirizzo IP e non può essere modificata. Il computer client in questo scenario è sia l'endpoint del tunnel remoto sia l'unico computer nell'endpoint 2.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i computer accessibili dietro l'endpoint del tunnel locale, utilizzare la scheda Computer e configurare le impostazioni per Endpoint 1. Per modificare l'endpoint del tunnel locale (gateway), nella scheda Avanzate in Tunneling IPsec fare clic su Personalizza e quindi modificare Endpoint del tunnel locale.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Profilo

Utilizzare questa pagina della procedura guidata per specificare i profili a cui viene applicata la regola. Selezionare qualsiasi combinazione di profili che soddisfi gli obiettivi di sicurezza.

Questa versione di Windows supporta più profili attivi contemporaneamente. A ogni scheda di rete collegata a una rete viene assegnato uno dei seguenti profili in base a ciò che viene rilevato nella rete collegata. Pertanto, possono incidere sul traffico di rete regole firewall e di sicurezza della connessione diverse, a seconda della scheda di rete che riceve il traffico.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

  2. Fare clic su Avanti finché non si raggiunge la pagina Profilo.

Dominio

Il profilo di dominio si applica a una rete quando viene rilevato un controller di dominio per il dominio del computer locale. Se si seleziona questa casella, la regola viene applicata al traffico di rete che attraversa la scheda di rete collegata alla rete.

Privato

Il profilo privato si applica a una rete contrassegnata come privata da un amministratore del computer e non è una rete di dominio. Le nuove reti rilevate non vengono contrassegnate come private per impostazione predefinita. Una rete deve essere contrassegnata come privata solo quando è presente un qualche dispositivo di sicurezza, ad esempio un firewall perimetrale o NAT (Network Address Translator) tra il computer e Internet. Le impostazioni del profilo privato devono essere più restrittive rispetto a quelle del profilo di dominio.

Pubblico

Il profilo pubblico si applica a una rete quando il computer è connesso direttamente a una rete pubblica, ad esempio una rete disponibile in aeroporti e Internet café. Le impostazioni del profilo pubblico sono le più restrittive perché il computer è connesso a una rete pubblica in cui la sicurezza non può essere sottoposta a rigidi controlli come all'interno di un ambiente IT.

Come modificare queste impostazioni

Dopo avere creato la regola di sicurezza della connessione, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regola di sicurezza della connessione. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole di sicurezza delle connessioni. Per modificare i profili a cui si applica la regola, fare clic sulla scheda Avanzate.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola di sicurezza della connessione


Pagina delle proprietà delle regole di sicurezza della connessione

In questa sezione vengono illustrate le schede della pagina delle proprietà delle regole di sicurezza della connessione in Windows Firewall con sicurezza avanzata.

  • Generale

  • Computer

  • Protocolli e porte

  • Autenticazione

  • Avanzate


Pagina delle proprietà delle regole di sicurezza della connessione: scheda Generale

In questa scheda sono disponibili informazioni generali sulla regola, inclusi il nome e una descrizione, ed è indicato se la regola è attivata.

Nome

Ogni regola deve avere un nome univoco. Non utilizzare il nome “all” poiché tale nome sarebbe in conflitto con la parola chiave all utilizzata dallo strumento da riga di comando Netsh.

Descrizione

È consigliabile inserire una descrizione completa della regola di sicurezza della connessione. Includere i nomi logici dei computer interessati poiché le proprietà della regola contengono solo indirizzi IP.

Attivata

Selezionare questa opzione per attivare la regola. Se si deseleziona questa opzione, la regola verrà disattivata, ma non eliminata.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione


Pagina delle proprietà delle regole di sicurezza della connessione: scheda Computer

Utilizzare le impostazioni di questa scheda della finestra di dialogo Proprietà regola di sicurezza della connessione per specificare i computer che possono partecipare alle connessioni protette da questa regola di sicurezza della connessione. La regola di sicurezza della connessione si applica alle comunicazioni tra qualsiasi computer dell'Endpoint 1 e qualsiasi computer dell'Endpoint 2. Se il computer locale presenta un indirizzo IP incluso in una delle definizioni degli endpoint, potrà inviare e ricevere pacchetti di rete tramite questa connessione ai computer elencati come parte dell'altro endpoint. Un endpoint può essere un singolo computer o un gruppo di computer, definito da un indirizzo IP, da un indirizzo subnet IP, da un intervallo di indirizzi IP o da un insieme predefinito di computer identificati in base al ruolo: gateway predefinito, server WINS, server DHCP, server DNS o subnet locale. La subnet locale è l'insieme di tutti i computer disponibili per questo computer, ad eccezione degli indirizzi IP pubblici (interfacce), inclusi sia gli indirizzi LAN (Local Area Network) sia gli indirizzi wireless.

Nella figura seguente sono illustrati i componenti che è possibile configurare mediante questa scheda.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

  2. Fare clic con il pulsante destro del mouse sulla regola che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Computer.

Endpoint 1

L'endpoint 1 è l'insieme di computer all'estremità locale del tunnel che devono essere in grado di inviare e ricevere dati dai computer che fanno parte dell'endpoint 2. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer mediante la finestra di dialogo Indirizzo IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Se questa regola è stata creata utilizzando il tipo di regola del tunnel Da client a gateway, l'endpoint 1 sarà impostato su Qualsiasi indirizzo IP. Se questa regola è stata creata utilizzando il tipo di regola del tunnel Da gateway a client, l'endpoint 1 sarà formato dagli indirizzi IP dei computer nella rete privata dietro l'endpoint del tunnel locale (gateway).

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che l'endpoint 1 include qualsiasi computer che deve comunicare con un computer nell'endpoint 2. Tutto il traffico di rete diretto a un computer nell'endpoint 2 o proveniente da tale computer soddisfa questa regola ed è soggetto ai requisiti di autenticazione relativi.

Questi indirizzi IP

Selezionare questa opzione per specificare gli indirizzi IP dei computer che costituiscono l'endpoint 1. Fare clic su Aggiungi o Modifica per visualizzare la finestra di dialogo Indirizzo IP in cui creare o modificare le voci.

Endpoint 2

L'endpoint 2 è l'insieme di computer all'estremità remota del tunnel che devono essere in grado di inviare e ricevere dati dai computer che fanno parte dell'endpoint 1. Fare clic su Aggiungi per aggiungere un singolo indirizzo IP, un indirizzo subnet IP, un intervallo di indirizzi IP o un insieme predefinito di computer mediante la finestra di dialogo Indirizzo IP. Per modificare una voce nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una voce, selezionarla e quindi fare clic su Rimuovi.

Se questa regola è stata creata utilizzando il tipo di regola del tunnel Da client a gateway, l'endpoint 2 sarà formato dagli indirizzi IP dei computer nella rete privata dietro l'endpoint del tunnel remoto (gateway). Se questa regola è stata creata utilizzando il tipo di regola del tunnel Da gateway a client, l'endpoint 2 sarà impostato su Qualsiasi indirizzo IP.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che l'endpoint 2 include qualsiasi computer che deve comunicare con un computer nell'endpoint 1. Tutto il traffico di rete diretto a un computer nell'endpoint 1 o proveniente da tale computer soddisfa questa regola ed è soggetto ai requisiti di autenticazione relativi.

Questi indirizzi IP

Selezionare questa opzione per specificare gli indirizzi IP dei computer che costituiscono l'endpoint 2. Fare clic su Aggiungi o Modifica per visualizzare la finestra di dialogo Indirizzo IP in cui creare o modificare le voci.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione


Pagina delle proprietà delle regole di sicurezza della connessione: scheda Protocolli e porte

Utilizzare questa scheda della finestra di dialogo Proprietà regola di sicurezza della connessione per specificare quali protocolli e porte di un pacchetto di rete corrispondono a questa regola di sicurezza della connessione. Solo il traffico di rete che soddisfa i criteri in questa scheda e gli endpoint nella scheda Computer soddisfa la regola ed è soggetto ai requisiti di autenticazione relativi.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

  2. Fare clic con il pulsante destro del mouse sulla regola che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Protocolli e porte.

Tipo di protocollo

Selezionare il protocollo il cui traffico di rete verrà protetto da questa regola di sicurezza della connessione. Se il protocollo desiderato non è presente nell'elenco, fare clic su Personalizzato e digitare il numero del protocollo in Numero protocollo.

Se si seleziona TCP o UDP nell'elenco, è possibile specificare i numeri di porta TCP o UDP in Porta endpoint 1 e Porta endpoint 2.

Numero protocollo

Quando si seleziona un tipo di protocollo, il numero di identificazione corrispondente viene visualizzato automaticamente in Numero protocollo ed è di sola lettura. Se si seleziona Personalizzato come Tipo di protocollo, digitare il numero di identificazione del protocollo in Numero protocollo.

Porta endpoint 1

Questa opzione è disponibile solo se il protocollo è impostato su TCP o UDP. Utilizzare questa opzione per specificare il numero di porta utilizzato dal computer che fa parte dell'endpoint 1. Se si seleziona Tutte le porte, tutto il traffico di rete per il protocollo selezionato soddisferà questa regola di sicurezza della connessione. Se si seleziona Porte specifiche, sarà possibile digitare i numeri di porta nella casella sotto l'elenco. Separare i numeri di porta con virgole.

Note
  • Se per questa regola è impostato Non autenticare nella scheda Autenticazione, sarà possibile digitare i numeri di porta in un intervallo separando i valori massimo e minimo con un trattino, come illustrato di seguito:
  • 80, 445, 5000-5010

Porta endpoint 2

Questa opzione è disponibile solo se il protocollo è impostato su TCP o UDP. Utilizzare questa opzione per specificare il numero di porta utilizzato dal computer che fa parte dell'endpoint 2. Se si seleziona Tutte le porte, tutto il traffico di rete per il protocollo selezionato soddisferà questa regola di sicurezza della connessione. Se si seleziona Porte specifiche, sarà possibile digitare i numeri di porta nella casella sotto l'elenco. Separare i numeri di porta con virgole.

Note
  • Se per questa regola è impostato Non autenticare nella scheda Autenticazione, sarà possibile digitare i numeri di porta in un intervallo separando i valori massimo e minimo con un trattino, come illustrato di seguito:
  • 80, 445, 5000-5010

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione


Pagina delle proprietà delle regole di sicurezza della connessione: scheda Autenticazione

Utilizzare questa scheda della finestra di dialogo Proprietà regola di sicurezza della connessione per specificare i protocolli e i requisiti di autenticazione utilizzati per proteggere il traffico di rete corrispondente a questa regola.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

  2. Fare clic con il pulsante destro del mouse sulla regola che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Autenticazione.

Requisiti

In Modalità di autenticazione selezionare una della opzioni seguenti per indicare se l'autenticazione del traffico di rete è facoltativa o richiesta.

Opzione Descrizione

Non autenticare

Selezionare questa opzione per rendere la regola una regola di esenzione da autenticazione. Il traffico di rete che corrisponde a questa regola non viene autenticato da Internet Protocol Security (IPsec) in questo computer. L'opzione è inoltre valida per le regole in modalità tunnel create utilizzando le opzioni Configurazione personalizzata o Da client a gateway.

Richiesta in entrata e in uscita

Le connessioni vengono autenticate se possibile, ma vengono consentite se l'autenticazione non riesce.

Obbligatoria in entrata e richiesta in uscita

Tutte le connessioni di rete in entrata devono essere autenticate, in caso contrario avranno esito negativo. Le connessioni in uscita vengono autenticate se possibile, ma vengono consentite se l'autenticazione non riesce.

Obbligatoria in entrata e in uscita

Solo le connessioni autenticate sono consentite.

Obbligatoria in entrata e non richiesta in uscita

Tutte le connessioni di rete in entrata devono essere autenticate, in caso contrario avranno esito negativo. Le connessioni in uscita non vengono autenticate.

Sicurezza Nota

È consigliabile utilizzare questa impostazione solo quando richiesto su un gateway IPsec che deve poter avviare comunicazioni con computer che non utilizzano IPsec in Internet.

Metodo

Utilizzare queste impostazioni per configurare il tipo di autenticazione utilizzato da questa regola di sicurezza della connessione.

Per ulteriori informazioni sui metodi di autenticazione, vedere la pagina relativa agli algoritmi IPsec e ai metodi supportati in Windows (http://go.microsoft.com/fwlink/?linkid=129230).

Se si sceglie Avanzate, è necessario fare clic su Personalizza e aggiungere i metodi di autenticazione utilizzando la finestra di dialogo Personalizza metodi di autenticazione avanzata.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione


Pagina delle proprietà delle regole di sicurezza della connessione: scheda Avanzate

Utilizzare le impostazioni in questa scheda per selezionare il profilo di rete e i tipi di interfaccia a cui si applica la regola di sicurezza della connessione. È inoltre possibile configurare un tunnel IPsec tra gli endpoint.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

  2. Fare clic con il pulsante destro del mouse sulla regola che si desidera modificare e quindi scegliere Proprietà.

  3. Fare clic sulla scheda Avanzate.

Profilo

Utilizzare queste opzioni per specificare i profili a cui viene applicata la regola. Selezionare qualsiasi combinazione di profili che soddisfi gli obiettivi di sicurezza. Questa versione di Windows supporta più profili attivi contemporaneamente. A ogni scheda di rete collegata a una rete viene assegnato uno dei seguenti profili in base a ciò che viene rilevato nella rete collegata. Pertanto, possono incidere sul traffico di rete regole firewall e di sicurezza della connessione diverse, a seconda della scheda di rete che riceve il traffico.

Dominio

Il profilo di dominio si applica a una rete quando viene rilevato un controller di dominio per il dominio del computer locale. Se si seleziona questa casella di controllo, la regola verrà applicata al traffico di rete che attraversa la scheda di rete collegata alla rete.

Privato

Il profilo privato si applica a una rete contrassegnata come privata da un amministratore del computer e non è una rete di dominio. Le nuove reti rilevate non vengono contrassegnate come private per impostazione predefinita. Una rete deve essere contrassegnata come privata solo quando è presente un qualche dispositivo di sicurezza, ad esempio un firewall perimetrale o NAT (Network Address Translator) tra il computer e Internet. Le impostazioni del profilo privato devono essere più restrittive rispetto a quelle del profilo di dominio.

Pubblico

Il profilo pubblico si applica a una rete quando il computer è connesso direttamente a una rete pubblica, ad esempio una rete disponibile in aeroporti e Internet café. Le impostazioni del profilo pubblico sono le più restrittive perché il computer è connesso a una rete pubblica in cui la sicurezza non può essere sottoposta a rigidi controlli come all'interno di un ambiente IT.

Tipi di interfaccia

Questa impostazione consente di specificare il tipo di interfaccia a cui si applica la regola. È possibile creare regole che si applicano solo a determinati tipi di interfaccia. Se, ad esempio, si specifica solo il tipo di interfaccia wireless per la regola, Windows Firewall con sicurezza avanzata eseguirà l'azione specificata dalla regola per il traffico wireless. L'impostazione predefinita è Tutti i tipi di interfaccia.

Fare su Personalizza per selezionare tutti o solo alcuni tipi di interfaccia.

Tunneling IPsec

È possibile utilizzare questa impostazione per creare una regola che utilizza la modalità tunnel IPsec per stabilire una connessione tra due endpoint del tunnel.

Utilizzare Windows Firewall con sicurezza avanzata per eseguire il tunneling di livello 3 per gli scenari in cui non è possibile utilizzare Layer Two Tunneling Protocol (L2TP). Se si utilizza L2TP per le comunicazioni remote, non sarà necessaria alcuna configurazione del tunnel perché i componenti di rete privata virtuale (VPN, Virtual Private Network) client e server di Windows creano automaticamente le regole per la sicurezza del traffico L2TP.

Per configurare gli endpoint del tunnel, fare clic su Personalizza e quindi fornire le informazioni richieste nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione


Procedura guidata per la creazione di una nuova regola firewall

In questa sezione vengono descritte le pagine della procedura guidata per la creazione di regole firewall in entrata e in uscita in Windows Firewall con sicurezza avanzata.

  • Tipo di regola

  • Programma

  • Protocollo e porte – Regola porta

  • Protocollo e porte – Regola personalizzata

  • Regole predefinite

  • Ambito

  • Azione

  • Utenti

  • Computer

  • Profilo


Procedura guidata per la creazione di una nuova regola firewall: pagina Tipo di regola

Windows Firewall con sicurezza avanzata offre quattro tipi di base di regole firewall. Utilizzando uno di questi tipi di regole firewall, è possibile creare eccezioni per consentire o negare in modo esplicito una connessione attraverso Windows Firewall. Le stesse pagine delle proprietà e della procedura guidata vengono utilizzate sia per le regole in entrata sia per le regole in uscita. La scelta che si effettua in questa pagina determina quali pagine verranno visualizzate dalla procedura guidata per la creazione di una regola firewall.

È possibile modificare le impostazioni di qualsiasi regola firewall dopo averla creata. Per apportare tali modifiche, fare clic con il pulsante destro del mouse sulla regola firewall nel riquadro risultati e quindi scegliere Proprietà.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Verrà visualizza la pagina Tipo di regola.

Programma

Utilizzare questo tipo di regola firewall per autorizzare una connessione a seconda del programma che tenta di stabilirla. Questa opzione permette di consentire agevolmente le connessioni per Microsoft Outlook e altri programmi. Questa opzione può anche essere utilizzata se non si è certi della porta o di altre impostazioni necessarie per consentire l'accesso. È necessario specificare solo il percorso del file eseguibile (con estensione exe) del programma.

Per impostazione predefinita, al programma è consentito accettare connessioni da qualsiasi porta. Per limitare una regola del programma in modo che venga consentito solo il traffico su numeri di porta specificati, dopo avere creato la regola utilizzare la scheda Protocolli e porte per modificarne le proprietà.

Porta

Utilizzare questo tipo di regola firewall per consentire una connessione basata sul numero di porta TCP o UDP su cui il computer sta tentando di connettersi. È possibile specificare il protocollo (UDP o TCP) e le porte locali. È possibile specificare più numeri di porta.

Per impostazione predefinita, qualsiasi programma eseguito sul computer può accettare traffico di rete su una porta aperta con questo tipo di regola. Per limitare la porta aperta a un programma specificato, dopo avere creato la regola utilizzare la scheda Programmi e servizi per modificarne le proprietà.

Predefinito

Utilizzare questo tipo di regola firewall per autorizzare una connessione selezionando nell'elenco uno dei programmi o servizi disponibili. Nell'elenco è riportata la maggior parte dei servizi e dei programmi più conosciuti disponibili nei computer che eseguono questa versione di Windows. Le voci relative ai programmi di rete che vengono installati vengono in genere aggiunte all'elenco per consentirne l'attivazione e la disattivazione come gruppo.

Personalizzato

Utilizzare questo tipo di regola firewall per creare una regola configurabile per autorizzare una connessione secondo criteri non previsti dagli altri tipi di regole firewall.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Programma

Utilizzare questa pagina della procedura guidata per specificare uno dei modi in cui Windows Firewall con sicurezza avanzata individua la corrispondenza dei pacchetti di rete. Se questo e altri criteri vengono soddisfatti, Windows Firewall con sicurezza avanzata esegue l'azione specificata nella pagina Azione.

Nota

Per specificare un servizio tramite la procedura guidata, selezionare l'opzione Personalizzata nella pagina Tipo di regola della procedura guidata.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola selezionare Programma o Personalizzato.

  3. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Programma.

Tutti i programmi

Utilizzare questa opzione per trovare la corrispondenza dei pacchetti di rete inviati o ricevuti da qualsiasi programma eseguito sul computer locale.

Percorso programma

Utilizzare questa opzione per trovare la corrispondenza dei pacchetti di rete diretti a o provenienti da un programma specificato. È possibile selezionare il programma in uno dei due modi seguenti:

  • Digitare il percorso completo del programma. È possibile includere variabili di ambiente, dove appropriato.

    Importante

    È consigliabile non utilizzare stringhe di variabili di ambiente che vengano risolte solo nel contesto di un determinato utente, ad esempio %USERPROFILE%. Quando queste stringhe vengono valutate dal servizio in fase di esecuzione, il servizio non viene eseguito nel contesto dell'utente. L'utilizzo di queste stringhe può produrre risultati imprevisti.

  • Fare clic su Sfoglia e individuare il programma nella directory.

Nota

Per specificare un servizio in una regola firewall, utilizzare l'opzione Tutti i programmi e fare clic sulla scheda Programmi e servizi nella finestra di dialogo Proprietà regole firewall.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata e Regole in uscita. Per modificare il percorso del programma, utilizzare la scheda Programmi e servizi.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Protocollo e porte - Tipo di regola porta

Utilizzare questa pagina della procedura guidata per specificare il protocollo e la porta o le porte di un pacchetto di rete che soddisfano la regola firewall. Solo il traffico di rete che soddisfa i criteri in questa pagina soddisfa la regola ed è soggetto all'impostazione dell'azione relativa.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Porta.

  3. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Protocollo e porte.

Selezionare se applicare la regola al protocollo TCP o UDP

Selezionare il protocollo di cui si desidera filtrare il traffico di rete con questa regola firewall. Per filtrare in base a un protocollo diverso da TCP o UDP, è necessario utilizzare il tipo di regola Personalizzato nella pagina Tipo di regola.

Regole in entrata: Selezionare se applicare la regola a tutte le porte locali o a porte locali specifiche

Tutte le porte locali

Utilizzare questa opzione per applicare la regola al traffico di rete in entrata corrispondente a qualsiasi numero di porta locale.

Porte locali specifiche

Utilizzare questa opzione per applicare la regola solo al traffico di rete in entrata corrispondente a un numero di porta locale elencato nella casella di testo. È possibile specificare più numeri di porte, separati da virgole. È inoltre possibile includere un intervallo di numeri di porta separando i valori iniziale e finale con un trattino.

Regole in uscita: Selezionare se applicare la regola a tutte le porte remote o a porte remote specifiche

Tutte le porte remote

Utilizzare questa opzione per applicare la regola al traffico di rete in uscita corrispondente a qualsiasi numero di porta di destinazione.

