Source: https://technet.microsoft.com/es-es/library/cc179673.aspx
Timestamp: 2017-08-20 20:15:48+00:00

Document:
Systems Management Server 2003 Apéndice G: configuración de IPsec recomendada con SMS Escenarios y procedimientos de Microsoft Systems Management Server 2003: seguridad
Hay varios modos de implementar Internet Protocol Security (IPsec) en el entorno. IPsec permite mantener un alto nivel de control sobre la seguridad de las comunicaciones, aunque el coste en lo que respecta a configuración administrativa es igualmente superior. Como herramienta de administración, IPsec requiere conocimientos amplios sobre este sistema de seguridad y sobre redes TCP/IP. Para configurar, administrar y solucionar problemas relacionados con directivas IPsec de forma eficaz, debe tener conocimientos avanzados sobre redes IP y experiencia en la administración de servidores de seguridad, filtrado de enrutadores y uso de herramientas de red. Si desea obtener más información sobre la implementación de IPsec para asegurar servidores de red de empresas, consulte las notas del producto "Using Microsoft Windows IPSec to Help Secure an Internal Corporate Network Server", en el sitio Web del Centro de descargas de Microsoft, y acuda al Centro de ayuda y soporte técnico de Windows.
Grupo IPsec de SMS
Requisitos de seguridad IPsec
Configuración de IPsec para SMS
La suplantación de sistemas del sitio SMS puede poner en peligro la infraestructura de SMS. IPsec puede contribuir a la protección contra ataques en casos en que un sistema del sitio no autorizado suplanta a un sistema del sitio válido y utiliza la conexión de confianza para hacerse con el control de la base de datos de sistemas o del servidor del sitio. Esta amenaza puede mitigarse por medio de la configuración de comunicaciones IPsec entre la mayoría de los sistemas del sitio SMS. No deben incluirse todos los sistemas del sitio en el grupo IPsec de SMS.
El grupo IPsec de SMS es el grupo de sistemas del sitio SMS que se comunica mediante el uso de tráfico seguro de IPsec. Este grupo se usa para los propósitos de la discusión y no se pretende que las cuentas de dominio del servidor queden definidas en un grupo de seguridad de dominio o que residan necesariamente en la misma unidad organizativa. Una sola directiva IPsec se define y aplica a todos los servidores en el grupo IPsec de SMS. Los miembros del grupo IPsec de SMS deben incluir los equipos de sistemas del sitio SMS siguientes:
Servidor de sitio primario
Servidor de sitio secundario
Si su sitio es parte de una jerarquía, deberá incluir el servidor del sitio principal y cualquier servidor de sitio secundario en el grupo IPsec de SMS del sitio.
Punto de administración
En sitios secundarios con puntos de administración de proxy, incluya el servidor de base de datos del sitio SMS del sitio principal en el grupo IPsec de SMS del sitio.
Ejecute Microsoft SQL Server™ en el servidor del sitio SMS. Si ejecuta SQL Server en un equipo remoto, incluya este equipo como miembro en el grupo IPsec de SMS. Si tiene una base de datos del sitio SMS replicada, el equipo que ejecuta SQL Server debería ser parte del grupo IPsec de SMS.
Para obtener más información sobre las funciones de sistemas del sitio SMS, consulte el capítulo 2 sobre conocimientos de sitios SMS, incluido en la guía de conceptos, planeamiento e implementación de Microsoft Systems Management Server 2003.
No incluya las funciones de equipo siguientes en el grupo IPsec de SMS:
Puntos de distribución No incluya puntos de distribución a menos que el equipo en que está activada la función de punto de distribución ya esté incluido debido a alguna otra función del sistema del sitio. Los puntos de distribución no inician ningún tipo de contacto con el servidor del sitio, y el servidor del sitio se comunica con el punto de distribución únicamente para mantener paquetes SMS.
Controladores de dominio Tal como se indicó anteriormente en esta guía, instale funciones de sistemas del sitio en lugar de controladores de dominio en los servidores miembros. No se recomienda el uso de IPsec entre un controlador y un miembro de dominio.
La solución ofrecida en este apéndice hace referencia a los requisitos de seguridad siguientes:
Deben evitarse los ataques de resolución de nombres mediante el uso de archivos HOSTS y LMHOSTS en lugar de búsquedas DNS y WINS.
Solamente los miembros de confianza del grupo IPsec de SMS pueden autenticarse con IKE.
Todo el tráfico IP entre las direcciones IP de miembros del grupo IPsec de SMS debe asegurarse por medio de autenticación y cifrado seguro IPsec ESP.
No todo el tráfico IP entre miembros y no miembros del grupo IPsec de SMS requiere filtrado o encapsulación IPsec. No se requiere la protección por parte de IPsec contra ataques de red entrantes en puertos y protocolos de escucha en los sistemas del sitio SMS, incluido el servidor del sitio.
Si requiere protección de IPsec contra ataques de red entrantes de equipos que no forman parte del grupo IPsec de SMS, consulte las notas del producto “Using Microsoft Windows IPsec to Help Secure an Internal Corporate Network Server” sobre la implementación de IPsec para asegurar servidores de red de empresas en el sitio Web del Centro de descargas de Microsoft, y acuda al Centro de ayuda y soporte técnico de Windows.
