2009-11-18 08:23

Märklig "feature" vid konfiguration av IPsec-regelverk i 2008 R2

När man konfigurerar GPO i 2008 R2 för att skapa brandväggsregler för IPsec-autentisering, tar inte inställningen förrän man går in och editerar den färdiga regeln.

Säg till exempel att man vill skapa en regel som kräver IPsec autentisering som Domain Admin för att få fjärradministrera servrar:

Då går man in under Inbound rules -> new rule -> Predefined -> Remote administration -> Allow the connection if it is secure -> Only allow connections from these users-> kryssar i rutan "only allow connections from these users" -> add -> skriver in "Domain admins" -> next -> finish.

Går man sedan in och tittar på policyn under "allowed users" står det any - man har alltså precis skapat en regel som öppnar upp brandväggen för administration för vilken användare som helst. För att få till regeln korrekt, måste man alltså öppna varje enskild regel som precis lagts till och som mappar in under regelgruppen "remote administration" (det är tre stycken regler), välja "users", klicka i "only allow connections from these users" och sedan lägga in användaren eller gruppen igen - då tar inställningen.

Väldigt lätt att missa, med litet trista resultat...

Mårten Thomasson
Seniorkonsult