Porte remote specifiche

Utilizzare questa opzione per applicare la regola solo al traffico di rete corrispondente a un numero di porta di destinazione elencato nella casella di testo. È possibile specificare più numeri di porta, separati da virgole. È inoltre possibile includere un intervallo di numeri di porta separando i valori iniziale e finale con un trattino.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata e Regole in uscita. Per modificare i protocolli e i numeri di porta per questa regola, fare clic sulla scheda Protocolli e porte.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Protocollo e porte - Tipo di regola personalizzata

Utilizzare questa pagina della procedura guidata per specificare i protocolli e le porte specificati in un pacchetto di rete soddisfano la regola firewall.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola selezionare Porta o Personalizzato.

  3. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Protocollo e porte.

Tipo di protocollo

Selezionare il protocollo di cui si desidera filtrare il traffico di rete con questa regola firewall. Se il protocollo desiderato non è presente nell'elenco, fare clic su Personalizzato e quindi digitare il numero del protocollo in Numero protocollo.

Se si specifica TCP o UDP, è quindi possibile specificare i numeri di porta TCP o UDP in Porta endpoint 1 e Porta endpoint 2.

Per un elenco dei protocolli, con i relativi numeri e una breve descrizione, vedere l'argomento relativo alla scheda Protocolli e porte della pagina delle proprietà delle regole firewall all'indirizzo http://go.microsoft.com/fwlink/?linkid=137823 nella Libreria TechNet.

Numero protocollo

Quando si seleziona un tipo di protocollo, il numero di identificazione corrispondente viene visualizzato automaticamente in Numero protocollo ed è di sola lettura. Se si seleziona Personalizzato come Tipo di protocollo, digitare il numero di identificazione del protocollo in Numero protocollo.

Porta locale

Se si utilizza il tipo di protocollo TCP o UDP, è possibile specificare la porta locale utilizzando una delle opzioni dell'elenco a discesa oppure indicando una porta o un elenco di porte. La porta locale è la porta del computer a cui viene applicato il profilo del firewall.

Le opzioni seguenti sono disponibili per le regole in entrata:

  • Tutte le porte. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si specifica che tutte le porte del protocollo selezionato soddisfano la regola.

  • Porte specifiche. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si attiva la casella di testo in cui è possibile digitare i numeri di porta necessari. Separare i numeri di porta con virgole e includere intervalli separando i valori iniziale e finale con un trattino.

  • Agente mapping endpoint RPC. Disponibile unicamente per TCP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere le richieste di chiamata di procedura remota (RPC, Remote Procedure Call) in entrata sulla porta TCP 135 all'Agente mapping endpoint RPC. Una richiesta all'Agente mapping endpoint RPC identifica un servizio di rete e richiede il numero di porta su cui è in ascolto il servizio di rete specificato. L'Agente mapping endpoint RPC risponde con il numero di porta a cui il computer remoto deve inviare il traffico di rete futuro per il servizio. Questa opzione consente inoltre all'Agente mapping endpoint RPC di ricevere richieste RPC su HTTP.

  • Porte dinamiche RPC. Disponibile unicamente per TCP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere pacchetti di rete in entrata sulle porte assegnate da Runtime RPC. Le porte nell'intervallo temporaneo RPC sono bloccate da Windows Firewall a meno che non siano state assegnate da Runtime RPC a un servizio di rete RPC specifico. Solo il programma a cui Runtime RPC ha assegnato la porta può ricevere traffico in entrata su quella porta.

    Importante
    • La creazione di regole per consentire il traffico di rete RPC mediante le opzioni Agente mapping endpoint RPC e Porte dinamiche RPC consente tutto il traffico di rete RPC. Windows Firewall non filtra il traffico RPC in base all'identificatore univoco universale (UUID, Universally Unique Identifier) del programma di destinazione.
    • Quando un'applicazione utilizza RPC per stabilire la comunicazione tra un client e un server, è in genere necessario creare due regole, una per l'Agente mapping endpoint RPC e una per RPC dinamico.
  • IPHTTPS. Disponibile unicamente per TCP. Disponibile in Porta locale esclusivamente per le chiamate in entrata. Selezionando questa opzione si consente al computer locale di ricevere i pacchetti IP su HTTPS (IPTHTTPS) in entrata da un computer remoto. IPHTTPS è un protocollo di tunneling che supporta l'incorporamento di pacchetti Internet Protocol versione 6 (IPv6) in pacchetti di rete HTTPS Internet Protocol versione 4 (IPv4). In questo modo il traffico IPv6 attraversa alcuni proxy IP che non supportano IPv6 o altre tecnologie di transizione IPv6, ad esempio Teredo e 6to4.

  • Attraversamento confini. Disponibile unicamente per UDP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere i pacchetti di rete Teredo in entrata.

Porta remota

Se si utilizza il tipo di protocollo TCP o UDP, è possibile specificare la porta locale e la porta remota utilizzando una delle opzioni dell'elenco a discesa oppure indicando una porta o un elenco di porte. La porta remota è la porta del computer che tenta di comunicare con il computer a cui è applicato il profilo del firewall.

Le opzioni seguenti sono disponibili per le regole in entrata:

  • Tutte le porte. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si specifica che tutte le porte del protocollo selezionato soddisfano la regola.

  • Porte specifiche. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si attiva la casella di testo in cui è possibile digitare i numeri di porta necessari. Separare i numeri di porta con virgole e includere intervalli separando i valori iniziale e finale con un trattino.

  • IPHTTPS. Disponibile unicamente per TCP. Disponibile in Porta remota esclusivamente per le chiamate in in uscita. Selezionando questa opzione si consente al computer locale di inviare pacchetti IPTHTTPS in uscita a un computer remoto. IPHTTPS è un protocollo di tunneling che supporta l'incorporamento di pacchetti IPv6 in pacchetti di rete HTTPS IPv4. In questo modo il traffico IPv6 attraversa alcuni proxy IP che non supportano IPv6 o altre tecnologie di transizione IPv6, ad esempio Teredo e 6to4.

Impostazioni ICMP (Internet Control Message Protocol)

Se si desidera creare una regola che consenta o blocchi pacchetti ICMP, nell'elenco Tipo di protocollo selezionare ICMPv4 o ICMPv6 e quindi fare clic su Personalizza. Utilizzare la finestra di dialogo Personalizza impostazioni ICMP per configurare le impostazioni.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata e Regole in uscita. Per modificare queste impostazioni, utilizzare la scheda Protocolli e porte.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Regole predefinite

Utilizzare questa pagina della procedura guidata per attivare o disattivare regole che fanno parte di un gruppo di regole predefinite. Le regole predefinite offrono connettività di rete ai programmi e servizi Microsoft Windows. Le regole visualizzate in questa pagina sono determinate dal gruppo selezionato nell'elenco nella pagina Tipo di regola.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Predefinito.

  3. Selezionare nell'elenco il gruppo che contiene le regole predefinite che si desidera gestire e quindi fare clic su Avanti.

Specificare quali regole creare

Selezionare ogni regola che si desidera creare o attivare, se la regola esiste già.

Nell'elenco della pagina della procedura guidata Regole predefinite sono visualizzate le regole del gruppo selezionato e le proprietà di ognuna delle regole. In questo elenco è riportata la maggior parte dei servizi e dei programmi più noti disponibili nei computer su cui è in esecuzione questa versione di Windows.

Per impostazione predefinita, quando si utilizza questa pagina per configurare un oggetto Criteri di gruppo, tutte le caselle di controllo per le regole di un gruppo sono selezionate. Per impostazione predefinita, quando si utilizza questa pagina per modificare la configurazione attiva del computer locale, tutte le caselle di controllo per le regole di un gruppo sono deselezionate.

Se si seleziona una regola in cui No è visualizzato nella colonna Regola esistente e quindi si completano i passaggi della procedura guidata, viene creata e quindi attivata la regola con le proprietà riportate nell'elenco.

Se si seleziona una regola in cui Già esistente è visualizzato nella colonna Regola esistente e quindi si completano i passaggi della procedura guidata, le nuove impostazioni sovrascrivono le impostazioni esistenti e la regola viene attivata.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Ambito

Utilizzare questa pagina della procedura guidata per specificare gli indirizzi IP locale e remoto il cui traffico di rete soddisfa la regola. Se il computer locale è elencato negli indirizzi IP locali, tutto il traffico di rete destinato o proveniente da qualsiasi degli indirizzi IP remoti soddisfa questa regola.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Nella pagina Tipo di regola fare clic su Personalizzato.

  3. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Ambito.

Selezionare gli indirizzi IP locali a cui applicare la regola

L'indirizzo IP locale viene utilizzato dal computer locale per determinare se la regola viene applicata. La regola si applica solo al traffico di rete che attraversa una scheda di rete configurata per l'utilizzo di uno degli indirizzi specificati.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che la regola viene soddisfatta da un pacchetto di rete con qualsiasi indirizzo specificato come indirizzo IP locale. Quando questa opzione è selezionata, il computer locale soddisfa sempre la regola.

Questi indirizzi IP

Selezionare questa opzione per specificare che la regola viene soddisfatta solo dal traffico di rete che presenta uno degli indirizzi specificati nel campo dell'indirizzo IP locale. Se il computer locale non dispone di una scheda di rete configurata con uno degli indirizzi IP specificati, la regola non viene applicata. Nella finestra di dialogo Indirizzo IP fare clic su Aggiungi per creare una nuova voce o su Modifica per modificare una voce esistente nell'elenco.

Personalizzare i tipi di interfaccia a cui applicare la regola

Fare clic su Personalizza per visualizzare la finestra di dialogo Personalizza tipi di interfaccia. Utilizzare questa finestra di dialogo per configurare quali tipi di interfaccia di rete soddisfano la regola. Per impostazione predefinita, sono inclusi tutti i tipi di interfaccia di rete.

Selezionare gli indirizzi IP remoti a cui applicare la regola

Specificare gli indirizzi IP remoti a cui applicare la regola. Il traffico di rete soddisfa la regola se l'indirizzo IP di destinazione è uno degli indirizzi nell'elenco.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che la regola viene soddisfatta dai pacchetti di rete indirizzati da (per le regole in entrata) o a (per le regole in uscita) qualsiasi indirizzo IP incluso nell'elenco.

Questi indirizzi IP

Selezionare questa opzione per specificare che la regola viene soddisfatta solo dal traffico di rete che presenta uno degli indirizzi specificati in Indirizzo IP remoto. Nella finestra di dialogo Indirizzo IP fare clic su Aggiungi per creare una nuova voce o su Modifica per modificare una voce esistente nell'elenco.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata e Regole in uscita. Per modificare queste impostazioni, utilizzare la scheda Ambito.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Azione

Utilizzare questa pagina della procedura guidata per creare una regola firewall che specifichi l'azione che dovrà essere eseguita da Windows Firewall con sicurezza avanzata per i pacchetti in entrata e in uscita che soddisfano i criteri della regola.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o Regole in uscita e quindi scegliere Nuova regola.

  2. Questa pagina è disponibile per tutti i tipi di regola. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Azione.

Consenti la connessione

Utilizzare questa opzione per consentire i pacchetti di rete che soddisfano tutti i criteri della regola firewall.

Consenti la connessione solo se protetta

Utilizzare questa opzione per specificare che sono consentite solo le connessioni protette tramite Internet Protocol Security (IPsec). Le impostazioni IPsec sono definite in regole di sicurezza della connessione separate. Per impostazione predefinita, questa impostazione richiede sia l'autenticazione sia la protezione dell'integrità. Per configurare i requisiti, fare clic su Personalizza.

Se si seleziona questa opzione, vengono automaticamente aggiunte alla procedura guidata le pagine Utenti e Computer. È possibile utilizzare queste pagine per specificare gli utenti o i computer a cui si desidera concedere o negare l'accesso oppure lasciarle vuote per consentire l'accesso a tutti gli utenti e i computer. Se si sceglie di specificare utenti o computer, è necessario utilizzare un metodo di autenticazione che includa le informazioni appropriate su utenti o computer, poiché Windows Firewall con sicurezza avanzata utilizzerà il metodo di autenticazione della regola di sicurezza della connessione per garantire la corrispondenza con gli utenti e i computer specificati. Per i computer, ad esempio, è possibile utilizzare Computer (Kerberos V5) o Certificato computer con il mapping certificato-account abilitato. Se non si specificano utenti o computer, è possibile utilizzare qualsiasi metodo di autenticazione.

Per ulteriori informazioni su come personalizzare i requisiti IPsec per questa opzione, vedere la finestra di dialogo Personalizza azioni per impostazioni sicure. Per ulteriori informazioni su come limitare l'accesso a utenti o computer, vedere le pagine Utenti e Computer della procedura guidata.

Blocca la connessione

Utilizzare questa opzione per bloccare in modo esplicito qualsiasi pacchetto di rete che soddisfi i criteri della regola firewall. L'azione di blocco ha la priorità sull'azione di autorizzazione, a meno che non venga selezionata l'opzione Ignora regole di blocco al momento della creazione della regola firewall.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile regolare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata e Regole in uscita. Per modificare queste impostazioni, fare clic su Azione nella scheda Generale.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Utenti

Utilizzare queste impostazioni per specificare quali utenti o gruppi di utenti possono connettersi al computer locale.

Importante

Per poter utilizzare queste opzioni, l'azione della regola firewall deve essere impostata su Consenti la connessione solo se protetta. Per essere considerato sicuro, il traffico di rete deve essere protetto da una regola di sicurezza della connessione che richiede l'autenticazione mediante l'utilizzo di un metodo che include informazioni di identificazione dell'utente, ad esempio Kerberos versione 5, NTLMv2 o un certificato con mapping certificato-account attivato.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata e quindi scegliere Nuova regola.

    Nota

    Questa pagina viene visualizzata solo per le regole in entrata, non è disponibile per le regole in uscita.

  2. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Azione.

  3. Nella pagina Azione selezionare Consenti la connessione solo se protetta.

  4. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Utenti.

Utenti autorizzati

Utilizzare questa sezione per identificare gli account utente o di gruppo a cui è consentito eseguire la connessione specificata dalla regola.

Consenti solo le connessioni dagli utenti seguenti

Selezionare questa opzione per specificare quali utenti possono connettersi al computer. Il traffico di rete non autenticato come proveniente da un utente in questo elenco viene bloccato da Windows Firewall.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account utente o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi. Per rimuovere un utente o un gruppo dall'elenco, selezionare tale utente o gruppo e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account utente o di gruppo che potrebbero essere elencati in Utenti autorizzati, possibilmente perché l'account utente o di gruppo è membro di un gruppo, ma il traffico di rete relativo deve essere bloccato da Windows Firewall. Ad esempio, l'utente A è membro del gruppo B. Il gruppo B è incluso in Utenti autorizzati, pertanto il traffico di rete autenticato come proveniente da un utente membro del gruppo B è consentito. Tuttavia, inserendo l'utente A nell'elenco Eccezioni, il traffico di rete autenticato come proveniente dall'utente A non viene elaborato da questa regola e pertanto viene bloccato dal comportamento predefinito del firewall a meno che qualche altra regola non consenta il traffico.

Ignora questa regola per le connessioni dagli utenti seguenti

Selezionare questa opzione per specificare gli utenti o i gruppi il cui traffico di rete fa eccezione a questa regola. Il traffico di rete autenticato come proveniente da un utente di questo elenco non viene elaborato dalla regola, anche se l'utente è incluso anche in Utenti autorizzati.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account utente o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi. Per rimuovere un utente o un gruppo dall'elenco, selezionare tale utente o gruppo e fare clic su Rimuovi.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata. Per modificare queste impostazioni, fare clic sulla scheda Utenti.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Computer

Per le regole in entrata, utilizzare queste impostazioni per specificare quali computer o gruppi di computer possono connettersi a questo computer. Per le regole in uscita, utilizzare queste impostazioni per specificare i computer o i gruppi di computer a cui questo computer può connettersi.

Importante

Per poter utilizzare queste opzioni, l'azione della regola firewall deve essere impostata su Consenti la connessione solo se protetta. Per essere considerato sicuro, il traffico di rete deve essere protetto tramite una regola di sicurezza della connessione che richiede l'autenticazione mediante l'utilizzo di un metodo che include informazioni di identificazione del computer, ad esempio Kerberos versione 5, NTLMv2 o un certificato con mapping certificato-account attivato.

Per accedere a questa pagina della procedura guidata

  1. Dallo snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Azione.

  3. Nella pagina Azione selezionare Consenti la connessione solo se protetta.

  4. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Computer.

Computer autorizzati

Utilizzare questa sezione per identificare gli account computer o di gruppo a cui è consentito eseguire la connessione specificata dalla regola.

Consenti solo le connessioni dai/ai computer seguenti

  • Per le regole in entrata, selezionare Consenti solo le connessioni dai computer seguenti per specificare i computer che possono connettersi a questo computer. Il traffico di rete non autenticato come proveniente da un computer in questo elenco viene bloccato da Windows Firewall.

  • Per le regole in uscita, selezionare Consenti solo le connessioni ai computer seguenti per specificare i computer a cui questo computer è autorizzato a connettersi. Il traffico di rete in uscita inviato a computer che non è possibile autenticare come uno dei computer nell'elenco viene bloccato da Windows Firewall.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Seleziona utenti, computer e gruppi. Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o gruppo desiderato e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account computer o di gruppo che potrebbero essere elencati in Computer autorizzati, possibilmente perché l'account computer o di gruppo è un membro di un gruppo, ma il cui traffico di rete deve essere bloccato da Windows Firewall. Ad esempio, il computer A è un membro del gruppo B. Il gruppo B è incluso in Computer autorizzati, pertanto il traffico di rete autenticato come proveniente da un computer del gruppo è consentito. Inserendo il computer A nell'elenco Eccezioni, il traffico di rete autenticato come proveniente dal computer A non viene elaborato da questa regola e pertanto viene bloccato dal comportamento predefinito del firewall, a meno che qualche altra regola non consenta il traffico.

Ignora questa regola per le connessioni dai computer seguenti/a questi computer

  • Per le regole in entrata, selezionare Ignora questa regola per le connessioni dai computer seguenti per specificare quali computer remoti rappresentano eccezioni a questa regola.

  • Per le regole in uscita, selezionare Ignora questa regola per le connessioni a questi computer per specificare quali computer remoti rappresentano eccezioni a questa regola.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Seleziona utenti, computer e gruppi. Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o il gruppo desiderato e fare clic su Rimuovi.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per visualizzare questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata o Regole in uscita. Per modificare queste impostazioni, fare clic sulla scheda Computer.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Procedura guidata per la creazione di una nuova regola firewall: pagina Profilo

Utilizzare questa pagina della procedura guidata per specificare i profili a cui la regola viene applicata. Selezionare qualsiasi combinazione di profili che soddisfi gli obiettivi di sicurezza.

Questa versione di Windows supporta più profili attivi contemporaneamente. A ogni scheda di rete collegata a una rete viene assegnato uno dei seguenti profili in base a ciò che viene rilevato nella rete collegata. Pertanto, possono incidere sul traffico di rete regole firewall e di sicurezza della connessione diverse, a seconda della scheda di rete che riceve il traffico.

Per accedere a questa pagina della procedura guidata

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole in entrata o su Regole in uscita e quindi scegliere Nuova regola.

  2. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Profilo.

Dominio

Il profilo di dominio si applica a una rete quando viene rilevato un controller di dominio per il dominio a cui appartiene il computer locale. Se si seleziona questa casella, la regola viene applicata al traffico di rete che attraversa una scheda di rete collegata alla rete.

Privato

Il profilo privato si applica a una rete contrassegnata come privata da un amministratore del computer e non è una rete di dominio. Le nuove reti rilevate non vengono contrassegnate come private per impostazione predefinita. Una rete deve essere contrassegnata come privata solo quando è presente un qualche dispositivo di sicurezza, ad esempio un firewall perimetrale o NAT (Network Address Translator) tra il computer e Internet. Le impostazioni del profilo privato devono essere più restrittive rispetto a quelle del profilo di dominio.

Pubblico

Il profilo pubblico si applica a una rete quando il computer è connesso direttamente a una rete pubblica, ad esempio una rete disponibile in aeroporti e Internet café. Le impostazioni del profilo pubblico sono le più restrittive perché il computer è connesso a una rete pubblica in cui la sicurezza non può essere sottoposta a rigidi controlli come all'interno di un ambiente IT.

Come modificare queste impostazioni

Dopo avere creato la regola firewall, è possibile modificare queste impostazioni nella finestra di dialogo Proprietà regole firewall. Per aprire questa finestra di dialogo, fare doppio clic su una regola in Regole in entrata o Regole in uscita. Per modificare i profili a cui si applica la regola, fare clic sulla scheda Avanzate.

Ulteriori riferimenti

  • Procedura guidata per la creazione di una nuova regola firewall


Pagina Proprietà regole firewall

In questa sezione vengono illustrate le schede della pagina Proprietà regole firewall in Windows Firewall con sicurezza avanzata.

  • Generale

  • Programmi e servizi

  • Protocolli e porte

  • Ambito

  • Avanzate

  • Computer

  • Utenti


Pagina Proprietà regole firewall: scheda Generale

Utilizzare questa scheda per assegnare un nome, attivare e specificare l'azione di una regola firewall.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita, fare doppio clic sulla regola firewall che si desidera modificare e quindi fare clic sulla scheda Generale.

Sezione Generale

In questa sezione sono contenute informazioni di identificazione sulla regola e da qui è possibile attivarla o disattivarla.

Nome

Nome della regola firewall. È consigliabile assegnare alla regola firewall un nome univoco. Se due regole presentano lo stesso nome, non è possibile gestirle agevolmente mediante i comandi netsh. Non utilizzare il nome "all" per una regola firewall perché si tratta di una parola chiave dello strumento da riga di comando Netsh.

Descrizione (facoltativa)

Descrizione della regola. Consente di specificare informazioni sulla regola, ad esempio il proprietario, il richiedente, lo scopo, un numero di versione o la data di creazione.

Attivata

Selezionare questa casella di controllo per attivare la regola. In seguito all'attivazione di una regola Windows Firewall con sicurezza avanzata confronta tutti i pacchetti di rete ai criteri contenuti nella regola ed esegue l'azione specificata in Azione quando viene trovata una corrispondenza. In seguito alla disattivazione la regola non viene eliminata, ma Windows Firewall con sicurezza avanzata interrompe il confronto tra i pacchetti di rete e la regola.

Sezione Azione

Selezionare l'azione che Windows Firewall con sicurezza avanzata eseguirà per i pacchetti di rete corrispondenti ai criteri della regola firewall. Se sono state definite più regole firewall, l'ordine in cui vengono valutate per una corrispondenza dipende dall'azione specificata nella regola. Le regole firewall vengono valutate nell'ordine seguente:

  1. Consenti se sicura con Ignora regole di blocco selezionato nella finestra di dialogo Personalizza azioni per impostazioni sicure.

  2. Blocca la connessione.

  3. Consenti la connessione.

  4. Comportamento profilo predefinito (consenso o blocco, secondo quanto specificato nella scheda Profilo della finestra di dialogo Proprietà Windows Firewall con sicurezza avanzata).

In ogni categoria, le regole vengono valutate dalla più specifica alla meno specifica. Una regola che specifica quattro criteri viene selezionata prima di una regola che ne specifica solo tre. Non appena un pacchetto di rete soddisfa una regola, viene attivata l'azione relativa e non viene più confrontato con alcuna altra regola. In altre parole, anche se un pacchetto di rete soddisfa più di una regola, solo la regola corrispondente valutata per prima rispetto al pacchetto viene applicata al pacchetto.

Consenti la connessione

Utilizzare questa opzione per consentire un pacchetto di rete che soddisfa tutti i criteri della regola firewall.

Consenti la connessione solo se protetta

Utilizzare questa opzione per consentire solo i pacchetti di rete protetti tramite Internet Protocol Security (IPsec). Le impostazioni IPsec devono essere definite in regole di sicurezza della connessione separate. Per impostazione predefinita, questa impostazione richiede di includere sia l'autenticazione sia l'integrità, ma non la crittografia. Per configurare i requisiti, fare clic su Personalizza e quindi selezionare un'opzione nella finestra di dialogo Personalizza azioni per impostazioni sicure.

Blocca la connessione

Utilizzare questa opzione per bloccare in modo esplicito qualsiasi pacchetto di rete che soddisfa i criteri della regola firewall. L'azione di blocco ha la priorità sull'azione di consenso, a meno che non venga selezionata l'opzione Ignora regole di blocco al momento della creazione della regola firewall.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina Proprietà regole firewall: scheda Programmi e servizi

Utilizzare questa scheda per specificare il modo in cui, in Windows Firewall con sicurezza avanzata, devono essere soddisfatti i criteri, in base al programma o servizio sul computer locale che invia i pacchetti al computer peer. Se questo e tutti gli altri criteri sono soddisfatti, Windows Firewall con sicurezza avanzata eseguirà l'azione specificata in Azione nella scheda Generale.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita, fare doppio clic sulla regola firewall che si desidera modificare e quindi fare clic sulla scheda Programmi e servizi.

Programmi

In questa sezione sono contenute informazioni su come viene individuata la corrispondenza dei pacchetti di rete provenienti da un programma.

Tutti i programmi che soddisfano le condizioni specificate

Utilizzare questa opzione per individuare la corrispondenza dei pacchetti di rete inviati o ricevuti da qualsiasi programma.

Questo programma

Utilizzare questa opzione per trovare la corrispondenza dei pacchetti di rete diretti a o provenienti da un programma specificato. Se il programma non è in esecuzione, nessun pacchetto soddisferà la regola. È possibile selezionare il programma in uno dei due modi seguenti:

  • Digitare il percorso completo del programma. È possibile includere variabili di ambiente, dove appropriato.

    Importante

    Non utilizzare stringhe di variabili di ambiente che vengano risolte solo nel contesto di un determinato utente, ad esempio %USERPROFILE%. Quando queste stringhe vengono valutate dal servizio in fase di esecuzione, il servizio non viene eseguito nel contesto dell'utente. L'utilizzo di queste stringhe può produrre risultati imprevisti.

  • Fare clic su Sfoglia e individuare il programma nella directory.

Servizi

Fare clic su Impostazioni per indicare che devono essere considerati corrispondenti ai criteri i pacchetti provenienti da tutti i programmi e servizi del computer (impostazione predefinita), solo dai servizi o da un servizio specificato.

Ulteriori informazioni sulle impostazioni di programmi e servizi

Per aggiungere un programma alla regola, è necessario specificare il file eseguibile (con estensione exe) utilizzato dal programma. Un servizio di sistema che viene eseguito all'interno del proprio file exe specifico e non è ospitato in un contenitore dei servizi viene considerato un programma e può essere aggiunto alla regola. Anche un programma che si comporta come un servizio di sistema e viene eseguito indipendentemente dal fatto che un utente si sia o meno connesso al computer viene considerato un programma, purché venga eseguito all'interno del proprio file exe specifico.

Sicurezza Nota

Non aggiungere contenitori di servizi o programmi che ospitano servizi, ad esempio Svchost.exe, Dllhost.exe e Inetinfo.exe, all'elenco di regole senza specificare il singolo servizio consentito o bloccato. Specificando solo il contenitore di servizi come programma è possibile compromettere la sicurezza del computer.

Quando si aggiunge un programma alla regola, Windows Firewall con sicurezza avanzata apre e chiude, ovvero sblocca e blocca, dinamicamente le porte necessarie per il programma. Quando il programma è in esecuzione e in ascolto del traffico in entrata, Windows Firewall con sicurezza avanzata apre le porte necessarie. Quando invece il programma non è in esecuzione o non è in ascolto del traffico in entrata, Windows Firewall con sicurezza avanzata chiude le porte. A causa di questo comportamento dinamico, l'aggiunta di programmi a una regola è il metodo consigliato per consentire traffico in entrata non richiesto attraverso Windows Firewall con sicurezza avanzata.

Nota

È possibile utilizzare le regole del programma per consentire il traffico non richiesto attraverso Windows Firewall con sicurezza avanzata solo se il programma utilizza l'API Windows Sockets (Winsock) per creare le assegnazioni di porta. Se in un programma non viene utilizzato Winsock per l'assegnazione delle porte, è necessario determinare quali porte vengono utilizzate dal programma e aggiungerle all'elenco delle regole.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall

  • Finestra di dialogo: Personalizza impostazioni servizi


Pagina Proprietà delle regole firewall: scheda Protocolli e porte

Utilizzare questa scheda per specificare i protocolli e le porte di un pacchetto di rete che soddisfano questa regola firewall.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita e quindi fare clic sulla scheda Protocolli e porte.

Tipo di protocollo

Selezionare il protocollo di cui si desidera filtrare il traffico di rete con questa regola firewall. Se il protocollo desiderato non è presente nell'elenco, fare clic su Personalizzato e digitare il numero del protocollo in Numero protocollo. È possibile utilizzare qualsiasi numero di protocollo elencato dall'Internet Assigned Numbers Authority (IANA).

Se si specifica TCP o UDP nell'elenco, è possibile specificare i numeri di porta TCP o UDP in Porta endpoint 1 e Porta endpoint 2.

Per un elenco dei protocolli, con i relativi numeri di protocollo e una breve descrizione, vedere l'argomento relativo alla scheda Protocolli e porte della pagina delle proprietà delle regole firewall all'indirizzo http://go.microsoft.com/fwlink/?linkid=137823 nella libreria TechNet.

Porta locale

Se si utilizza il tipo di protocollo TCP o UDP, è possibile specificare la porta locale utilizzando una delle opzioni dell'elenco a discesa oppure indicando una porta o un elenco di porte. La porta locale è la porta del computer a cui viene applicato il profilo del firewall.

Le opzioni seguenti sono disponibili per le regole in entrata:

  • Tutte le porte. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si specifica che tutte le porte del protocollo selezionato soddisfano la regola.

  • Porte specifiche. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si attiva la casella di testo in cui è possibile digitare i numeri di porta necessari. Separare i numeri di porta con virgole e includere intervalli separando i valori iniziale e finale con un trattino.

  • Agente mapping endpoint RPC. Disponibile unicamente per TCP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere le richieste RPC in entrata sulla porta TCP 135 all'Agente mapping endpoint RPC. Una richiesta all'Agente mapping endpoint RPC identifica un servizio di rete e richiede il numero di porta su cui è in ascolto il servizio di rete specificato. RPC-EM risponde con il numero di porta a cui il computer remoto deve inviare ulteriore traffico di rete per il servizio. Questa opzione consente inoltre all'Agente mapping endpoint RPC di ricevere richieste RPC su HTTP.

  • Porte dinamiche RPC. Disponibile unicamente per TCP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere pacchetti di rete in entrata sulle porte assegnate da Runtime RPC. Le porte nell'intervallo temporaneo RPC sono bloccate da Windows Firewall a meno che non siano state assegnate da Runtime RPC a un servizio di rete RPC specifico. Solo il programma a cui Runtime RPC ha assegnato la porta può ricevere traffico in entrata su quella porta.

    Importante
    • Creando regole specifiche per consentire il traffico di rete RPC mediante l'Agente mapping endpoint RPC e opzioni di porte dinamiche RPC si consente tutto il traffico di rete RPC. Windows Firewall non filtra il traffico RPC in base all'identificatore univoco universale (UUID, Universally Unique Identifier) del programma di destinazione.
    • Quando un'applicazione utilizza RPC per comunicare da un client a un server, è in genere necessario creare due regole, una per l'Agente mapping endpoint RPC e una per RPC dinamico.
  • IPHTTPS. Disponibile unicamente per TCP. Disponibile in Porta locale per le regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere i pacchetti IP su HTTPS (IPTHTTPS) in entrata da un computer remoto. IPHTTPS è un protocollo di tunneling che supporta l'incorporamento di pacchetti IPv6 (Internet Protocol versione 6) in pacchetti di rete HTTPS IPv4. In questo modo il traffico IPv6 attraversa alcuni proxy IP che non supportano IPv6 o altre tecnologie di transizione IPv6, ad esempio Teredo e 6to4.

  • Attraversamento confini. Disponibile unicamente per UDP nelle regole in entrata. Selezionando questa opzione si consente al computer locale di ricevere i pacchetti di rete Teredo in entrata. Teredo è un protocollo di transizione IPv4-to-IPv6.

Porta remota

Se si utilizza il tipo di protocollo TCP o UDP, è possibile specificare la porta locale e la porta remota utilizzando una delle opzioni dell'elenco a discesa oppure indicando una porta o un elenco di porte. La porta remota è la porta del computer che tenta di comunicare con il computer a cui è applicato il profilo del firewall.

Le opzioni seguenti sono disponibili per le regole in entrata:

  • Tutte le porte. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si specifica che tutte le porte del protocollo selezionato soddisfano la regola.

  • Porte specifiche. Disponibile sia per TCP sia per UDP nelle regole in entrata e in uscita. Selezionando questa opzione si attiva la casella di testo in cui è possibile digitare i numeri di porta necessari. Separare i numeri di porta con virgole e includere intervalli separando i valori iniziale e finale con un trattino.

  • IPHTTPS. Disponibile unicamente per TCP. Disponibile in Porta remota per le regole in uscita. Selezionando questa opzione si consente al computer locale di inviare pacchetti IPTHTTPS in uscita a un computer remoto. IPHTTPS è un protocollo di tunneling che supporta l'incorporamento di pacchetti IPv6 nei pacchetti di rete HTTPS IPv4. In questo modo il traffico IPv6 attraversa alcuni proxy IP che non supportano IPv6 o altre tecnologie di transizione IPv6, ad esempio Teredo e 6to4.

Impostazioni ICMP

Fare clic su Personalizza per configurare le impostazioni per Internet Control Message Protocol (ICMP). Il pulsante Personalizza è attivato solo quando si sceglie il tipo di protocollo ICMPv4 o ICMPv6. Per ulteriori informazioni, vedere Finestra di dialogo: Personalizza impostazioni ICMP.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina Proprietà regole firewall: scheda Ambito

Utilizzare questa scheda per specificare gli indirizzi IP locale e remoto il cui traffico di rete soddisfa la regola. Se il computer locale è elencato negli indirizzi IP locali, tutto il traffico di rete destinato o proveniente da qualsiasi degli indirizzi IP remoti soddisfa questa regola.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita e quindi fare clic sulla scheda Ambito.

Indirizzo IP locale

L'indirizzo IP locale viene utilizzato dal computer locale per determinare se la regola viene applicata. La regola si applica solo al traffico di rete che attraversa una scheda di rete configurata per l'utilizzo di uno degli indirizzi IP locali specificati.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che la regola viene soddisfatta da un pacchetto di rete con qualsiasi indirizzo specificato come indirizzo IP locale. Quando questa opzione è selezionata, il computer locale soddisfa sempre la regola.

Questi indirizzi IP

Selezionare questa opzione per specificare che la regola viene soddisfatta dal traffico di rete che presenta uno degli indirizzi specificati in Indirizzo IP locale. Se il computer locale non dispone di una scheda di rete configurata con uno degli indirizzi IP specificati, la regola non viene applicata. Nella finestra di dialogo Indirizzo IP fare clic su Aggiungi per creare una nuova voce o su Modifica per modificare una voce esistente nell'elenco. È anche possibile eliminare una voce dall'elenco selezionando la voce desiderata e facendo clic su Rimuovi.

Indirizzo IP remoto

Specificare gli indirizzi IP remoti a cui si applica la regola. Il traffico di rete soddisfa la regola se l'indirizzo IP di destinazione è uno degli indirizzi nell'elenco.

Qualsiasi indirizzo IP

Selezionare questa opzione per specificare che la regola viene soddisfatta dai pacchetti di rete indirizzati da (per le regole in entrata) o a (per le regole in uscita) qualsiasi indirizzo IP incluso nell'elenco.

Questi indirizzi IP

Selezionare questa opzione per specificare che la regola viene soddisfatta dal traffico di rete che presenta uno degli indirizzi specificati in Indirizzo IP remoto. Nella finestra di dialogo Indirizzo IP fare clic su Aggiungi per creare una nuova voce o su Modifica per modificare una voce esistente nell'elenco. È inoltre possibile eliminare una voce dall'elenco selezionando la voce desiderata e facendo clic su Rimuovi.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina Proprietà regole firewall: scheda Avanzate

Utilizzare questa scheda per configurare i profili e i tipi di interfaccia a cui la regola firewall verrà applicata.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita, fare doppio clic sulla regola firewall che si desidera modificare e quindi fare clic sulla scheda Avanzate.

Profili

Un profilo consente di raggruppare impostazioni, ad esempio regole firewall e regole di sicurezza della connessione, che vengono applicate al computer in base alla rete e al dominio a cui è connesso. In Windows viene determinato il tipo di percorso per ogni scheda di rete e quindi viene applicato il profilo corrispondente alla scheda di rete. Nei computer su cui è in esecuzione questa versione di Windows, sono presenti tre profili riconosciuti da Windows Firewall con sicurezza avanzata:

Profilo | Descrizione
Dominio | Viene applicato quando un computer è connesso a una rete che contiene un controller di dominio Active Directory in cui risiede l'account di dominio del computer.
Privato | Viene applicato quando un computer è connesso a una rete in cui non risiede l'account di dominio del computer, ad esempio una rete domestica. Le impostazioni del profilo privato devono essere più restrittive rispetto a quelle del profilo di dominio. Il tipo privato viene assegnato a una rete da un amministratore locale.
Pubblico | Viene applicato quando un computer è connesso a un dominio tramite una rete pubblica, ad esempio quelle disponibili negli aeroporti e negli Internet café. Le impostazioni del profilo pubblico sono le più restrittive perché il computer è connesso a una rete pubblica in cui la sicurezza non può essere sottoposta a rigidi controlli come all'interno di un ambiente IT. Per impostazione predefinita, alle nuove reti rilevate viene assegnato il tipo pubblico.
Note
  • I computer su cui sono in esecuzione Windows Server 2008 e Microsoft Windows Vista supportano un solo profilo alla volta. Se il computer è connesso a più reti, a tutte le schede di rete viene applicato il profilo più restrittivo.
  • I computer su cui sono in esecuzione Windows XP e Windows Server 2003 supportano solo due profili: standard: esegue il mapping al profilo pubblico, privato e di dominio. Se il computer è connesso a più reti, a tutte le schede di rete viene applicato il profilo più restrittivo. A tale scopo, il profilo pubblico è considerato il più restrittivo, seguito dal profilo privato e quindi dal profilo di dominio.

Tipi di interfaccia

Fare clic su Personalizza per specificare i tipi di interfaccia a cui viene applicata la regola di sicurezza della connessione. La finestra di dialogo Personalizza tipi di interfaccia consente di selezionare Tutti i tipi di interfaccia o qualsiasi combinazione dei tipi LAN, Accesso remoto o Wireless.

Attraversamento confini

L'attraversamento confini consente al computer di accettare i pacchetti in entrata non richiesti passati attraverso un dispositivo periferico, ad esempio un router NAT (Network Address Translation) o un firewall.

Note
  • Non è possibile configurare questa opzione utilizzando la procedura guidata per la creazione di una nuova regola firewall in entrata. Per configurare questa impostazione, è necessario creare la regola utilizzando la procedura guidata e quindi modificarla da questa scheda.
  • Questa opzione si applica solo alle regole in entrata, non è presente nella scheda Avanzate per le regole in uscita.

Selezionare una delle opzioni seguenti dall'elenco:

Non consentire l'attraversamento confini (impostazione predefinita)

Impedisce alle applicazioni di ricevere il traffico non richiesto da Internet attraverso un dispositivo periferico NAT.

Consenti attraversamento confini

Consente alle applicazioni di ricevere traffico non richiesto direttamente da Internet attraverso un dispositivo periferico NAT.

Rimanda a utente

Consente all'utente di decidere se consentire il traffico non richiesto da Internet attraverso un dispositivo periferico NAT quando un'applicazione lo richiede.

Rimanda ad applicazione

Consente a ogni applicazione di determinare se consentire il traffico non richiesto da Internet attraverso un dispositivo periferico NAT.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina Proprietà regole firewall: scheda Computer

Utilizzare queste impostazioni per specificare quali computer o gruppi di computer possono connettersi al computer locale. Questa scheda è disponibile per le regole firewall in entrata e in uscita.

Importante

Per utilizzare queste opzioni, l'azione della regola firewall deve essere impostata su Consenti la connessione solo se protetta nella scheda Generale. Per essere considerato sicuro, il traffico di rete deve essere protetto tramite una regola di sicurezza della connessione che richiede l'autenticazione mediante l'utilizzo di un metodo che include informazioni di identificazione del computer, ad esempio Kerberos versione 5, NTLMv2 o un certificato con mapping certificato-account attivato.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola del firewall che si desidera modificare in Regole in entrata o Regole in uscita e quindi fare clic sulla scheda Computer.

Computer autorizzati

Utilizzare questa sezione per identificare gli account computer o di gruppo a cui è consentito eseguire la connessione specificata dalla regola.

Consenti solo le connessioni dai/ai computer seguenti

  • Per le regole in entrata, selezionare Consenti solo le connessioni dai computer seguenti per specificare i computer che possono connettersi a questo computer. Il traffico di rete non autenticato come proveniente da un computer in questo elenco viene bloccato da Windows Firewall.

  • Per le regole in uscita, selezionare Consenti solo le connessioni ai computer seguenti per specificare i computer a cui questo computer è autorizzato a connettersi. Il traffico di rete in uscita inviato a computer che non è possibile autenticare come uno dei computer nell'elenco viene bloccato da Windows Firewall.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi.

Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o il gruppo desiderato e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account computer o di gruppo che potrebbero essere elencati in Computer autorizzati, possibilmente perché l'account computer o di gruppo è un membro di un gruppo, ma il traffico di rete relativo deve essere bloccato da Windows Firewall. Ad esempio, il computer A è un membro del gruppo B. Il gruppo B è incluso in Computer autorizzati, pertanto il traffico di rete autenticato come proveniente da un computer del gruppo è consentito. Inserendo il computer A nell'elenco Eccezioni, il traffico di rete autenticato come proveniente dal computer A non viene elaborato da questa regola e pertanto viene bloccato dal comportamento predefinito del firewall a meno che qualche altra regola non consenta il traffico.

Ignora questa regola per le connessioni dai computer seguenti/a questi computer

  • Per le regole in entrata, selezionare Ignora questa regola per le connessioni dai computer seguenti per specificare quali computer remoti fanno eccezione a questa regola.

  • Per le regole in uscita, selezionare Ignora questa regola per le connessioni a questi computer per specificare quali computer remoti rappresentano eccezioni a questa regola.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi.

Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o il gruppo desiderato e fare clic su Rimuovi.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina Proprietà regole firewall: scheda Utenti

Utilizzare queste impostazioni per specificare quali utenti o gruppi di utenti possono connettersi al computer locale.

Importante

Queste opzioni sono disponibili unicamente quando l'azione della regola firewall è impostata su Consenti la connessione solo se protetta. Per essere considerato sicuro, il traffico di rete deve essere protetto da una regola di sicurezza della connessione che richiede l'autenticazione mediante l'utilizzo di un metodo che include informazioni di identificazione dell'utente, ad esempio Kerberos versione 5, NTLMv2 o un certificato con mapping certificato-account attivato.

Nota

Questa scheda viene visualizzata solo per le regole in entrata, non è disponibile per le regole in uscita.

Per accedere a questa scheda

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare in Regole in entrata o Regole in uscita, fare doppio clic sulla regola firewall che si desidera modificare e quindi fare clic sulla scheda Utenti.

Utenti autorizzati

Utilizzare questa sezione per identificare gli account utente o di gruppo a cui è consentito eseguire la connessione specificata dalla regola.

Consenti solo le connessioni dagli utenti seguenti

Selezionare Consenti solo le connessioni dagli utenti seguenti per specificare gli utenti che possono connettersi a questo computer. Il traffico di rete non autenticato come proveniente da un utente in questo elenco viene bloccato da Windows Firewall.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e specificare gli account utente o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi.

Per rimuovere un utente o un gruppo dall'elenco, selezionare l'utente o il gruppo desiderato e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account utente o di gruppo che potrebbero essere elencati in Utenti autorizzati, possibilmente perché l'account utente o di gruppo è un membro di un gruppo, ma il traffico di rete relativo deve essere bloccato da Windows Firewall. Ad esempio, l'utente A è un membro del gruppo B. Il gruppo B è incluso in Utenti autorizzati, pertanto il traffico di rete autenticato come proveniente da un utente membro del gruppo B è consentito. Tuttavia, inserendo l'utente A nell'elenco Eccezioni, il traffico di rete autenticato come proveniente dall'utente A non viene elaborato da questa regola e pertanto viene bloccato dal comportamento predefinito del firewall, a meno che qualche altra regola non consenta il traffico.

Ignora questa regola per le connessioni dagli utenti seguenti

Selezionare Ignora questa regola per le connessioni dagli utenti seguenti per specificare gli utenti o i gruppi il cui traffico di rete rappresenta un'eccezione a questa regola. Il traffico di rete autenticato come proveniente da un utente di questo elenco non viene elaborato dalla regola, anche se l'utente è incluso nell'elenco Utenti autorizzati.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account utente o di gruppo nella finestra di dialogo Seleziona utenti, computer o gruppi.

Per rimuovere un utente o un gruppo dall'elenco, selezionare l'utente o il gruppo desiderato e fare clic su Rimuovi.

Ulteriori riferimenti

  • Pagina Proprietà regole firewall


Pagina proprietà regole firewall monitorate

In questa sezione vengono illustrate le schede della pagina Proprietà regole firewall per le regole visualizzate in Monitoraggio in Windows Firewall con sicurezza avanzata.

Per accedere a questa pagina

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Firewall.

  2. Fare doppio clic sulla regola firewall che si desidera esaminare.
Nota

Solo le regole firewall attive, ovvero quelle assegnate a profili di rete attualmente attivi, vengono visualizzate in Monitoraggio.

Per una descrizione di ogni scheda della pagina delle proprietà, vedere gli argomenti seguenti:

  • Generale

  • Programmi e porte

  • Avanzate


Monitorare le regole firewall - Generale

In questa scheda sono contenute informazioni di base su una regola firewall in entrata o in uscita applicata al computer.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Firewall.

  2. Fare doppio clic sulla regola firewall che si desidera esaminare e quindi fare clic sulla scheda Generale.

Indirizzo IP locale

Elenca l'indirizzo IP locale, l'intervallo di indirizzi o la subnet a cui viene applicata la regola, come configurato nella scheda Ambito della pagina Proprietà regole firewall.

Indirizzo IP remoto

Elenca l'indirizzo IP remoto, l'intervallo di indirizzi o la subnet a cui viene applicata la regola, come configurato nella scheda Ambito della pagina Proprietà regole firewall.

Direzione

Indica se la regola è In entrata o In uscita.

Profilo

Elenca i profili dei percorsi di rete, Dominio, Privato, Pubblico o Tutti a cui viene applicata la regola, come configurato nella scheda Avanzate della pagina Proprietà regole firewall.

Ulteriori riferimenti

  • Pagina proprietà regole firewall monitorate


Monitorare le regole firewall - pagina Programmi e porte

In questa scheda sono visualizzate informazioni sui protocolli e le porte utilizzati per stabilire la corrispondenza tra pacchetti di rete e una regola firewall in entrata o in uscita applicata al computer.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Firewall.

  2. Fare doppio clic sulla regola firewall che si desidera esaminare e quindi fare clic sulla scheda Programmi e porte.

Protocollo

Indica il tipo di protocollo IP a cui si applica la regola, come configurato nella scheda Protocolli e porte della pagina Proprietà regole firewall.

Porta locale

Se si utilizza il tipo di protocollo UDP o TCP, indica la porta UDP o TCP a cui si applica la regola, nel computer in cui viene applicata la regola firewall, come configurato nella scheda Protocolli e porte della pagina Proprietà regole firewall.

Porta remota

Se la regola si applica al protocollo UDP o TCP, indica la porta UDP o TCP a cui si applica la regola, nel computer remoto che tenta di comunicare con il computer in cui la regola firewall viene applicata, come configurato nella scheda Protocolli e porte della pagina Proprietà regole firewall.

Impostazioni ICMP

Se la regola si applica al protocollo Internet Control Message Protocol (ICMP) versione 4 o ICMP versione 6, indica i tipi ICMP e i codici inclusi, come configurato nella scheda Protocolli e porte della pagina Proprietà regole firewall.

Programma

Indica il nome file del programma e il percorso dell'applicazione a cui si applica la regola, come configurato nella scheda Programmi e servizi della pagina Proprietà regole firewall.

Servizio

Se la voce del programma e un contenitore di servizi, indica il servizio all'interno del contenitore a cui si applica la regola, come configurato nella scheda Programmi e servizi della pagina Proprietà regole firewall.

Ulteriori riferimenti

  • Pagina proprietà regole firewall monitorate


Monitorare le regole firewall - Avanzate

In questa scheda vengono visualizzate informazioni su utenti e computer autenticati il cui traffico di rete è interessato da questa regola. È consigliabile utilizzare questa scheda esclusivamente quando l'azione per la regola è impostata su Consenti se sicura .

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Firewall.

  2. Fare doppio clic sulla regola firewall che si desidera esaminare e quindi fare clic sulla scheda Avanzate.

Utenti e computer autorizzati

Elenco di utenti e gruppi di utenti autorizzati da questa regola, come configurato nelle schede Utenti e Computer della finestra di dialogo Proprietà regole firewall.

Utenti e computer consentiti

Elenco di utenti e gruppi di utenti non soggetti a questa regola, come configurato nelle schede Utenti e Computer della finestra di dialogo Proprietà regole firewall. Se un utente o computer è visualizzato sia in Autorizzati sia in Consentiti, l'eccezione ha la priorità e il traffico di rete dall'utente o dal computer non è soggetto a questa regola.

Tipi di interfaccia

Elenco dei tipi di interfaccia di rete a cui si applica la regola (LAN, Accesso remoto, Wireless o Tutti i tipi di interfaccia), come configurato nella scheda Avanzate della finestra di dialogo Proprietà regole firewall.

Attraversamento confini

Indica se l'attraversamento confini è attivato (Consenti attraversamento confini) o disattivato (Non consentire l'attraversamento confini). Le opzioni Rimanda a utente e Rimanda ad applicazione consentono di indicare che la decisione di consentire il traffico non richiesto proveniente da Internet attraverso un dispositivo periferico NAT deve essere presa dall'utente o dall'applicazione. Quando l'attraversamento confini è attivato, l'applicazione, il servizio o la porta alla quale viene applicata la regola è indirizzabile globalmente e accessibile dall'esterno di un dispositivo periferico NAT. Questa impostazione è configurata nella scheda Avanzate della finestra di dialogo Proprietà regole firewall.

Ulteriori riferimenti

  • Pagina proprietà regole firewall monitorate


Pagina delle proprietà delle regole di sicurezza della connessione monitorate

In questa sezione vengono descritte le schede della pagina delle proprietà delle regole di sicurezza della connessione visualizzate in Monitoraggio in Windows Firewall con sicurezza avanzata.

  • Generale

  • Autenticazione

  • Avanzate


Monitorare le regole di sicurezza della connessione - Generale

In questa scheda sono contenute informazioni di base su una regola di sicurezza della connessione applicata al computer.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Regole di sicurezza delle connessioni.

  2. Fare doppio clic sulla regola che si desidera esaminare e quindi fare clic sulla scheda Generale.

Indirizzo IP endpoint 1

Indirizzo IP o intervallo di indirizzi IP del primo endpoint come configurato nella scheda Computer della pagina delle proprietà delle regole di sicurezza della connessione. Se non è specificato alcun endpoint, viene visualizzato Qualsiasi.

Porta endpoint 1

Numero di porta TCP o UDP del computer o del gruppo di computer del primo endpoint come configurato nella scheda Protocolli e porte della pagina delle proprietà delle regole di sicurezza della connessione. Se non è specificata alcuna porta, viene visualizzato Qualsiasi.

Indirizzo IP endpoint 2

Indirizzo IP o intervallo di indirizzi IP del secondo endpoint come configurato nella scheda Computer della pagina delle proprietà delle regole di sicurezza della connessione. Se non è specificato alcun endpoint, viene visualizzato Qualsiasi.

Porta endpoint 2

Numero di porta TCP o UDP del computer o del gruppo di computer del secondo endpoint come configurato nella scheda Protocolli e porte della pagina delle proprietà delle regole di sicurezza della connessione. Se non è specificata alcuna porta, viene visualizzato Qualsiasi.

Protocollo

Protocollo configurato utilizzando l'opzione Tipo di protocollo della scheda Protocolli e porte della pagina delle proprietà delle regole di sicurezza della connessione. Se non è specificato alcun protocollo, viene visualizzato Qualsiasi.

Profilo

Elenco dei profili dei percorsi di rete, dominio, privato o pubblico, a cui è applicabile la regola, come configurato nella scheda Avanzate della pagina delle proprietà delle regole di sicurezza della connessione.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione monitorate


Monitorare le regole di sicurezza della connessione - Autenticazione

In questa scheda sono contenute informazioni di base sui metodi di autenticazione utilizzati da una regola di sicurezza della connessione applicata al computer.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Regole di sicurezza delle connessioni.

  2. Fare doppio clic sulla regola firewall che si desidera esaminare e quindi fare clic sulla scheda Autenticazione.

Requisiti

Fa riferimento al requisito di autenticazione sulle connessioni che soddisfano i criteri della regola.

Prima autenticazione

I metodi di prima e seconda autenticazione vengono entrambi utilizzati durante la fase in modalità principale delle negoziazioni Internet Protocol Security (IPSec). Per la prima autenticazione, è possibile visualizzare il modo in cui vengono autenticati i due computer peer, ad esempio tramite Kerberos versione 5, NTLMv2, certificati del computer o un altro metodo.

Nella colonna Dettagli vengono visualizzate esclusivamente le informazioni relative ai certificati e alle chiavi già condivise. Per i certificati, vengono visualizzati i dettagli dell'emittente, se il certificato è stato emesso da un'Autorità di certificazione (CA, Certification Authority) radice o intermedia e l'algoritmo di firma del certificato. Per una chiave già condivisa viene visualizzata la chiave in testo normale.

Le informazioni di autenticazione visualizzate possono essere configurate nella scheda Autenticazione della finestra di dialogo Proprietà delle regole di sicurezza della connessione.

Seconda autenticazione

Per la seconda autenticazione, è possibile visualizzare il metodo di autenticazione dell'utente, ad esempio Kerberos versione 5, NTLMv2, certificati utente o un certificato di integrità computer.

Nella colonna Dettagli vengono visualizzate esclusivamente informazioni relative ai certificati. Vengono visualizzati i dettagli dell'emittente, se il certificato è stato emesso da una CA radice o intermedia e l'algoritmo di firma del certificato.

Le informazioni di autenticazione visualizzate possono essere configurate nella scheda Autenticazione della finestra di dialogo Proprietà delle regole di sicurezza della connessione.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione monitorate


Monitorare le regole di sicurezza della connessione - Avanzate

Se la regola specifica un tunnel Internet Protocol Security (IPsec), in questa scheda verranno riportate informazioni sugli endpoint del tunnel e se è richiesta l'autorizzazione del computer o dell'utente.

Per accedere a questa scheda

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio e quindi Regole di sicurezza delle connessioni.

  2. Fare doppio clic sulla regola che si desidera esaminare e quindi fare clic sulla scheda Avanzate.

Endpoint del tunnel locale

Se la regola di sicurezza della connessione è una regola di tunneling, questa opzione indicherà l'indirizzo dell'endpoint del tunnel più vicino al computer locale, come configurato nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Se la regola di sicurezza della connessione non è una regola di tunneling, verrà visualizzato Nessuno.

Endpoint del tunnel remoto

Se la regola di sicurezza della connessione è una regola di tunneling, questa opzione indicherà l'indirizzo dell'endpoint del tunnel più lontano dal computer locale, come configurato nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Se la regola di sicurezza della connessione non è una regola di tunneling, verrà visualizzato Nessuno.

Tipi di interfaccia

Indica i tipi di interfaccia a cui viene applicata la regola, come configurati nella scheda Avanzate della pagina delle proprietà regola di sicurezza della connessione.

Applica autorizzazione

Indica se l'utilizzo del tunnel è limitato esclusivamente agli utenti e ai computer autorizzati, come configurato nella finestra di dialogo Personalizza impostazioni tunneling IPsec. L'elenco di utenti e computer autorizzati è configurato nella finestra di dialogo Personalizza autorizzazioni tunnel IPsec.

Accorda esenzione per connessioni protette IPsec

Indica se i pacchetti di rete indirizzati a un computer nell'endpoint 2 già protetti da IPsec sono inviati attraverso il tunnel. Comprende qualsiasi pacchetto di rete con un'intestazione ESP, incluso ESP NULL. Questa impostazione è configurata nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Ulteriori riferimenti

  • Pagina delle proprietà delle regole di sicurezza della connessione monitorate


Associazioni di sicurezza in modalità principale monitorate

La negoziazione in modalità principale stabilisce un canale sicuro tra due computer determinando un insieme di suite di protezione crittografica, scambiando materiale per le chiavi per determinare una chiave privata condivisa e autenticando le identità di computer e utenti. Un'associazione di sicurezza è costituita dalle informazioni relative a tale canale sicuro mantenute nel computer locale affinché possa utilizzarle per il traffico di rete futuro verso il computer remoto. È possibile monitorare le associazioni di protezione in modalità principale per ottenere informazioni sui peer attualmente connessi al computer e sulla suite di protezione utilizzata per creare l'associazione di sicurezza.

Per accedere a questa visualizzazione

  • Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio, Associazioni di sicurezza e quindi fare clic su Modalità principale.

Le informazioni seguenti sono disponibili nella visualizzazione tabella di tutte le associazioni di sicurezza in modalità principale. Per visualizzare le informazioni di una singola associazione di sicurezza in modalità principale, fare doppio clic sull'associazione di sicurezza nell'elenco.

Informazioni sull'associazione di sicurezza in modalità principale

Nel riquadro risultati è possibile aggiungere, rimuovere e riordinare le colonne seguenti, nonché eseguire ordinamenti:

  • Indirizzo locale: indirizzo IP del computer locale.

  • Indirizzo remoto: indirizzo IP del computer remoto o peer.

  • Metodo prima autenticazione: metodo di autenticazione utilizzato per creare l'associazione di sicurezza.

  • ID locale prima autenticazione: identità autenticata del computer locale utilizzato nella prima autenticazione.

  • ID remoto prima autenticazione: identità autenticata del computer remoto utilizzato nella prima autenticazione.

  • Metodo seconda autenticazione: metodo di autenticazione utilizzato nell'associazione di sicurezza.

  • ID locale seconda autenticazione: identità autenticata del computer locale utilizzato nella seconda autenticazione.

  • ID remoto seconda autenticazione: identità autenticata del computer remoto utilizzato nella seconda autenticazione.

  • Crittografia: metodo di crittografia utilizzato dall'associazione di sicurezza per proteggere gli scambi di chiavi in modalità rapida.

  • Integrità: metodo di integrità dei dati utilizzato dall'associazione di sicurezza per proteggere gli scambi di chiavi in modalità rapida.

  • Scambio chiave: gruppo Diffie-Hellman utilizzato per creare l'associazione di sicurezza in modalità principale.

È possibile utilizzare qualsiasi account utente per completare questa procedura.

Per aggiungere, rimuovere o riordinare una colonna

  1. Fare clic con il pulsante destro del mouse in un'area vuota del riquadro risultati per la cartella Modalità principale, scegliere Visualizza e quindi Aggiungi/rimuovi colonne.

  2. Nella finestra di dialogo Aggiungi/rimuovi colonne selezionare la colonna da visualizzare nell'elenco Colonne disponibili e quindi fare clic su Aggiungi. È possibile selezionare un solo nome di colonna alla volta.

  3. È inoltre possibile selezionare le colonne che non si desidera visualizzare. Nell'elenco Colonne visualizzate fare clic su Rimuovi. È possibile selezionare un solo nome di colonna alla volta.

  4. Per riordinare le colonne, da sinistra a destra, selezionare una colonna nell'elenco Colonne visualizzate e quindi fare clic su Sposta su o Sposta giù. È possibile selezionare un solo nome di colonna alla volta.

  5. Al termine, fare clic su OK. La visualizzazione verrà modificata in base alle preferenze specificate.

Ulteriori riferimenti

  • Associazioni di sicurezza in modalità rapida monitorate


Associazioni di sicurezza in modalità rapida monitorate

Una negoziazione in modalità rapida stabilisce un canale sicuro tra due computer per proteggere i dati utente scambiati tra di essi. Durante una negoziazione in modalità rapida, il materiale per le chiavi viene aggiornato o, se necessario, vengono generate nuove chiavi. Viene inoltre selezionata una suite di protezione per il traffico di dati IP. Lo scambio di informazioni necessario per negoziare un'associazione di sicurezza in modalità rapida viene eseguito nel contesto dell'associazione di sicurezza in modalità principale. Dopo avere stabilito l'associazione di sicurezza in modalità rapida, i due computer possono scambiarsi pacchetti di rete nel contesto dell'associazione di sicurezza in modalità rapida. È presente un'unica associazione di sicurezza in modalità principale tra una coppia di computer, mentre possono essere presenti molte associazioni di sicurezza in modalità rapida. Il monitoraggio delle associazioni di sicurezza in modalità rapida può segnalare i peer attualmente connessi al computer e indicare la suite di protezione che protegge i dati scambiati. Vengono create associazioni di sicurezza separate per le connessioni Internet Protocol versione 4 (IPv4) e Internet Protocol versione 6 (IPv6).

Per accedere a questa visualizzazione

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata espandere Monitoraggio, Associazioni di sicurezza e quindi fare clic su Modalità rapida.

Le informazioni seguenti sono disponibili nella visualizzazione tabella di tutte le associazioni di sicurezza in modalità rapida. Per visualizzare le informazioni di una singola associazione di sicurezza in modalità rapida, fare doppio clic sulla voce relativa nell'elenco.

Informazioni sull'associazione di sicurezza in modalità rapida

Nel riquadro risultati è possibile aggiungere, rimuovere e riordinare le colonne seguenti, nonché eseguire ordinamenti:

  • Indirizzo IP locale: indirizzo IP locale.

  • Porta locale: porta TCP o UDP del computer locale utilizzato nel filtro.

  • Indirizzo IP remoto: indirizzo IP del computer remoto o peer.

  • Porta remota: porta TCP o UDP del computer remoto utilizzato nel filtro.

  • Protocollo: protocollo specificato nel filtro.

  • Integrità AH: metodo di integrità dei dati specifico del protocollo AH utilizzato per le comunicazioni peer.

  • Integrità ESP. metodo di crittografia specifico del protocollo ESP utilizzato per le comunicazioni peer.

  • Riservatezza ESP: metodo di crittografia specifico del protocollo ESP utilizzato per le comunicazioni peer.

È possibile utilizzare qualsiasi account utente per completare questa procedura.

Per aggiungere, rimuovere o riordinare una colonna

  1. Fare clic con il pulsante destro del mouse in un'area vuota del riquadro risultati per la cartella Modalità rapida, scegliere Visualizza e quindi Aggiungi/rimuovi colonne.

  2. Nella finestra di dialogo Aggiungi/rimuovi colonne selezionare la colonna da visualizzare nell'elenco Colonne disponibili e quindi fare clic su Aggiungi. È possibile selezionare un solo nome di colonna alla volta.

  3. È inoltre possibile selezionare le colonne che non si desidera visualizzare. Nell'elenco Colonne visualizzate fare clic su Rimuovi. È possibile selezionare un solo nome di colonna alla volta.

  4. Per riordinare le colonne, da sinistra a destra, selezionare una colonna nell'elenco Colonne visualizzate e quindi fare clic su Sposta su o Sposta giù. È possibile selezionare un solo nome di colonna alla volta.

  5. Al termine, fare clic su OK. La visualizzazione verrà modificata in base alle preferenze specificate.

Ulteriori riferimenti

  • Associazioni di sicurezza in modalità principale monitorate


Finestre di dialogo

In questa sezione vengono illustrate le opzioni dell'interfaccia utente presenti nelle finestre di dialogo di Windows Firewall con sicurezza avanzata. Le istruzioni per accedere alla finestra di dialogo sono incluse in ogni argomento.

  • Finestra di dialogo: Aggiungi o modifica algoritmi di integrità

  • Finestra di dialogo: Aggiungi o modifica algoritmi di integrità e crittografia

  • Finestra di dialogo: Aggiungi o modifica indirizzi IP

  • Finestra di dialogo: Aggiungi metodo di sicurezza

  • Finestra di dialogo: Personalizza metodi di autenticazione avanzata

  • Finestra di dialogo: Personalizza impostazioni avanzate scambio chiavi

  • Finestra di dialogo: Personalizza azioni per impostazioni sicure

  • Finestra di dialogo: Personalizza impostazioni di protezione dati

  • Finestra di dialogo: Personalizza impostazioni ICMP

  • Finestra di dialogo: Personalizza tipi di interfaccia

  • Finestra di dialogo: Personalizza impostazioni IPSec

  • Finestra di dialogo: Personalizza autorizzazioni tunnel IPsec

  • Finestra di dialogo: Personalizza impostazioni tunneling IPSec

  • Finestra di dialogo: Personalizza impostazioni di registrazione per un profilo del firewall

  • Finestra di dialogo: Personalizza connessioni di rete protette per un profilo del firewall

  • Finestra di dialogo: Personalizza impostazioni servizi

  • Finestra di dialogo: Personalizza impostazioni per un profilo del firewall

  • Finestra di dialogo: Aggiungi o modifica primo metodo di autenticazione

  • Finestra di dialogo: Aggiungi o modifica secondo metodo di autenticazione


Finestra di dialogo: Aggiungi o modifica algoritmi di integrità

Utilizzare questa finestra di dialogo per configurare un algoritmo di integrità dei dati disponibile quando si negoziano le associazioni di sicurezza in modalità rapida. È necessario specificare sia il protocollo sia l'algoritmo utilizzato per proteggere l'integrità dei dati nel pacchetto di rete.

Internet Protocol Security (IPsec) consente l'integrità mediante il calcolo di un hash generato dai dati nel pacchetto di rete. L'hash viene quindi firmato con firma crittografata e incorportato nel pacchetto IP. Nel computer ricevente viene utilizzato lo stesso algoritmo per calcolare l'hash e confrontarne il risultato con l'hash incorportato nel pacchetto ricevuto. In caso di corrispondenza, le informazioni ricevute sono esattamente identiche alle informazioni inviate e il pacchetto viene accettato. In caso di mancata corrispondenza, il pacchetto viene ignorato.

L'utilizzo di un hash crittografato del messaggio trasmesso non consente dal punto di vista del calcolo di modificare il messaggio senza generare una mancata corrispondenza dell'hash. Questo comportamento è fondamentale quando i dati vengono scambiati su una rete non protetta quale Internet perché consente di sapere che il messaggio non è stato modificato durante il transito.

Come accedere a questa finestra di dialogo

  1. Nella pagina dello snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

  4. In Protezione dati (modalità rapida) scegliere Avanzate e quindi fare clic su Personalizza.

  5. In Integrità dei dati selezionare una combinazione di algoritmi dall'elenco e fare clic su Modifica o Aggiungi.

Protocollo

I protocolli seguenti consentono di incorporare le informazioni di integrità in un pacchetto IP.

ESP (scelta consigliata)

ESP consente l'autenticazione, l'integrità e la protezione anti-riproduzione per il payload IP. Se utilizzato nella modalità di trasporto, ESP non firma l'intero pacchetto, ma viene protetto solo il payload IP, non l'intestazione IP. Il protocollo ESP può essere utilizzato da solo o insieme al protocollo AH. Il calcolo dell'hash include solo l'intestazione, il trailer e il payload ESP. ESP può facoltativamente offrire servizi di riservatezza dei dati mediante la crittografia del payload ESP con uno dei diversi algoritmi di crittografia supportati. I servizi di riproduzione dei pacchetti vengono resi disponibili tramite l'inserimento di un numero di sequenza per ogni pacchetto.

AH

AH assicura l'autenticazione, l'integrità e la protezione anti-riproduzione per l'intero pacchetto (sia per l'intestazione IP che per il payload di dati contenuto nel pacchetto). Non assicura tuttavia la riservatezza e pertanto i dati non vengono crittografati. I dati sono leggibili, ma protetti da eventuali modifiche. Alcuni campi di cui è consentita la modifica durante il transito sono esclusi dal calcolo dell'hash. I servizi di riproduzione dei pacchetti vengono resi disponibili tramite l'inserimento di un numero di sequenza per ogni pacchetto.

Importante

Il protocollo AH non è compatibile con Network Address Translation (NAT) perché i dispositivi NAT modificano le informazioni in alcune delle intestazioni dei pacchetti incluse nell'hash di integrità. Per consentire il passaggio del traffico basato su IPsec attraverso un dispositivo NAT, è necessario utilizzare ESP e assicurarsi che NAT Traversal (NAT-T) sia attivato sui computer peer IPsec.

Incapsulamento NULL

L'incapsulamento NULL specifica che non si desidera utilizzare alcuna protezione di integrità o crittografia sul traffico di rete. L'autenticazione viene comunque effettuata come richiesto dalle regole di sicurezza della connessione, ma non viene fornita alcuna altra protezione ai pacchetti di rete scambiati tramite questa associazione di sicurezza.

Sicurezza Nota

Poiché questa opzione non fornisce alcun tipo di protezione dell'integrità o della riservatezza, è consigliabile utilizzarla esclusivamente se è necessario supportare applicazioni software o dispositivi di rete non compatibili con ESP o AH.

Algoritmi

Gli algoritmi di integrità seguenti sono disponibili ai computer su cui è in esecuzione questa versione di Windows. Alcuni di questi algoritmi non sono disponibili su computer su cui sono in esecuzione altre versioni di Windows. Se è necessario stabilire connessioni protette tramite IPsec con un computer su cui è in esecuzione una versione precedente di Windows, è necessario includere opzioni di algoritmi compatibili con la versione precedente.

Per ulteriori informazioni, vedere l'argomento relativo agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkID=129230.

  • AES-GMAC 256

  • AES-GMAC 192

  • AES-GMAC 128

  • SHA-1

  • MD5

    Attenzione

    MD5 non è più considerato sicuro e deve essere utilizzato solo per operazioni di test o nei casi in cui il computer remoto non sia in grado di utilizzare un algoritmo più sicuro. È disponibile esclusivamente per compatibilità con le versioni precedenti.

Durata chiavi

Le impostazioni della durata delle chiavi determinano il momento in cui viene generata una nuova chiave. La durata delle chiavi consente di forzare la generazione di una nuova chiave dopo un intervallo di tempo specifico o dopo la trasmissione di una determinata quantità di dati. Se ad esempio la comunicazione dura 100 minuti e si specifica una durata pari a 10 minuti, nel corso dello scambio di dati verranno generate 10 chiavi, una ogni 10 minuti. L'utilizzo di più chiavi garantisce che, qualora l'autore di un attacco riesca a ottenere la chiave di una parte della comunicazione, ciò non comprometta l'intera comunicazione.

Nota

La rigenerazione delle chiavi si riferisce esclusivamente all'integrità dei dati in modalità rapida. Queste impostazioni non hanno effetto sulle impostazioni della durata delle chiavi per lo scambio di chiavi in modalità principale.

Minuti

Utilizzare questa impostazione per configurare la durata desiderata della chiave nell'associazione di sicurezza in modalità rapida, in minuti. Dopo questo intervallo, verrà generata una nuova chiave e nelle comunicazioni successive verrà utilizzata la nuova chiave.

La durata massima è pari a 2.879 minuti, ovvero 48 ore. La durata minima è pari a 5 minuti. È consigliabile rigenerare le chiavi solo con la frequenza richiesta dall'analisi dei rischi. Una rigenerazione delle chiavi eccessivamente frequente può incidere sulle prestazioni.

KB

Utilizzare questa impostazione per configurare la quantità di dati, in kilobyte (KB), che è possibile inviare utilizzando la chiave. Quando viene raggiunta questa soglia, il contatore viene reimpostato e la chiave viene rigenerata, pertanto nelle comunicazioni successive verrà utilizzata la nuova chiave.

La durata massima è pari a 2.147.483.647 KB. La durata minima è pari a 20.480 KB. È consigliabile rigenerare le chiavi solo con la frequenza richiesta dall'analisi dei rischi. Una rigenerazione delle chiavi eccessivamente frequente può incidere sulle prestazioni.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Aggiungi o modifica algoritmi di integrità e crittografia

Utilizzare questa finestra di dialogo per configurare un'offerta di algoritmo che includa sia l'integrità che la riservatezza dei dati (crittografia) e che sia disponibile durante le negoziazioni delle associazioni di sicurezza in modalità rapida. È necessario specificare sia il protocollo sia l'algoritmo utilizzato per proteggere l'integrità dei dati nel pacchetto di rete.

Internet Protocol Security (IPsec) consente l'integrità mediante il calcolo di un hash generato dai dati nel pacchetto di rete. L'hash viene quindi firmato con firma crittografata e incorportato nel pacchetto IP. Nel computer ricevente viene utilizzato lo stesso algoritmo per calcolare l'hash e confrontarne il risultato con l'hash incorporato nel pacchetto ricevuto. In caso di corrispondenza, le informazioni ricevute sono esattamente identiche alle informazioni inviate e il pacchetto viene accettato. In caso di mancata corrispondenza, il pacchetto viene ignorato.

L'utilizzo di un hash crittografato del messaggio trasmesso non consente dal punto di vista del calcolo di modificare il messaggio senza generare una mancata corrispondenza dell'hash. Questo comportamento è fondamentale quando i dati vengono scambiati su una rete non protetta quale Internet e consente di sapere che il messaggio non è stato modificato durante il transito.

Oltre alla protezione dell'integrità, questa finestra di dialogo consente di specificare un algoritmo di crittografia che contribuisca a impedire la lettura dei dati se il pacchetto di rete viene intercettato durante il transito.

Come accedere a questa finestra di dialogo

  1. Nella pagina dello snap-in MMC Windows Firewall con sicurezza avanzata in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

  4. In Protezione dati (modalità rapida) scegliere Avanzate e quindi fare clic su Personalizza.

  5. In Integrità e crittografia dei dati selezionare una combinazione di algoritmi e fare clic su Modifica o Aggiungi.

Protocollo

I protocolli seguenti consentono di incorporare le informazioni di integrità e crittografia in un pacchetto IP.

ESP (scelta consigliata)

ESP (Encapsulating Security Payload) assicura anche la riservatezza, oltre all'autenticazione, all'integrità e alla protezione anti-riproduzione, per il payload IP. Nella modalità di trasporto ESP non firma l'intero pacchetto, ma viene protetto solo il payload dei dati IP e non l'intestazione IP. ESP può essere utilizzato da solo o in combinazione con AH (Authentication Header). Il calcolo dell'hash include solo l'intestazione, il trailer e il payload ESP. ESP offre servizi di riservatezza dei dati mediante la crittografia del payload ESP con uno degli algoritmi di crittografia supportati. I servizi di riproduzione dei pacchetti sono resi disponibili tramite l'inserimento di un numero di sequenza per ogni pacchetto.

ESP e AH

Questa opzione combina la sicurezza garantita dai protocolli ESP e AH. AH assicura l'autenticazione, l'integrità e la protezione anti-riproduzione dell'intero pacchetto (sia per l'intestazione IP che per il payload di dati contenuto nel pacchetto).

Importante

Il protocollo AH non è compatibile con NAT (Network Address Translation) poiché i dispositivi NAT hanno l'esigenza di modificare le informazioni contenute nelle intestazioni dei pacchetti. Per consentire il transito di traffico IPSec attraverso un dispositivo NAT, è necessario assicurare che i computer peer IPsec supportino NAT Traversal (NAT-T).

Algoritmi

Algoritmo di crittografia

Gli algoritmi di crittografia seguenti sono disponibili ai computer che eseguono questa versione di Windows. Alcuni di questi algoritmi non sono disponibili in computer su cui sono in esecuzione versioni precedenti di Windows. Se è necessario stabilire connessioni protette tramite IPsec con un computer su cui è in esecuzione una versione precedente di Windows, è necessario includere opzioni di algoritmi compatibili con la versione precedente.

Per ulteriori informazioni, vedere l'argomento relativo agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkID=129230.

  • AES-GCM 256

  • AES-GCM 192

  • AES-GCM 128

  • AES-CBC 256

  • AES-CBC 192

  • AES-CBC 128

  • 3DES

  • DES

Sicurezza Nota

Non è consigliabile utilizzare DES. È disponibile esclusivamente per compatibilità con le versioni precedenti.

Nota

Se si specifica un algoritmo AES-GCM per la crittografia, è necessario specificare lo stesso algoritmo per l'integrità.

Algoritmo di integrità

Gli algoritmi di integrità seguenti sono disponibili ai computer su cui è in esecuzione questa versione di Windows. Alcuni di questi algoritmi non sono disponibili su computer su cui sono in esecuzione altre versioni di Windows. Se è necessario stabilire connessioni protette tramite IPsec con un computer su cui è in esecuzione una versione precedente di Windows, è necessario includere opzioni di algoritmi compatibili con la versione precedente.

Per ulteriori informazioni, vedere l'argomento relativo agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkID=129230.

  • AES-GCM 256

  • AES-GCM 192

  • AES-GCM 128

  • AES-GMAC 256

  • AES-GMAC 192

  • AES-GMAC 128

  • SHA-1

  • MD5

Sicurezza Nota

Non è consigliabile utilizzare MD5. È disponibile esclusivamente per compatibilità con le versioni precedenti.

Nota

Se si specifica un algoritmo AES-GCM per l'integrità, è necessario specificare lo stesso algoritmo per la crittografia.

Durata chiavi

Le impostazioni di durata delle chiavi determinano il momento in cui viene generata una nuova chiave. La durata delle chiavi consente di forzare la generazione di una nuova chiave dopo un intervallo di tempo specifico o dopo la trasmissione di una determinata quantità di dati. Se ad esempio la comunicazione dura 100 minuti e si specifica una durata pari a 10 minuti, nel corso dello scambio di dati verranno generate 10 chiavi, una ogni 10 minuti. L'utilizzo di più chiavi garantisce che, qualora l'autore di un attacco riesca a ottenere la chiave di una parte della comunicazione, ciò non comprometta l'intera comunicazione.

Nota

Questa rigenerazione delle chiavi è relativa all'integrità e alla crittografia dei dati in modalità rapida e non incide sulle impostazioni di durata delle chiavi per lo scambio di chiavi in modalità principale.

Minuti

Utilizzare questa impostazione per configurare la durata desiderata della chiave nell'associazione di sicurezza in modalità rapida, in minuti. Trascorso l'intervallo specificato, la chiave verrà rigenerata e nelle comunicazioni successive verrà utilizzata la nuova chiave.

La durata massima è pari a 2.879 minuti, ovvero 48 ore. La durata minima è pari a 5 minuti. È consigliabile rigenerare le chiavi solo con la frequenza richiesta dall'analisi dei rischi. Una rigenerazione delle chiavi eccessivamente frequente può incidere sulle prestazioni.

KB

Utilizzare questa impostazione per configurare la quantità di dati, in kilobyte (KB), che è possibile inviare utilizzando la chiave. Quando viene raggiunta questa soglia, il contatore viene reimpostato e la chiave viene rigenerata, pertanto nelle comunicazioni successive verrà utilizzata la nuova chiave.

La durata massima è pari a 2.147.483.647 KB. La durata minima è pari a 20.480 KB. È consigliabile rigenerare le chiavi solo con la frequenza richiesta dall'analisi dei rischi. Una rigenerazione delle chiavi eccessivamente frequente può incidere sulle prestazioni.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Aggiungi o modifica indirizzi IP

Utilizzare questa finestra di dialogo per specificare i computer in base all'indirizzo IP. È possibile utilizzare entrambi gli indirizzi IPv4 (protocollo IP versione 4) o IPv6 (protocollo IP versione 6). È inoltre possibile specificare un'intera subnet.

Per accedere a questa finestra di dialogo

  • Quando si crea una regola firewall utilizzando la procedura guidata per la creazione di nuova regola firewall, nella pagina Ambito fare clic su Questi indirizzi IP e quindi su Aggiungi.

  • Quando si modifica una regola firewall esistente, nella scheda Ambito fare clic su Questi indirizzi IP e quindi su Aggiungi.

  • Quando si crea una regola di sicurezza della connessione utilizzando la procedura guidata per la creazione di nuova regola di sicurezza della connessione, nella pagina Endpoint fare clic su Questi indirizzi IP e quindi su Aggiungi.

  • Quando si modifica una regola di sicurezza della connessione esistente, nella scheda Computer fare clic su Questi indirizzi IP e quindi su Aggiungi.

Subnet o indirizzo IP

È possibile specificare un singolo indirizzo IP o una subnet per gli indirizzi IPv4 o IPv6. Per specificare una subnet, immettere l'indirizzo IP utilizzando una sintassi analoga alla seguente:

192.168.1.0/24

Il numero che segue la barra (/) rappresenta il numero di bit nella subnet mask. Sono possibili 32 bit. In questo esempio 24 indica che i primi tre ottetti sono l'indirizzo subnet e l'ultimo ottetto è l'ID host nella subnet. I bit che rappresentano l'ID host devono essere 0. L'esempio corrisponde a una subnet mask di 255.255.255.0.

Per un indirizzo IPv6, utilizzare la stessa sintassi. Il numero che segue la barra (/) rappresenta il numero di bit nella subnet mask. Sono possibili 128 bit. I bit che rappresentano l'ID host devono essere 0. Ad esempio:

2001:8e6c:6456:1c99::/64

Intervallo indirizzi IP

Immettere due indirizzi IP. L'indirizzo con il numero inferiore deve precedere l'indirizzo con il numero superiore nell'intervallo. L'intervallo è costituito da tutti gli indirizzi IP compresi tra l'indirizzo IP iniziale e quello finale. I due endpoint dell'intervallo devono utilizzare la stessa versione IP, ovvero IPv4 o IPv6.

Insieme di computer predefinito

È possibile specificare uno degli insiemi di computer predefiniti seguenti:

  • Gateway predefinito. Utilizza l'indirizzo IP attualmente impostato come gateway predefinito del computer locale.

  • Server WINS. Utilizza gli indirizzi IP dei computer attualmente configurati per fornire servizi WINS al computer locale.

  • Server DHCP. Utilizza gli indirizzi IP dei computer attualmente configurati per fornire servizi DHCP al computer locale.

  • Server DNS. Utilizza gli indirizzi IP dei computer attualmente configurati per fornire servizi DNS al computer locale.

  • Subnet locale. Utilizza l'indirizzo IP e la subnet mask del computer locale per determinare in modo dinamico gli indirizzi che fanno parte della subnet locale del computer.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Aggiungi metodo di sicurezza

Utilizzare questa finestra di dialogo per configurare un'offerta di metodo di sicurezza disponibile quando si negoziano le associazioni di sicurezza in modalità principale. È necessario specificare l'algoritmo di integrità, crittografia e scambio di chiavi.

Come accedere a questa finestra di dialogo

  1. Nella pagina dello snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

  4. In Scambio di chiavi (modalità principale) fare clic su Avanzate e quindi su Personalizza.

  5. In Metodi di sicurezza selezionare una combinazione di algoritmi e fare clic su Modifica o Aggiungi.

Algoritmo di integrità

Selezionare uno degli algoritmi di integrità seguenti dall'elenco.

  • SHA-384

  • SHA-256

  • SHA-1

  • MD5

    Attenzione

    MD5 non è più considerato sicuro e deve essere utilizzato solo per operazioni di test o nei casi in cui il computer remoto non sia in grado di utilizzare un algoritmo più sicuro. È incluso esclusivamente per compatibilità con le versioni precedenti.

Algoritmo di crittografia

Selezionare uno degli algoritmi di crittografia seguenti dall'elenco.

  • AES-CBC 256

  • AES-CBC-192

  • AES-CBC-128

  • 3DES

  • DES

    Attenzione

    DES non è più considerato sicuro e deve essere utilizzato solo per operazioni di test o nei casi in cui il computer remoto non è in grado di utilizzare un algoritmo più sicuro. È incluso esclusivamente per compatibilità con le versioni precedenti.

Algoritmo di scambio chiavi

Selezionare uno degli algoritmi di scambio chiavi seguenti dall'elenco.

  • Elliptic Curve Diffie-Hellman P-384

  • Elliptic Curve Diffie-Hellman P-256

  • Gruppo Diffie-Hellman 14

  • Gruppo Diffie-Hellman 2

  • Gruppo Diffie-Hellman 1

    Attenzione

    DH1 non è più considerato sicuro e deve essere utilizzato solo per operazioni di test o nei casi in cui il computer remoto non è in grado di utilizzare un algoritmo più sicuro. È incluso esclusivamente per compatibilità con le versioni precedenti.

Per ulteriori informazioni su qualsiasi di questi algoritmi, vedere l'articolo relativo agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?linkid=129230.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza metodi di autenticazione avanzata

Utilizzare queste impostazioni per configurare l'autenticazione richiesta nell'ambiente. È possibile configurare l'autenticazione avanzata regola per regola oppure applicarla per impostazione predefinita a tutte le regole di sicurezza delle connessioni.

Come accedere a questa finestra di dialogo

  • Per accedere a questa finestra di dialogo per configurare le impostazioni predefinite per il computer, eseguire la procedura seguente. Queste impostazioni si applicano a qualsiasi regola di sicurezza della connessione in cui Predefinito è selezionato come metodo di autenticazione.

    1. Nella pagina dello snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica fare clic su Proprietà Windows Firewall.

    2. Fare clic sulla scheda Impostazioni IPsec.

    3. In Impostazioni predefinite IPSec fare clic su Personalizza.

    4. In Metodo di autenticazione fare clic su Avanzate e quindi su Personalizza.

  • Per accedere a questa finestra di dialogo quando si crea una nuova regola di sicurezza della connessione, eseguire la procedura seguente. Queste impostazioni si applicano solo alla regola di sicurezza della connessione di cui si stanno modificando le proprietà.

    1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

    2. Selezionare qualsiasi tipo di regola ad eccezione di Esenzione da autenticazione.

    3. Fare ripetutamente clic su Avanti nella procedura guidata finché non si raggiunge la pagina Metodo di autenticazione.

    4. Fare clic su Avanzate e quindi su Personalizza.

  • Per accedere a questa finestra di dialogo per configurare le impostazioni per una regola di sicurezza della connessione esistente, eseguire la procedura seguente. Queste impostazioni si applicano solo alla regola di sicurezza della connessione di cui si stanno modificando le proprietà.

    1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza della connessione.

    2. Fare doppio clic sulla regola che si desidera modificare.

    3. Fare clic sulla scheda Autenticazione.

    4. In Metodo fare clic su Avanzate e quindi su Personalizza.

Prima autenticazione

Il primo metodo di autenticazione viene eseguito durante la fase in modalità principale delle negoziazioni Internet Protocol Security (IPsec). In questa autenticazione, è possibile specificare il modo in cui viene autenticato il computer peer.

È possibile specificare più metodi da utilizzare per questa autenticazione. I metodi verranno tentati nell'ordine specificato e verrà utilizzato il primo metodo con esito positivo.

  • Per aggiungere un metodo all'elenco, fare clic su Aggiungi.

  • Per modificare un metodo già nell'elenco, selezionare il metodo e quindi fare clic su Modifica.

  • Per rimuovere un metodo dall'elenco, selezionarlo e quindi fare clic su Rimuovi.

  • Per riordinare l'elenco, selezionare un metodo e quindi fare clic sulla freccia su o giù.

Per ulteriori informazioni sui primi metodi di autenticazione disponibili, vedere Finestra di dialogo: Aggiungi o modifica primo metodo di autenticazione.

Prima autenticazione facoltativa

È possibile selezionare questa opzione per eseguire la prima autenticazione con credenziali anonime. Questa operazione risulta utile se la seconda autenticazione assicura i mezzi di autenticazione primari e necessari e la prima autenticazione deve essere eseguita solo se entrambi i peer la supportano. Ad esempio, se si desidera richiedere l'autenticazione Kerberos versione 5 basata sull'utente, disponibile solo come seconda autenticazione, è possibile selezionare Prima autenticazione facoltativa e quindi selezionare Utente (Kerberos V5) in Secondo metodo di autenticazione.

Attenzione

Non configurare sia la prima che la seconda configurazione come facoltative. Tale operazione equivale infatti a disattivare l'autenticazione.

Seconda autenticazione

Con la seconda autenticazione, è possibile specificare il modo in cui l'utente connesso al computer peer viene autenticato. È anche possibile specificare un certificato di integrità del computer di un'autorità di certificazione (CA, Certification Authority) specificata.

I metodi verranno tentati nell'ordine specificato e verrà utilizzato il primo metodo che avrà esito positivo.

È possibile specificare più metodi da utilizzare per questa autenticazione.

  • Per aggiungere un metodo all'elenco, fare clic su Aggiungi.

  • Per modificare un metodo già nell'elenco, selezionare il metodo e quindi fare clic su Modifica.

  • Per rimuovere un metodo dall'elenco, selezionarlo e quindi fare clic su Rimuovi.

  • Per riordinare l'elenco, selezionare un metodo e quindi fare clic sulla freccia su o giù.

Note
  • È necessario utilizzare tutti metodi di autenticazione basati sull'utente o tutti metodi di autenticazione basati sul computer.
  • Indipendentemente dalla posizione in cui appare nell'elenco, non è possibile utilizzare il secondo metodo di autenticazione se si utilizza una chiave già condivisa per il primo metodo di autenticazione.

Per ulteriori informazioni sul secondo metodo di autenticazione, vedere Finestra di dialogo: Aggiungi o modifica secondo metodo di autenticazione.

Seconda autenticazione facoltativa

È possibile selezionare questa opzione per indicare che la seconda autenticazione deve essere eseguita se possibile ma che la connessione non deve essere bloccata in caso di esito negativo della seconda autenticazione. Questa operazione risulta utile se la prima autenticazione assicura i mezzi di autenticazione primari e necessari e la seconda autenticazione è facoltativa, ma consigliata se entrambi i peer la supportano. Ad esempio, se si desidera richiedere l'autenticazione Kerberos versione 5 basata sul computer e si desidera utilizzare l'autenticazione Kerberos versione 5 basata sull'utente quando possibile, è possibile selezionare Computer (Kerberos V5) come prima autenticazione e quindi Utente (Kerberos V5) come seconda autenticazione con l'opzione Seconda autenticazione facoltativa selezionata.

Attenzione

Non configurare sia la prima che la seconda configurazione come facoltative. Tale operazione equivale infatti a disattivare l'autenticazione.

Importante
  • In una regola in modalità tunnel, se si seleziona Seconda autenticazione facoltativa, i criteri IPsec risultanti vengono implementati solo come IKE e non viene utilizzato Authenticated Internet Protocol (AuthIP). Qualsiasi metodo di autenticazione specificato in Seconda autenticazione viene ignorato.
  • In una regola in modalità trasporto, il secondo metodo di autenticazione viene utilizzato come previsto.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni avanzate scambio chiavi

Utilizzare questa finestra di dialogo per aggiungere, modificare, cambiare la priorità o rimuovere le combinazioni di algoritmi disponibili per lo scambio di chiavi durante le negoziazioni in modalità principale. È possibile specificare più combinazioni di algoritmi e assegnare l'ordine in cui le combinazioni vengono provate. Verrà utilizzata la prima combinazione dell'elenco compatibile con entrambi i peer.

Nota

È consigliabile elencare le combinazioni di algoritmi dalla sicurezza maggiore alla sicurezza minore. In questo modo viene utilizzato l'algoritmo più sicuro in comune tra i due computer della negoziazione. Gli algoritmi che offrono una sicurezza minore possono essere utilizzati per compatibilità con le versioni precedenti.

Come accedere a questa finestra di dialogo

  1. Nella pagina dello snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

  4. In Scambio di chiavi (modalità principale) fare clic su Avanzate e quindi su Personalizza.

Metodi di sicurezza

I metodi di sicurezza sono combinazioni di algoritmi di integrità e di crittografia che proteggono lo scambio di chiavi. Possono essere presenti tutte le combinazioni necessarie ed è possibile disporle nell'elenco in base all'ordine preferito. Le combinazioni vengono provate nell'ordine in cui sono visualizzate. Viene utilizzato il primo insieme che entrambi i computer peer devono concordare. Se il computer peer non può utilizzare alcuna delle combinazioni definite, il tentativo di connessione ha esito negativo.

Alcuni algoritmi sono supportati solo dai computer su cui è in esecuzione questa versione di Windows. Per ulteriori informazioni, vedere l'argomento relativo agli algoritmi IPsec e ai protocolli supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkID=129230.

Per aggiungere una combinazione all'elenco, fare clic su Aggiungi per utilizzare la finestra di dialogo Aggiungi o modifica metodo di sicurezza.

Per riordinare l'elenco, selezionare una combinazione e quindi fare clic sulla freccia su o giù.

Nota

È consigliabile ordinare le combinazioni dalla sicurezza maggiore alla sicurezza minore. In questo modo verrà utilizzato il metodo di sicurezza più restrittivo supportato da entrambi i peer.

Durata chiavi

Le impostazioni della durata delle chiavi determinano il momento in cui viene generata una nuova chiave. La durata delle chiavi consente di forzare la generazione di una nuova chiave dopo un intervallo di tempo specificato o dopo che un numero di sessioni specificato è stato protetto utilizzando la chiave corrente. L'utilizzo di più chiavi assicura che, in caso un utente non autorizzato ottenga l'accesso a una chiave, solo una piccola quantità di informazioni sia esposta prima che venga generata una nuova chiave e il traffico di rete sia nuovamente protetto. È possibile specificare la durata delle chiavi in minuti e in numero di sessioni. Non appena viene raggiunta la prima di queste soglie, la chiave viene rigenerata.

Nota

Questa rigenerazione viene eseguita unicamente per lo scambio di chiavi in modalità principale. Queste impostazioni non influiscono sulle impostazioni di durata delle chiavi per la protezione dei dati in modalità rapida.

Minuti

Utilizzare questa impostazione per configurare la durata desiderata della chiave utilizzata nell'associazione di sicurezza in modalità principale, in minuti. Dopo questo intervallo, verrà generata una nuova chiave. Le sessioni successive in modalità principale utilizzeranno la nuova chiave.

La durata massima delle chiavi è pari a 2.879 minuti, ovvero 48 ore. La durata minima è pari a 1 minuto. È consigliabile rigenerare le chiavi solo con la frequenza richiesta dall'analisi dei rischi. Una rigenerazione delle chiavi eccessivamente frequente può incidere sulle prestazioni.

Sessioni

Una sessione è un messaggio distinto o un insieme di messaggi protetto da un'associazione di sicurezza in modalità rapida. Questa impostazione specifica quante sessioni di generazione chiavi in modalità rapida possono essere protette utilizzando le stesse informazioni sulla chiave in modalità principale. Quando viene raggiunta questa soglia, il contatore viene reimpostato e viene generata una nuova chiave, pertanto nelle comunicazioni successive verrà utilizzata la nuova chiave. Il valore massimo è pari a 2.147.483.647 sessioni. Il valore minimo è pari a 0 sessioni.

Se il numero limite di sessioni è impostato su zero (0), la generazione di una nuova chiave viene determinato solo in base all'impostazione Durata chiave (in minuti).

Prestare attenzione quando si impostano durate molto diverse per le chiavi in modalità principale e quelle in modalità rapida. Se ad esempio si imposta una durata di otto ore per le chiavi in modalità principale e una durata di due ore per quelle in modalità rapida, può accadere che un'associazione di sicurezza in modalità rapida rimanga attiva per quasi due ore dopo che l'associazione di sicurezza in modalità principale è scaduta. Questo si verifica quando l'associazione di sicurezza in modalità rapida viene generata subito prima della scadenza dell'associazione di sicurezza in modalità principale.

Importante

Maggiore è il numero delle sessioni consentite per una chiave in modalità principale, maggiori sono le possibilità che tale chiave venga individuata. Se si desidera limitare il numero di volte in cui la chiave viene riutilizzata, è possibile specificare un limite per la chiave in modalità rapida.

Sicurezza Nota

Per configurare PFS (Perfect Forward Secrecy) in modalità rapida, impostare Durata chiave in sessioni su 1. Sebbene questa configurazione offra protezione aggiuntiva, comporta anche una notevole riduzione delle prestazioni di calcolo e di rete. Ogni nuova sessione in modalità rapida rigenera il materiale per le chiavi in modalità principale e, di conseguenza la riautenticazione dei due computer. È consigliabile attivare PFS sono in ambienti in cui il traffico IPSec può essere esposto ad attacchi sofisticati che potrebbero compromettere la protezione crittografica avanzata offerta da IPSec.

Opzioni di scambio chiavi

Utilizza Diffie-Hellman per una sicurezza avanzata

Microsoft Windows Vista e le versioni successive di Windows supportano Authenticated IP (AuthIP) oltre a Internet Key Exchange (IKE) per stabilire la connessione sicura iniziale in cui il resto dei parametri IPsec viene negoziato. IKE utilizza solo scambi Diffie-Hellman. Quando si utilizza AuthIP, non è richiesto alcun protocollo di scambio chiavi Diffie-Hellman. Viceversa, quando è richiesta l'autenticazione Kerberos versione 5, viene utilizzato il segreto del ticket di servizio Kerberos versione 5 anziché un valore Diffie-Hellman. Quando è richiesta l'autenticazione certificato o l'autenticazione NTLM, viene stabilita una sessione Transport Level Security (TLS) e il segreto relativo viene utilizzato in sostituzione del valore Diffie-Hellman.

Se si seleziona questa casella di controllo, viene eseguito uno scambio Diffie-Hellman indipendentemente dal tipo di autenticazione selezionato e il segreto Diffie-Hellman viene utilizzato per proteggere il resto delle negoziazioni IPSec. Utilizzare questa opzione quando i requisiti normativi impongono l'obbligo di utilizzare uno scambio Diffie-Hellman.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza azioni per impostazioni sicure

Quando si seleziona Consenti la connessione solo se protetta in una regola firewall, si specifica che per soddisfare la regola i pacchetti di rete devono essere protetti mediante Internet Protocol Security (IPsec). Se si fa clic su Personalizza accanto a tale opzione, è possibile configurare le opzioni che consentono di specificare il tipo di protezione IPsec richiesta.

È necessario selezionare una delle prime tre opzioni descritte di seguito. L'ultima opzione, Ignora regole di blocco, può essere selezionata indipendentemente dalle altre opzioni.

Per accedere a questa finestra di dialogo

  • Quando si crea una regola firewall utilizzando la procedura guidata per la creazione di una nuova regola firewall, nella pagina Azione fare clic su Consenti la connessione solo se protetta e quindi fare clic su Personalizza.

  • Quando si modifica una regola firewall esistente, nella scheda Generale fare clic su Consenti la connessione solo se protetta e quindi fare clic su Personalizza.

Consenti la connessione se autenticata e protetta a livello di integrità

L'opzione predefinita. Utilizzare questa opzione per richiedere che tutti i pacchetti di rete corrispondenti utilizzino sia l'autenticazione IPsec sia gli algoritmi di integrità definiti in una regola di sicurezza della connessione separata. Se un pacchetto di rete che soddisfa tutti gli altri criteri non è né autenticato né protetto con un algoritmo di integrità, non soddisfa questa regola e pertanto viene bloccato.

Nota

Questa impostazione è supportata se applicata a computer su cui è in esecuzione Microsoft Windows Vista o versioni successive di Windows.

Richiedi crittografia delle connessioni

Utilizzare questa opzione per richiedere che tutti i pacchetti di rete corrispondenti utilizzino la crittografia dei dati definita in una regola di sicurezza della connessione separata. Se un pacchetto di rete che soddisfa tutti gli altri criteri non è crittografato, non soddisfa questa regola e pertanto viene bloccato. Quando questa opzione è attivata, Windows Firewall con sicurezza avanzata utilizza le impostazioni della finestra di dialogo Personalizza impostazioni di protezione dati.

Consenti negoziazione dinamica della crittografia per i computer

Questa opzione è disponibile solo per le regole in entrata. Utilizzare questa opzione per consentire alla connessione di rete, dopo l'esito positivo dell'autenticazione, di inviare e ricevere traffico di rete non crittografato mentre vengono negoziati gli algoritmi di crittografia.

Sicurezza Nota

Durante la negoziazione della crittografia, il traffico di rete viene inviato come testo non crittografato. Non specificare questa opzione se il traffico di rete inviato tramite la connessione durante questo periodo è troppo riservato per poter essere trasmesso come testo non crittografato.

Consenti l'utilizzo dell'incapsulamento NULL per la connessione

Utilizzare questa opzione per richiedere che tutti i pacchetti di rete corrispondenti utilizzino l'autenticazione IPsec, ma non richiedano l'integrità o la protezione tramite crittografia. È consigliabile utilizzare questa opzione esclusivamente quando sono presenti apparecchiature di rete o applicazioni software non compatibili con i protocolli di integrità Encapsulating Security Payload (ESP) o Authentication Header (AH).

Nota

Questa impostazione è supportata se applicata a computer su cui è in esecuzione Windows 7 o Windows Server 2008 R2. Non può essere applicata ai computer su cui sono in esecuzione versioni precedenti di Windows.

Ignora regole di blocco

Utilizzare questa opzione affinché i pacchetti di rete che soddisfano questa regola firewall ignorino qualsiasi regola firewall di blocco. Questa opzione viene inoltre definita bypass autenticato. Le regole che bloccano in modo esplicito le connessioni hanno in genere la priorità sulle regole che le consentono. Se si utilizza questa opzione, la connessione viene consentita anche se esiste un'altra regola che invece la bloccherebbe. Si indica effettivamente che il traffico di rete che soddisfa questa regola viene consentito perché è autenticato come proveniente da un computer o da un utente autorizzato e attendibile.

Questa opzione viene in genere utilizzata per consentire l'esecuzione senza restrizioni di programmi attendibili, ad esempio scanner delle vulnerabilità di rete e altri strumenti di rete. Sebbene una configurazione tipica del firewall bloccherebbe il traffico di rete proveniente da tali dispositivi, è possibile creare una regola che indentifichi i computer autorizzati. L'opzione Ignora regole di blocco consente il traffico proveniente esclusivamente da questi computer autorizzati. Se non si utilizza questa opzione, avranno la precedenza le eventuali regole firewall di blocco che soddisfano i criteri della stessa regola firewall e le connessioni verranno bloccate.

Se si seleziona questa opzione, è necessario specificare almeno un computer o un gruppo di computer per l'autorizzazione nella pagina Computer della procedura guidata per la creazione di una nuova regola firewall o nella scheda Computer della finestra di dialogo Proprietà regole firewall.

Nota

Se si configura lo stato operativo del firewall su Blocca tutte le connessioni nella finestra di dialogo Proprietà Windows Firewall con sicurezza avanzata, tutto il traffico di rete viene bloccato anche se questa opzione è impostata.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni di protezione dati

Utilizzare questa finestra di dialogo per aggiungere, modificare, cambiare la priorità o rimuovere gli algoritmi di integrità o di crittografia dei dati. È possibile utilizzare più algoritmi in ogni elenco e assegnare l'ordine in cui deve esserne tentata l'esecuzione. Verrà utilizzato il primo algoritmo in elenco compatibile con entrambi i peer.

È necessario specificare gli algoritmi specificati anche nelle regole sui computer con cui si desidera comunicare. Per ulteriori informazioni, vedere l'argomento relativo agli algoritmi IPsec e ai protocolli supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?linkid=129230.

Nota

È consigliabile elencare gli algoritmi dalla sicurezza maggiore alla sicurezza minore. In questo modo, viene utilizzato l'algoritmo più sicuro in comune tra i due computer della negoziazione. Gli algoritmi che offrono una sicurezza inferiore possono essere utilizzati per compatibilità con le versioni precedenti.

Come accedere a questa finestra di dialogo

  1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Windows Firewall con sicurezza avanzata e quindi in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

  4. In Protezione dati (modalità rapida) scegliere Avanzate e quindi fare clic su Personalizza.

Considerazioni sulle prestazioni per la crittografia

Gli algoritmi di crittografia che forniscono la sicurezza massima per i dati sono quelli che non consentono dal punto di vista del calcolo di decrittografare i dati senza la chiave. Gli algoritmi matematici che eseguono la crittografia sono essi stessi complessi dal punto di vista matematico e possono compromettere le prestazioni. Passando ad algoritmi a sicurezza più elevata, la potenza di elaborazione richiesta per l'esecuzione dei calcoli aumenta.

Windows supporta l'utilizzo di schede di rete dotate di processori crittografici che possono eseguire la maggior parte dei calcoli di crittografia IPsec. In questo modo i processori principali possono essere dedicati ad altre operazioni e il sovraccarico delle prestazioni di IPsec risulta ridotto. Per ulteriori informazioni, vedere la pagina relativa al miglioramento delle prestazioni di rete mediante l'utilizzo dell'offload attività IPsec all'indirizzo http://go.microsoft.com/fwlink/?linkid=129229.

Richiedi crittografia per tutte le regole di sicurezza di connessione che utilizzano queste impostazioni

Selezionare questa casella di controllo per richiedere che tutte le regole di sicurezza delle connessioni richiedano la crittografia. Se si seleziona questa casella di controllo, la sezione Integrità dei dati sarà disattivata e sarà solo possibile specificare combinazioni di algoritmi nella sezione Integrità e crittografia dei dati.

Integrità dei dati

In questo elenco sono riportati gli algoritmi di integrità dei dati attualmente configurati. Quando si negoziano i dettagli dell'associazione di sicurezza in modalità rapida con un altro computer, gli algoritmi vengono proposti nell'ordine riportato. Utilizzare le frecce su e giù per disporre gli algoritmi nell'ordine preferito. È opportuno posizionare gli algoritmi con protezione maggiore all'inizio dell'elenco e quelli con protezione minore alla fine dell'elenco. Includere gli algoritmi più vulnerabili solo se richiesto per supportare computer che non possono utilizzare algoritmi più avanzati.

Se si seleziona Richiedi crittografia per tutte le regole di sicurezza di connessione che utilizzano queste impostazioni, questa sezione sarà disattivata.

Per aggiungere un algoritmo all'elenco, fare clic su Aggiungi. Per modificare un algoritmo già nell'elenco, selezionarlo e quindi fare clic su Modifica. Per rimuovere un algoritmo dall'elenco, selezionarlo e quindi fare clic su Rimuovi.

Integrità e crittografia dei dati

In questo elenco sono riportate le combinazioni di algoritmi attualmente configurate che includono sia la crittografia che l'integrità dei dati. Quando si negoziano i dettagli dell'associazione di sicurezza in modalità rapida con un altro computer, le combinazioni di algoritmi vengono proposte nell'ordine riportato. Utilizzare le frecce su e giù per disporre le combinazioni di algoritmi nell'ordine preferito. È opportuno posizionare le combinazioni di algoritmi con protezione maggiore all'inizio dell'elenco e quelli con protezione minore alla fine dell'elenco. Includere le combinazioni di algoritmi più vulnerabili solo se richiesto per supportare computer che non possono utilizzare le combinazioni di algoritmi più avanzate.

Per aggiungere una combinazione di algoritmi all'elenco, fare clic su Aggiungi. Per modificare una combinazione di algoritmi già nell'elenco, selezionarla e quindi fare clic su Modifica. Per rimuovere una combinazione di algoritmi dall'elenco, selezionarla e quindi fare clic su Rimuovi. Per ulteriori informazioni, vedere Finestra di dialogo: Aggiungi o modifica algoritmi di integrità e crittografia.

Ulteriori riferimenti

  • Interfaccia utente: Windows Firewall con sicurezza avanzata

  • Finestra di dialogo: Aggiungi o modifica algoritmi di integrità


Finestra di dialogo: Personalizza impostazioni ICMP

Utilizzare questa finestra di dialogo quando si crea o si modifica una regola firewall per configurare i criteri in base a Internet Control Message Protocol (ICMP).

Come accedere a questa finestra di dialogo

  • Quando si crea una nuova regola firewall utilizzando la procedura guidata, eseguire la procedura seguente:

    1. Nella pagina Tipo di regola fare clic su Personalizzato.

    2. Nella pagina Protocollo e porte in Tipo di protocollo selezionare ICMPv4 o ICMPv6.

    3. Fare clic su Personalizza.

  • Quando si modifica una regola firewall esistente utilizzando la finestra di dialogo Proprietà regole firewall, eseguire la procedura seguente:

    1. Fare clic sulla scheda Protocolli e porte.

    2. In Tipo di protocollo selezionare ICMPv4 o ICMPv6.

    3. Fare clic su Personalizza.

Tutti i tipi ICMP

Selezionare questa opzione per specificare che qualsiasi messaggio che utilizza ICMP soddisfa la regola.

Tipi ICMP specifici

Selezionare questa opzione per selezionare uno o più tipi di messaggi ICMP. Selezionare i tipi di messaggio a cui si desidera applicare la regola.

Tipo ICMP

Utilizzare questa opzione per specificare un tipo di messaggio ICMP non disponibile in Tipi ICMP specifici. Questa opzione è attivata solo se si seleziona Tipi ICMP specifici. Fare clic su Aggiungi per aggiungere il tipo all'elenco.

Tipo

Numero correlato a un tipo di messaggio ICMP. 3, ad esempio, è il numero relativo al messaggio "Destinazione non raggiungibile". Il tipo del messaggio è un numero intero compreso tra 0 e 255.

Codice

Numero correlato a un codice di un tipo di messaggio ICMP. Questi codici sono dettagli utili per la risoluzione dei problemi e la comprensione delle circostanze che hanno dato origine all'invio del messaggio. Uno stesso codice può avere significati diversi a seconda del tipo di messaggio. 3, ad esempio, è il codice che indica una porta non raggiungibile per il messaggio "Destinazione non raggiungibile", ma è anche il codice che indica il reindirizzamento del datagramma per il tipo di servizio e host per il tipo di messaggio "Reindirizzamento".

Il codice può essere un numero intero compreso tra 0 e 255 oppure il valore Qualsiasi.

Combinando il tipo e il codice di un messaggio, è possibile specificare criteri molto dettagliati per l'eccezione. Questa operazione può essere utile quando è necessario assicurarsi che i messaggi ICMP passino attraverso Windows Firewall con sicurezza avanzata per la risoluzione dei problemi remota e che gli altri messaggi ICMP vengano bloccati.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza tipi di interfaccia

Utilizzare questa finestra di dialogo per specificare a quali tipi di interfaccia viene applicata la regola. È possibile specificare la rete locale (LAN), ovvero schede di rete cablata, schede di rete wireless, connessioni di accesso remoto o tutti i tipi di connessione di rete.

Per accedere a questa finestra di dialogo

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare doppio clic sulla regola firewall che si desidera modificare e quindi fare clic sulla scheda Avanzate.

  2. In Tipi di interfaccia fare clic su Personalizza.

Tutti i tipi di interfaccia

La regola verrà applicata alle comunicazioni inviate attraverso qualsiasi connessione di rete configurata nel computer.

Questi tipi di interfaccia

La regola verrà applicata alle comunicazioni inviate attraverso i tipi di connessione di rete selezionati nella casella. È possibile selezionare un tipo o una combinazione di tipi.

LAN

La regola verrà applicata solo alle comunicazioni inviate attraverso le connessioni di rete locale cablata (LAN) configurate nel computer.

Accesso remoto

La regola verrà applicata solo alle comunicazioni inviate attraverso l'accesso remoto, ad esempio una connessione di rete privata virtuale (VPN) o connessioni remote configurate nel computer.

Wireless

La regola verrà applicata solo alle comunicazioni inviate attraverso schede di rete wireless configurate nel computer.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni IPSec

Utilizzare questa finestra di dialogo per configurare le impostazioni di scambio chiavi in modalità principale e di protezione dei dati in modalità rapida Internet Protocol Security (IPsec) utilizzate per tutte le negoziazioni IPsec. È inoltre possibile configurare le impostazioni di autenticazione predefinite utilizzate ogni volta che una regola di sicurezza della connessione utilizza le impostazioni Predefinite.

Importante
  • Se si configura Windows Firewall con sicurezza avanzata nel computer locale e si seleziona Predefinite per una qualsiasi delle impostazioni, qualsiasi oggetto Criteri di gruppo applicato al computer può specificare le impostazioni.
  • Se si configura un oggetto Criteri di gruppo e si seleziona Predefinite per una qualsiasi delle impostazioni, qualsiasi Oggetto Criteri di gruppo con precedenza maggiore applicabile al computer può specificare le impostazioni.
Per accedere a questa finestra di dialogo

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Impostazioni predefinite IPSec fare clic su Personalizza.

Scambio di chiavi (modalità principale)

Le impostazioni di scambio chiavi selezionate sono applicabili a tutte le regole di sicurezza della connessione. Per assicurare una comunicazione corretta e sicura, IPsec esegue un'operazione in due fasi per stabilire una connessione sicura tra i due computer. In entrambe le fasi la riservatezza e l'autenticazione sono garantite dall'utilizzo di algoritmi di integrità, crittografia e autenticazione concordati dai due computer durante le negoziazioni della sicurezza. La suddivisione delle attività nelle due fasi consente di creare le chiavi in modo rapido.

Durante la prima fase, i due computer stabiliscono un canale sicuro e autenticato denominato associazione di sicurezza in modalità principale. L'associazione di sicurezza in modalità principale viene quindi utilizzata durante la seconda fase per consentire la negoziazione sicura dell'associazione di sicurezza in modalità rapida. L'associazione di sicurezza in modalità rapida specifica le impostazioni di protezione per la corrispondenza dei dati TCP/IP trasferiti tra i due computer.

Predefinite

Selezionare questa opzione per utilizzare le impostazioni di scambio chiavi installate per impostazione predefinita o configurate come predefinite tramite Criteri di gruppo. Questa impostazione viene utilizzata per tutti gli scambi di chiavi. Per ulteriori informazioni, vedere Impostazioni predefinite di Windows Firewall con sicurezza avanzata.

Avanzate

Selezionare questa opzione per specificare le impostazioni di scambio chiavi da applicare a tutti gli scambi di chiavi. Questa impostazione ha la priorità sulle impostazioni predefinite installate. Dopo avere selezionato questa opzione, fare clic su Personalizza e utilizzare la finestra di dialogo Personalizza impostazioni avanzate scambio chiavi per selezionare le impostazioni da utilizzare.

Protezione dati (modalità rapida)

Le impostazioni di protezione dei dati selezionate sono applicabili a tutte le regole di sicurezza della connessione create utilizzando lo snap-in MCC Windows Firewall con sicurezza avanzata. Per creare una regola di sicurezza della connessione con impostazioni di protezione dei dati personalizzate, è necessario creare la regola utilizzando il contesto netsh advfirewall consec. Per ulteriori informazioni, vedere l'argomento relativo ai comandi Netsh per Windows Firewall con sicurezza avanzata all'indirizzo http://go.microsoft.com/fwlink/?linkid=111237.

Predefinite

Selezionare questa opzione per utilizzare le impostazioni di integrità e crittografia dei dati installate per impostazione predefinita o configurate come predefinite tramite Criteri di gruppo. Per ulteriori informazioni, vedere Impostazioni predefinite di Windows Firewall con sicurezza avanzata.

Avanzate

Utilizzare questa opzione per specificare le impostazioni di integrità e crittografia dei dati disponibili per la negoziazione dell'associazione di sicurezza in modalità rapida. Questa impostazione ha la priorità sulle impostazioni predefinite installate. Dopo avere selezionato questa opzione, fare clic su Personalizza e utilizzare la finestra di dialogo Personalizza impostazioni di protezione dati per selezionare le impostazioni di protezione dei dati da utilizzare.

Metodo di autenticazione

Le impostazioni del metodo di autenticazione selezionate sono applicabili unicamente alle regole di sicurezza della connessione per cui è stato selezionato il metodo di autenticazione Predefinito.

Predefinito

Selezionare questa opzione per utilizzare le impostazioni di autenticazione installate per impostazione predefinita o configurate come predefinite tramite Criteri di gruppo. Per ulteriori informazioni, vedere Impostazioni predefinite di Windows Firewall con sicurezza avanzata.

Computer e utente (Kerberos V5)

Selezionare questa opzione per utilizzare l'autenticazione computer e utente con il protocollo Kerberos versione 5. L'utilizzo di questa opzione equivale a fare clic su Avanzate, Computer (Kerberos V5) per la prima autenticazione e su Utente (Kerberos V5) per la seconda autenticazione e a deselezionare sia Prima autenticazione facoltativa sia Seconda autenticazione facoltativa.

Computer (Kerberos V5)

Selezionare questa opzione per utilizzare l'autenticazione computer con il protocollo Kerberos versione 5. L'utilizzo di questa opzione equivale a fare clic su Avanzate, Computer (Kerberos V5) per la prima autenticazione e a selezionare Seconda autenticazione facoltativa.

Utente (Kerberos V5)

Selezionare questa opzione per utilizzare l'autenticazione utente con il protocollo Kerberos versione 5. L'utilizzo di questa opzione equivale a fare clic su Avanzate, Utente (Kerberos V5) per la seconda autenticazione e a selezionare Prima autenticazione facoltativa.

Avanzate

È possibile utilizzare questa opzione per creare un metodo specifico per le proprie esigenze. Se si seleziona questa opzione, è necessario fare clic su Personalizza per utilizzare la finestra di dialogo Personalizza metodi di autenticazione avanzata per specificare i metodi di autenticazione da utilizzare.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza autorizzazioni tunnel IPsec

Utilizzare queste impostazioni per specificare quali utenti o computer sono autorizzati ad avviare una connessione con tunnel al computer locale. Queste impostazioni si applicano solo alle connessioni in entrata. Le connessioni con tunnel avviate dal computer locale non sono soggette a queste impostazioni di autorizzazione.

Nota

Queste impostazioni si applicano esclusivamente alle regole della modalità tunnel per cui l'opzione Applica autorizzazione è attivata nella finestra di dialogo Personalizza impostazioni tunneling IPsec.

Per accedere a questa finestra di dialogo

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata in Panoramica fare clic su Proprietà Windows Firewall.

  2. Fare clic sulla scheda Impostazioni IPsec.

  3. In Autorizzazione tunnel IPsec fare clic su Avanzate e quindi su Personalizza.

Scheda Computer

Utilizzare questa scheda per identificare i computer o i gruppi di computer autorizzati a creare connessioni in modalità tunnel al computer locale.

Computer autorizzati

Consenti solo le connessioni dai computer seguenti

Selezionare questa opzione per specificare quali computer possono creare una connessione in modalità tunnel al computer locale.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Selettore oggetti Active Directory .

Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o il gruppo desiderato e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account computer o di gruppo a cui sono negate le autorizzazioni di creazione di connessioni in modalità tunnel al computer locale. Se un computer che tenta di eseguire una connessione è elencato in entrambe le caselle Computer autorizzati ed Eccezioni, direttamente o come membro di un gruppo, l'eccezione avrà la priorità e la connessione verrà bloccata.

Non consentire connessioni da questi computer

Selezionare questa opzione per specificare a quali computer non è consentita la creazione di una connessione in modalità tunnel a questo computer.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account computer o di gruppo nella finestra di dialogo Selettore oggetti Active Directory .

Per rimuovere un computer o un gruppo dall'elenco, selezionare il computer o il gruppo desiderato e fare clic su Rimuovi.

Scheda Utenti

Utilizzare questa scheda per identificare gli utenti o i gruppi di utenti autorizzati a creare connessioni in modalità tunnel al computer locale.

Utenti autorizzati

Consenti solo le connessioni dagli utenti seguenti

Selezionare questa opzione per specificare quali utenti possono creare una connessione in modalità tunnel a questo computer.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account utente o di gruppo nella finestra di dialogo Selettore oggetti Active Directory .

Per rimuovere un utente o un gruppo dall'elenco, selezionare tale utente o gruppo e fare clic su Rimuovi.

Eccezioni

Utilizzare questa sezione per identificare gli account utente o di gruppo a cui sono negate le autorizzazioni di creazione di connessioni in modalità tunnel al computer locale. Se un utente che tenta di eseguire una connessione è elencato in entrambe le caselle Utenti autorizzati ed Eccezioni, direttamente o come membro di un gruppo, l'eccezione avrà la priorità e la connessione verrà bloccata.

Non consentire connessioni da questi computer

Selezionare questa opzione per specificare a quali utenti non è consentita la creazione di una connessione in modalità tunnel a questo computer.

Se si seleziona la casella di controllo, verrà attivato Aggiungi. Fare clic su Aggiungi e quindi specificare gli account utente o di gruppo nella finestra di dialogo Selettore oggetti Active Directory .

Per rimuovere un utente o un gruppo dall'elenco, selezionare tale utente o gruppo e fare clic su Rimuovi.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni tunneling IPSec

Utilizzare questa finestra di dialogo per configurare una regola di sicurezza della connessione in modo che utilizzi la modalità tunnel anziché la modalità trasporto.

Per accedere a questa finestra di dialogo

  1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata selezionare Regole di sicurezza della connessione.

  2. Fare doppio clic sulla regola di tunneling che si desidera modificare.

  3. Fare clic sulla scheda Avanzate e quindi fare clic su Personalizza in Tunneling IPsec.

Usa tunneling IPsec

Selezionare questa opzione per specificare che il traffico di rete che soddisfa questa regola passi dall'endpoint 1 all'endpoint 2 attraverso un tunnel Internet Protocol Security (IPsec). Selezionando questa opzione si attiva il resto dei controlli di questa finestra di dialogo.

Applica autorizzazione

Selezionare questa opzione per specificare che il computer o l'utente nell'endpoint 1 deve eseguire l'autenticazione con l'endpoint del tunnel locale prima che sia possibile inviare qualsiasi pacchetto attraverso il tunnel. Per specificare i computer o gli utenti autorizzati a inviare traffico attraverso il tunnel, eseguire la procedura seguente:

Per specificare gli utenti e i computer autorizzati all'invio di traffico di rete attraverso il tunnel

  1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata selezionare Windows Firewall con sicurezza avanzata.

  2. In Panoramica fare clic su Proprietà Windows Firewall.

  3. Fare clic sulla scheda Impostazioni IPsec.

  4. In Autorizzazione tunnel IPsec fare clic su Avanzate e quindi su Personalizza.

  5. Aggiungere utenti e computer agli elenchi, in base alla progettazione. Per ulteriori informazioni, vedere Finestra di dialogo: Personalizza autorizzazioni tunnel IPsec.

Accorda esenzione per connessioni protette IPsec

In alcuni casi un pacchetto di rete potrebbe soddisfare più regole di sicurezza della connessione. Se una delle regole stabilisce un tunnel IPsec, è possibile scegliere se utilizzare il tunnel o inviare il pacchetto all'esterno del tunnel protetto dall'altra regola. Selezionare l'opzione per specificare che il traffico di rete che soddisfa un'altra regola di sicurezza della connessione IPsec non passi attraverso il tunnel IPsec.

Endpoint del tunnel locale più vicino all'endpoint 1:

Utilizzare questa opzione per identificare il computer che termina il tunnel sull'estremità più vicina ai computer nell'endpoint 1. Fare clic su Modifica per immettere un indirizzo Internet Protocol versione 4 (IPv4), un indirizzo Internet Protocol versione 6 (IPv6) o entrambi.

Importante

È necessario che la versione IP specificata per gli indirizzi di un tunnel sia coerente. Se si specificano indirizzi IPv4, specificare tali indirizzi per entrambi gli endpoint del tunnel, endpoint 1 ed endpoint 2. È possibile specificare sia IPv4 sia IPv6, ma è necessario specificarli tutti e due per entrambi gli endpoint del tunnel, endpoint 1 ed endpoint 2.

Endpoint del tunnel remoto più vicino all'endpoint 2

Utilizzare questa opzione per identificare il computer che termina il tunnel all'estremità più vicina ai computer nell'endpoint 2. Fare clic su Modifica per immettere un indirizzo IPv4, un indirizzo IPv6 o entrambi.

Importante

È necessario che la versione IP specificata per gli indirizzi di un tunnel sia coerente. Se si specificano indirizzi IPv4, specificare tali indirizzi per entrambi gli endpoint del tunnel, endpoint 1 ed endpoint 2. È possibile specificare sia IPv4 sia IPv6, ma è necessario specificarli tutti e due per entrambi gli endpoint del tunnel, endpoint 1 ed endpoint 2.

Per informazioni sul tunneling IPsec, vedere la Procedura guidata per la creazione di una nuova regola di sicurezza della connessione: pagina Tipo di tunnel.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni di registrazione per un profilo del firewall

Windows Firewall con sicurezza avanzata può essere configurato affinché vengano registrati gli eventi che indicano la riuscita o la mancata esecuzione dei processi. Le impostazioni di registrazione sono suddivise in due gruppi: le impostazioni relative al file di registro vero e proprio e le impostazioni che determinano quali eventi verranno registrati nel file. Le impostazioni possono essere configurate separatamente per ogni profilo del firewall.

È possibile specificare il percorso in cui verrà creato il file di registro, impostare le dimensioni massime consentite per il file e indicare se devono essere registrate le informazioni relative ai pacchetti ignorati, alle connessioni riuscite o a entrambi i tipi di evento.

Per accedere a questa finestra di dialogo

  1. Dallo snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica, fare clic su Proprietà Windows Firewall.

  2. Selezionare la scheda corrispondente al profilo del firewall per cui si desidera configurare la registrazione.

  3. In Registrazione fare clic su Personalizza.

Nome

Immettere il percorso e il nome del file in cui si desidera che Windows Firewall scriva le informazioni di registro. Se si configura un oggetto Criteri di gruppo per la distribuzione in più computer, utilizzare le variabili di ambiente disponibili, ad esempio %windir%, per assicurare che il percorso sia corretto per ogni computer della rete.

Non è sufficiente specificare un percorso file per avviare la registrazione. È inoltre necessario selezionare una delle caselle di controllo per registrare i pacchetti ignorati o le connessioni riuscite.

Importante

Se si configura l'impostazione per un computer su cui è in esecuzione Microsoft Windows Vista o una versione successiva di Windows e si specifica un percorso diverso da quello predefinito, è necessario assicurarsi che il servizio Windows Firewall disponga delle autorizzazioni per la scrittura in tale percorso.

Per concedere autorizzazioni di scrittura per la cartella dei file di registro al servizio Windows Firewall

  1. Individuare la cartella specificata per il file di registro, fare clic con il pulsante destro del mouse su di essa e quindi scegliere Proprietà.

  2. Fare clic sulla scheda Sicurezza e quindi fare clic su Modifica.

  3. In Immettere i nomi degli oggetti da selezionare fare clic su Aggiungi, digitare NT SERVICE\mpssvc e quindi fare clic su OK.

  4. Nella finestra di dialogo Autorizzazioni verificare che MpsSvc disponga dell'accesso in Scrittura e quindi fare clic su OK.

Limite dimensione

Specificare le dimensioni massime consentite per il file. Il valore deve essere compreso tra 1 e 32.767 kilobyte (KB).

Quando viene raggiunto il limite dimensione specificato, Windows Firewall con sicurezza avanzata chiude il file di registro e lo rinomina aggiungendo ".old" alla fine del nome di file, dopodiché crea e utilizza un nuovo file di registro con il nome del file di registro originale. Vengono mantenuti contemporaneamente solo due file. Se il secondo file raggiunge la dimensione massima consentita, viene rinominato con l'aggiunta di “.old” e il file “.old” originale viene eliminato.

Registra pacchetti ignorati

Utilizzare questa opzione per registrare i pacchetti in entrata eliminati da Windows Firewall con sicurezza avanzata per qualsiasi motivo. Viene registrato perché e quando il pacchetto è stato ignorato. Cercare le voci con la voce DROP nella colonna action del registro.

Registra connessioni riuscite

Utilizzare questa opzione per registrare quando Windows Firewall con sicurezza avanzata consente la connessione in entrata. Viene registrato perché e quando la connessione viene formata. Cercare le voci con la voce ALLOW nella colonna action del registro.

Registro eventi

Il registro eventi operativo di Windows Firewall con sicurezza avanzata è un'altra risorsa che è possibile utilizzare per visualizzare le modifiche ai criteri di Windows Firewall. Il registro operativo è sempre attivo e contiene gli eventi relativi alle regole firewall e alle regole di sicurezza della connessione.

Per visualizzare il registro eventi di Windows Firewall con sicurezza avanzata

  1. Aprire Visualizzatore eventi. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Visualizzatore eventi.

  2. Nel riquadro di spostamento espandere Registri applicazioni e servizi, Microsoft, Windows e quindi Windows Firewall con sicurezza avanzata.

  3. Fare clic su ConnectionSecurity, ConnectionSecurityVerbose, Firewall o su FirewallVerbose. Per impostazione predefinita, i registri contrassegnati come “verbose” (modalità dettagliata) non sono attivati. Per attivarli, in Azioni fare clic su Attiva registro.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza connessioni di rete protette per un profilo del firewall

Utilizzare questa finestra di dialogo per configurare le connessioni di rete protette dalle regole associate a un profilo di rete specificato.

Per accedere a questa finestra di dialogo

  1. Nello snap-in MMC Windows Firewall con sicurezza avanzata in Panoramica fare clic su Proprietà Windows Firewall.

  2. Selezionare la scheda corrispondente al profilo del firewall che si desidera configurare.

  3. In Stato fare clic su Personalizza accanto a Connessioni di rete protette.

L'elenco contiene le connessioni di rete attualmente configurate nel computer. Per impostazione predefinita, tutte le connessioni di rete sono selezionate e quindi protette.

Viene in genere visualizzata una connessione per ogni scheda di rete cablata, per ogni scheda di rete wireless e per ogni connessione di rete remota configurata, ad esempio VPN. Selezionare la casella accanto a ogni connessione che si desidera proteggere mediante le regole assegnate al profilo attualmente selezionato (scheda attualmente selezionata). Ogni voce viene visualizzata con il relativo nome descrittivo.

Se si deseleziona la casella di controllo, la connessione di rete non è soggetta alle regole del profilo corrente quando la connessione viene stabilita a una rete corrispondente al profilo.

Per ulteriori informazioni su una particolare connessione di rete, utilizzare Centro connessioni di rete e condivisione. Per aprire Centro connessioni di rete e condivisione, fare clic sul pulsante Start, scegliere Pannello di controllo, Rete e internet e quindi Centro connessioni di rete e condivisione. Per rinominare una connessione di rete, fare clic su Modifica impostazioni scheda, fare clic con il pulsante destro del mouse sulla scheda, scegliere Rinomina e quindi digitare un nome descrittivo per la connessione di rete. Centro connessioni di rete e condivisione consente inoltre di riclassificare una rete da pubblica a privata e viceversa. Non è possibile riclassificare una rete in un tipo o da un tipo di dominio.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni servizi

Utilizzare queste opzioni per configurare il modo in cui Windows Firewall con sicurezza avanzata risponde alle richieste di connessione da o ai servizi.

Per accedere a questa finestra di dialogo

  • Quando si crea una regola firewall utilizzando la procedura guidata per la creazione di una nuova regola firewall, eseguire la procedura seguente.

    1. Nella pagina Tipo di regola fare clic su Personalizzato.

    2. Nella pagina Programma accanto a Servizi fare clic su Personalizza.

  • Quando si modifica una regola firewall esistente, nella scheda Programmi e servizi fare clic su Personalizza.
Note
  • Nella stessa regola firewall è possibile specificare sia un programma sia un servizio. Affinché la regola sia applicabile alla connessione richiesta devono essere soddisfatte entrambe le condizioni.
  • Se si seleziona l'opzione Solo ai servizi, disporrà dell'accesso appropriato qualsiasi servizio eseguito con l'account LocalSystem o NetworkService. Quando si seleziona un'opzione in cui è possibile specificare uno o più servizi, l'accesso è consentito all'ID di sicurezza (SID) del servizio specificato.

A tutti i programmi e servizi

Utilizzare questa opzione per applicare la regola a tutti i processi nel programma specificato nella voce Programmi.

Solo ai servizi

Utilizzare questa opzione per applicare la regola solo ai servizi e non ad altri processi.

Applica al servizio

Selezionare nell'elenco il servizio a cui si desidera applicare la regola.

Al servizio con questo nome breve

Specificare il nome breve del servizio a cui si desidera applicare la regola. È possibile immettere qualsiasi nome breve, anche se non presente nell'elenco. I nomi brevi non digitati correttamente o che non indicano un servizio verranno ignorati. Questa opzione è utile quando si definisce una regola per un oggetto Criteri di gruppo e il servizio indicato nella regola non è installato o in esecuzione nel computer in cui si sta modificando la regola.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Personalizza impostazioni per un profilo del firewall

Utilizzare queste opzioni per definire chi è autorizzato ad apportare modifiche alle proprietà e ai profili di Windows Firewall.

Per accedere a questa finestra di dialogo

  1. Dalla pagina dello snap-in MMC Windows Firewall con sicurezza avanzata, in Panoramica, fare clic su Proprietà Windows Firewall.

  2. Selezionare la scheda corrispondente al profilo del firewall che si desidera configurare.

  3. In Impostazioni fare clic su Personalizza.

Visualizza notifica per il blocco di un programma

Selezionare questa opzione affinché Windows Firewall con sicurezza avanzata visualizzi una notifica quando viene bloccata la ricezione di connessioni in entrata da parte di un programma. La notifica viene visualizzata quando tutte le condizioni seguenti sono vere:

  • L'opzione è selezionata.

  • Non esiste alcuna regola esistente di blocco o consenso per il programma. Se è presente una regola di blocco, il programma viene bloccato senza visualizzare la notifica.

  • Il programma è bloccato dal comportamento predefinito di Windows Firewall.

All'utente viene offerta l'opzione di sbloccare il programma, purché disponga di autorizzazioni di operatore di rete o di amministratore. Selezionando l'opzione per sbloccare il programma automaticamente si crea una regola del programma in entrata per il programma bloccato.

Consenti risposta unicast a richieste multicast o broadcast

Utilizzare questa opzione per specificare se il computer in uso può ricevere risposte unicast ai relativi messaggi multicast o broadcast in uscita. Se si attiva questa impostazione e il computer in uso invia messaggi multicast o broadcast ad altri computer, Windows Firewall con sicurezza avanzata attenderà per un massimo di 4 secondi le risposte unicast provenienti dagli altri computer e quindi bloccherà tutte le risposte successive. Se si disattiva questa impostazione e il computer in uso invia un messaggio multicast o broadcast ad altri computer, Windows Firewall con sicurezza avanzata bloccherà le risposte unicast inviate da tali computer.

Unione regole

Utilizzare queste opzioni quando si utilizza Criteri di gruppo per configurare regole firewall e di sicurezza della connessione nel computer locale. Disattivando tutte le opzioni si impedisce a un utente locale con autorizzazioni di operatore di rete o di amministratore di creare regole firewall o di sicurezza della connessione che possano entrare in conflitto con le regole distribuite da Criteri di gruppo.

Consenti regole firewall locale

Selezionare questa opzione se si desidera consentire agli amministratori di creare e applicare regole firewall nel computer locale, oltre alle regole firewall applicate da Criteri di gruppo specifiche del computer. Quado si deseleziona questa opzione, gli amministratori possono continuare a creare regole, ma le regole definite localmente non verranno applicate. Questa impostazione è disponibile solo se si configura il criterio utilizzando Criteri di gruppo.

Applica regole di sicurezza di connessioni locali

Selezionare questa opzione se si desidera consentire agli amministratori di creare e applicare regole di sicurezza della connessione locali in questo computer, oltre alle regole di sicurezza di connessione applicate da Criteri di gruppo specifiche del computer. Quando si deseleziona questa opzione, gli amministratori possono continuare a creare regole, ma le regole definite localmente non verranno applicate. Questa impostazione è disponibile solo se si configura il criterio utilizzando Criteri di gruppo.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Aggiungi o modifica primo metodo di autenticazione

Utilizzare queste impostazioni per specificare il modo in cui il computer peer viene autenticato. Il primo metodo di autenticazione viene eseguito durante la fase in modalità principale delle negoziazioni Internet Protocol Security (IPsec).

È possibile specificare più metodi da utilizzare per la prima autenticazione. I metodi verranno tentati nell'ordine specificato e verrà utilizzato il primo metodo con esito positivo.

Per ulteriori informazioni sui metodi di autenticazione disponibili in questa finestra di dialogo, vedere la pagina relativa agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?linkid=129230.

Per accedere a questa finestra di dialogo

  • Quando si modificano le impostazioni predefinite a livello di sistema:

    1. Nello snap-in MMC Windows Firewall con sicurezza avanzata in Panoramica fare clic su Proprietà Windows Firewall.

    2. Fare clic sulla scheda Impostazioni IPsec e quindi fare clic su Personalizza in Impostazioni predefinite IPSec.

    3. In Metodo di autenticazione fare clic su Avanzate e quindi su Personalizza.

    4. In Prima autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

  • Quando si crea una nuova regola di sicurezza della connessione:

    1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

    2. Nella pagina Tipo di regola selezionare qualsiasi tipo ad eccezione di Esenzione da autenticazione.

    3. Nella pagina Metodo di autenticazione fare clic su Avanzate e quindi su Personalizza.

    4. In Prima autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

  • Quando si modifica una regola di sicurezza della connessione esistente:

    1. Nello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

    2. Fare doppio clic sulla regola di sicurezza della connessione che si desidera modificare.

    3. Fare clic sulla scheda Autenticazione.

    4. In Metodo fare clic su Avanzate e quindi su Personalizza.

    5. In Prima autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

Computer (Kerberos V5)

È possibile utilizzare questo metodo per autenticare i computer peer che presentano account computer nello stesso dominio o in domini distinti tra cui esiste una relazione di trust.

Computer (NTLMv2)

NTLMv2 è un'alternativa per l'autenticazione di computer peer che presentano account computer nello stesso dominio o in domini distinti tra cui esiste una relazione di trust.

Certificato computer dalla seguente autorità di certificazione (CA)

Utilizzare un certificato di chiave pubblica nei casi in cui sono incluse comunicazioni tra partner aziendali esterne o computer su cui non è in esecuzione il protocollo di autenticazione Kerberos versione 5. Questa opzione richiede che almeno un'autorità CA radice attendibile sia configurata nella rete o accessibile tramite la rete e che i computer client dispongano di un certificato computer associato.

Algoritmo di firma

Specificare l'algoritmo di firma utilizzato per proteggere con crittografia il certificato.

RSA (impostazione predefinita)

Selezionare questa opzione se il certificato è firmato utilizzando l'algoritmo di crittografia di chiave pubblica RSA.

ECDSA-P256

Selezionare questa opzione se il certificato è firmato mediante Elliptic Curve Digital Signature Algorithm (ECDSA) con forza della chiave a 256 bit.

ECDSA-P384

Selezionare questa opzione se il certificato è firmato mediante ECDSA con forza della chiave a 384 bit.

Tipo dell'archivio certificati

Specificare il tipo di certificato identificando l'archivio in cui il certificato è contenuto.

CA radice (impostazione predefinita)

Selezionare questa opzione se il certificato è stato emesso da una CA radice ed è archiviato nell'archivio certificati Autorità di certificazione radice attendibili.

CA intermedia

Selezionare questa opzione se il certificato è stato emesso da una CA intermedia ed è archiviato nell'archivio certificati Autorità di certificazione intermedie.

Consenti solo certificati di integrità

Questa opzione limita l'uso dei certificati computer a quelli contrassegnati come certificati di integrità. I certificati di integrità sono pubblicati da una CA in supporto di una distribuzione Protezione accesso alla rete. Protezione accesso alla rete consente di definire e applicare criteri di integrità in modo che i computer non conformi ai criteri di rete, ad esempio computer senza software antivirus o privi degli ultimi aggiornamenti del software, abbiano meno possibilità di accedere alla rete. Per implementare Protezione accesso alla rete, è necessario configurare le relative impostazioni sia sul server sia sul client. Lo snap-in di gestione del client Protezione accesso alla rete, disponibile in Microsoft Management Console (MMC), consente di configurare le impostazioni di Protezione accesso alla rete nei computer client. Per ulteriori informazioni, vedere la Guida dello snap-in MMC Protezione accesso alla rete. Per poter utilizzare questo metodo, è necessario aver impostato nel dominio un server Protezione accesso alla rete.

Abilita mapping certificato-account

Quando si attiva il mapping certificato-account IPsec, i protocolli Internet Key Exchange (IKE) e Authenticated IP (AuthIP) associano (eseguono il mapping) un certificato computer a un account computer in un dominio Active Directory o in una foresta e quindi recuperano un token di accesso che include l'elenco di gruppi di sicurezza computer. Questo processo assicura che il certificato offerto dal peer IPsec corrisponda a un account computer attivo nel dominio e che il certificato sia quello che deve essere utilizzato da tale computer.

È possibile utilizzare il mapping certificato-account esclusivamente per gli account computer che appartengono alla stessa foresta del computer che esegue il mapping. In questo modo viene offerta un'autenticazione molto più efficace rispetto alla semplice accettazione di qualsiasi catena di certificati valida. Ad esempio, è possibile utilizzare questa funzionalità per limitare l'accesso ai computer della stessa foresta. Il mapping certificato-account non assicura tuttavia che sia consentito l'accesso IPsec a uno specifico computer trusted.

Il mapping certificato-account è particolarmente utile se i certificati provengono da un'infrastruttura a chiave pubblica (PKI) non integrata nella distribuzione Servizi di dominio Active Directory, ad esempio se partner aziendali ottengono i loro certificati da provider diversi da Microsoft. È possibile configurare il metodo di autenticazione dei criteri IPsec in modo che venga eseguito il mapping dei certificati a un account computer di dominio per una CA radice specifica. È anche possibile eseguire il mapping di tutti i certificati da una CA di rilascio a un account computer. In questo modo è possibile utilizzare l'autenticazione dei certificati IKE per limitare le foreste a cui è consentito l'accesso IPsec in un ambiente in cui sono presenti molte foreste e ognuna esegue la registrazione automatica in una singola CA radice interna. Se il processo di mapping certificato-account non viene completato correttamente, l'autenticazione avrà esito negativo e le connessioni protette da IPsec verranno bloccate.

Chiave già condivisa (opzione sconsigliata)

È possibile utilizzare le chiavi già condivise per l'autenticazione. Si tratta di una chiave privata condivisa, stabilita in precedenza di comune accordo tra due utenti. Entrambe le parti devono configurare manualmente IPSec per utilizzare questa chiave già condivisa. Durante la negoziazione della sicurezza, le informazioni vengono crittografate tramite la chiave condivisa prima della trasmissione e decrittografate tramite la stessa chiave nel lato di ricezione. Se il destinatario è in grado di decrittografare le informazioni, le identità verranno considerate come autenticate.

Attenzione
  • Ai fini dell'interoperabilità e della conformità agli standard IPSec, sono disponibili metodologie per le chiavi già condivise. Le chiavi già condivise dovrebbero essere utilizzate solo a scopo di testing. L'esecuzione di frequenti autenticazioni con chiave già condivisa non è consigliabile, perché la chiave è archiviata in uno stato non protetto nei criteri IPSec.
  • Se si utilizza una chiave già condivisa per l'autenticazione in modalità principale, non sarà possibile utilizzare la seconda autenticazione.

Vedere anche

  • Interfaccia utente: Windows Firewall con sicurezza avanzata


Finestra di dialogo: Aggiungi o modifica secondo metodo di autenticazione

Utilizzare queste impostazioni per specificare il modo in cui viene autenticato l'account utente sul computer peer. È inoltre possibile specificare se si desidera che il computer disponga di un certificato di integrità. Il secondo metodo di autenticazione è eseguito da Authenticated IP (AuthIP) in una modalità estesa della fase in modalità principale delle negoziazioni Internet Protocol Security (IPsec).

È possibile specificare più metodi da utilizzare per questa autenticazione. I metodi verranno tentati nell'ordine specificato e verrà utilizzato il primo metodo con esito positivo.

Per ulteriori informazioni sui metodi di autenticazione disponibili in questa finestra di dialogo, vedere la pagina relativa agli algoritmi IPsec e ai metodi supportati in Windows all'indirizzo http://go.microsoft.com/fwlink/?linkid=129230.

Per accedere a questa finestra di dialogo

  • Quando si modificano le impostazioni predefinite a livello di sistema:

    1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Windows Firewall con sicurezza avanzata e quindi in Panoramica fare clic su Proprietà Windows Firewall.

    2. Fare clic sulla scheda Impostazioni IPsec e quindi fare clic su Personalizza in Impostazioni predefinite IPSec.

    3. In Metodo di autenticazione fare clic su Avanzate e quindi su Personalizza.

    4. In Seconda autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

  • Quando si crea una nuova regola di sicurezza della connessione:

    1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic con il pulsante destro del mouse su Regole di sicurezza delle connessioni e quindi scegliere Nuova regola.

    2. Nella pagina Tipo di regola selezionare qualsiasi tipo ad eccezione di Esenzione da autenticazione.

    3. Nella pagina Metodo di autenticazione fare clic su Avanzate e quindi su Personalizza.

    4. In Seconda autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

  • Quando si modifica una regola di sicurezza esistente:

    1. Nel riquadro di spostamento dello snap-in MMC Windows Firewall con sicurezza avanzata fare clic su Regole di sicurezza delle connessioni.

    2. Fare doppio clic sulla regola di sicurezza della connessione che si desidera modificare.

    3. Fare clic sulla scheda Autenticazione.

    4. In Metodo fare clic su Avanzate e quindi su Personalizza.

    5. In Seconda autenticazione selezionare un metodo e quindi fare clic su Modifica o Aggiungi.

Utente (Kerberos V5)

È possibile utilizzare questo metodo per autenticare un utente connesso a un computer remoto appartenente allo stesso dominio o presente in un dominio separato con cui esiste una relazione di trust. L'utente connesso deve disporre di un account di dominio e il computer deve essere un membro di un dominio nella stessa foresta.

Utente (NTLMv2)

NTLMv2 costituisce un'alternativa per l'autenticazione di un utente connesso a un computer remoto che fa parte dello stesso dominio o di un dominio che presenta una relazione di trust con il dominio del computer locale. L'account utente e il computer devono essere membri di domini che fanno parte della stessa foresta.

Certificato utente

Utilizzare un certificato di chiave pubblica nei casi in cui sono incluse comunicazioni tra partner aziendali esterne o computer su cui non è in esecuzione il protocollo di autenticazione Kerberos versione 5. Questa opzione richiede che almeno un'autorità di certificazione (CA, Certification Authority) radice attendibile sia configurata nella rete o accessibile tramite la rete e che i computer client dispongano di un certificato computer associato. Questo metodo è utile se gli utenti non fanno parte dello stesso dominio o fanno parte di domini distinti senza una relazione di trust bidirezionale e non è possibile utilizzare Kerberos versione 5.

Algoritmo di firma

Specificare l'algoritmo di firma utilizzato per proteggere con crittografia il certificato.

RSA (impostazione predefinita)

Selezionare questa opzione se il certificato è firmato utilizzando l'algoritmo di crittografia di chiave pubblica RSA.

ECDSA-P256

Selezionare questa opzione se il certificato è firmato mediante Elliptic Curve Digital Signature Algorithm (ECDSA) con forza della chiave a 256 bit.

ECDSA-P384

Selezionare questa opzione se il certificato è firmato mediante ECDSA con forza della chiave a 256 bit.

Tipo dell'archivio certificati

Specificare il tipo di certificato identificando l'archivio in cui il certificato è contenuto.

CA radice (impostazione predefinita)

Selezionare questa opzione se il certificato è stato emesso da una CA radice ed è archiviato nell'archivio certificati Autorità di certificazione radice attendibili.

CA intermedia

Selezionare questa opzione se il certificato è stato emesso da una CA intermedia ed è archiviato nell'archivio certificati Autorità di certificazione intermedie.

Abilita mapping certificato-account

Quando si attiva il mapping certificato-account IPsec, i protocolli Internet Key Exchange (IKE) e AuthIP associano (eseguono il mapping) un certificato utente a un account utente in un dominio Active Directory o in una foresta e quindi recuperano un token di accesso che include l'elenco di gruppi di sicurezza utente. Questo processo assicura che il certificato offerto dal peer IPsec corrisponda a un account utente attivo nel dominio e che il certificato sia quello che deve essere utilizzato da tale utente.

È possibile utilizzare il mapping certificato-account esclusivamente per gli account utente che appartengono alla stessa foresta del computer che esegue il mapping. In questo modo viene offerta un'autenticazione molto più efficace rispetto alla semplice accettazione di qualsiasi catena di certificati valida. Ad esempio, è possibile utilizzare questa funzionalità per limitare l'accesso agli utenti della stessa foresta. Il mapping certificato-account non assicura tuttavia che sia consentito l'accesso IPsec a uno specifico utente trusted.

Il mapping certificato-account è particolarmente utile se i certificati provengono da un'infrastruttura a chiave pubblica (PKI) non integrata nella distribuzione Servizi di dominio Active Directory, ad esempio se partner aziendali ottengono i loro certificati da provider diversi da Microsoft. È possibile configurare il metodo di autenticazione dei criteri IPsec in modo che venga eseguito il mapping dei certificati a un account utente di dominio per una CA radice specifica. È inoltre possibile eseguire il mapping di tutti i certificati da una CA di rilascio a un account utente. In questo modo è possibile utilizzare l'autenticazione dei certificati per limitare le foreste a cui è consentito l'accesso IPsec in un ambiente in cui sono presenti molte foreste e ognuna esegue la registrazione automatica in una singola CA radice interna. Se il processo di mapping certificato-account non viene completato correttamente, l'autenticazione avrà esito negativo e le connessioni protette da IPsec verranno bloccate.

Certificato di integrità computer

Utilizzare questa opzione per specificare che solo un computer che presenta un certificato rilasciato da una CA specificata e contrassegnato come certificato di integrità Protezione accesso alla rete può eseguire l'autenticazione utilizzando questa regola di sicurezza della connessione. Protezione accesso alla rete consente di definire e applicare criteri di integrità in modo che i computer non conformi ai criteri di rete, ad esempio computer senza software antivirus o privi degli ultimi aggiornamenti del software, abbiano meno possibilità di accedere alla rete. Per implementare Protezione accesso alla rete, è necessario configurare le relative impostazioni sia sul server sia sul client. Per ulteriori informazioni, vedere la Guida dello snap-in MMC Protezione accesso alla rete. Per poter utilizzare questo metodo, è necessario aver impostato nel dominio un server Protezione accesso alla rete.

Algoritmo di firma

Specificare l'algoritmo di firma utilizzato per proteggere con crittografia il certificato.

RSA (impostazione predefinita)

Selezionare questa opzione se il certificato è firmato utilizzando l'algoritmo di crittografia di chiave pubblica RSA.

ECDSA-P256

Selezionare questa opzione se il certificato è firmato mediante Elliptic Curve Digital Signature Algorithm (ECDSA) con forza della chiave a 256 bit.

ECDSA-P384

Selezionare questa opzione se il certificato è firmato mediante ECDSA con forza della chiave a 384 bit.

Tipo dell'archivio certificati

Specificare il tipo di certificato identificando l'archivio in cui il certificato è contenuto.

CA radice (impostazione predefinita)

Selezionare questa opzione se il certificato è stato emesso da una CA radice ed è archiviato nell'archivio certificati Autorità di certificazione radice attendibili.

CA intermedia

Selezionare questa opzione se il certificato è stato emesso da una CA intermedia ed è archiviato nell'archivio certificati Autorità di certificazione intermedie.

Abilita mapping certificato-account

Quando si attiva il mapping certificato-account IPsec, i protocolli IKE e AuthIP associano (eseguono il mapping) un certificato a un account utente o computer in un dominio Active Directory o in una foresta e quindi recuperano un token di accesso che include l'elenco di gruppi di sicurezza. Questo processo assicura che il certificato offerto dal peer IPsec corrisponda a un account computer o utente attivo nel dominio e che il certificato sia quello che deve essere utilizzato da tale account.

È possibile utilizzare il mapping certificato-account esclusivamente per gli account che appartengono alla stessa foresta del computer che esegue il mapping. In questo modo viene offerta un'autenticazione molto più efficace rispetto alla semplice accettazione di qualsiasi catena di certificati valida. Ad esempio, è possibile utilizzare questa funzionalità per limitare l'accesso agli account della stessa foresta. Il mapping certificato-account non assicura tuttavia che sia consentito l'accesso IPsec a uno specifico account trusted.

Il mapping certificato-account è particolarmente utile se i certificati provengono da un'infrastruttura PKI non integrata nella distribuzione Servizi di dominio Active Directory, ad esempio se partner aziendali ottengono i loro certificati da provider di certificati diversi da Microsoft. È possibile configurare il metodo di autenticazione dei criteri IPsec in modo che venga eseguito il mapping dei certificati a un account di dominio per una CA radice specifica. È anche possibile eseguire il mapping di tutti i certificati da una CA di rilascio a un account computer o utente. In questo modo è possibile utilizzare l'autenticazione dei certificati IKE per limitare le foreste a cui è consentito l'accesso IPsec in un ambiente in cui sono presenti molte foreste e ognuna esegue la registrazione automatica in una singola CA radice interna. Se il processo di mapping certificato-account non viene completato correttamente, l'autenticazione avrà esito negativo e le connessioni protette da IPsec verranno bloccate.

Ulteriori riferimenti

  • Interfaccia utente: Windows Firewall con sicurezza avanzata