Selección del método de autenticación
La autenticación es el proceso utilizado para garantizar la validez de la identidad de un principal IPsec. Mediante la autenticación de principales, IPsec puede determinar la seguridad de la comunicación con otro equipo antes de que se inicie. IPsec lleva a cabo la autenticación de principales pero sólo requiere confianza mutua entre las identidades intercambiadas. No verifica si la identidad recibida está autorizada para usar una dirección IP particular.
Puede usar directivas IPsec y autenticación de IKE para restringir el acceso a la red a los equipos de confianza en el grupo IPsec de SMS. En la mayoría de los casos, una autenticación de IKE satisfactoria resulta en el permiso de acceso a la red para el equipo específico. IKE no toma en cuenta la identidad o la clave pública que se espera del principal. Por lo tanto, si la clave privada del certificado o la contraseña del dominio de un equipo no cuentan con la seguridad apropiada, un atacante podría utilizar el equipo para llevar a cabo una autenticación satisfactoria y conseguir el acceso a otro equipo protegido por IPsec o para realizar ataques de intermediario de confianza en la comunicación IPsec. Para asegurarse de que IPsec proporciona los controles de acceso a red adecuados, restrinja el acceso a los equipos IPsec de SMS mediante la limitación de los equipos que pueden autenticarse por IKE con la directiva IPsec de SMS. A continuación encontrará los métodos recomendados de autenticación para la directiva IPsec de SMS:
Cuando se usan certificados, la regla especifica un nombre de entidad emisora raíz. Cada equipo en el grupo IPsec de SMS necesita un certificado digital en el almacén del equipo que cuenta con una ruta de certificado hasta este nombre de entidad emisora raíz. No es necesario que sea una entidad emisora de Microsoft Windows® 2000 o Microsoft Windows Server™ 2003. Consulte la documentación de IPsec para detalles sobre tipos de certificados y asistencia con infraestructuras de claves públicas (PKI, Public-Key Infrastructure) ajenas a Microsoft. El entorno más seguro debe contar con una entidad emisora raíz desconectada dedicada únicamente a la emisión de certificados para su uso con IPsec. Sin embargo, puede utilizar una PKI existente si le resulta posible permitir que un equipo, en lugar de un usuario, obtenga un certificado. El método menos costoso de implementar este escenario con certificados consiste en instalar el servicio de entidad emisora en uno de los servidores SMS del grupo como su propia entidad emisora raíz. Los certificados deben actualizarse transcurrido cierto tiempo. La entidad emisora raíz puede registrarse en el dominio como entidad emisora de empresa, de forma que pueda inscribir automáticamente a equipos del grupo IPsec de SMS con certificados por medio de la directiva de grupo. Configure la lista de control de acceso (ACL) en la plantilla de certificados en el dominio, de modo que únicamente los miembros del grupo IPsec de SMS puedan llevar a cabo la inscripción para un certificado.
El uso de claves previamente compartidas conlleva varios riesgos:
La clave de autenticación se almacena como texto sin formato en el registro del sistema y se codifica de forma hexadecimal en la directiva IPsec basada en Active Directory®. Existen métodos bien conocidos que un atacante puede utilizar para acceder a estos almacenes de datos y descubrir valores de claves previamente compartidas que no cuentan con la suficiente seguridad.
Las claves mismas deben transportarse y almacenarse en texto sin cifrar, de modo que la seguridad física de la clave deja mucho que desear.
Es posible que los usuarios no entiendan qué es exactamente una clave segura.
Aunque los riesgos son muchos, las claves previamente compartidas pueden contribuir al control granular de grupos de hosts específicos que se desee aislar. Si usa las claves previamente compartidas, debería usar directivas de IPsec locales en cada cuadro y bloquear la anulación de la directiva de dominio para impedir que los atacantes puedan ver la clave codificada de forma hexadecimal en la directiva IPsec basada en Active Directory®. El uso de directiva local no mitiga los ataques contra el registro con el propósito de ver la clave almacenada en texto sin formato, pero se supone que si el atacante cuenta con los permisos necesarios para acceder al registro en el sistema del sitio, ya cuenta con acceso suficiente para llevar a cabo otros ataques que requieren un nivel de privilegios alto. El uso de certificados de clave pública es más seguro que el uso de claves previamente compartidas pero si su organización no es compatible con PKI o una entidad emisora independiente en su implementación de PKI, las claves previamente compartidas constituyen una alternativa viable.
Directiva IPsec de SMS
El diseño de directiva IPsec de alto nivel capaz de implementar estos requisitos es muy simple. Cuenta con una única regla:
From Me to Each SMS IPsec Server IP, all traffic -> require ESP/3DES ->
Certification authority (preferred) or preshared key
(with understanding of the risks and limitations) ;Default Response Rule = disabled
Los pasos siguientes describen los detalles de construcción de la directiva.
Realice los pasos siguientes para configurar IPsec para SMS.
1. Enumere las funciones de sistemas del sitio, el nombre de equipo y la dirección IP estática.
Complete este paso para todos los miembros del grupo IPsec de SMS. Se recomienda que registre los miembros del grupo IPsec de SMS como referencia mientras crea su directiva IPsec.
Tabla G.1 Miembros IPsec de SMS
2. Verifique que todos los posibles miembros del grupo IPsec de SMS pueden comunicarse entre sí.
Antes de habilitar IPsec, verifique que los equipos que se convertirán en miembros del grupo IPsec de SMS pueden comunicarse entre sí. Compruebe que los equipos pueden establecer el contacto unos con otros mediante el comando ping. Compruebe que cada equipo puede establecer una sesión NetBIOS con los otros equipos del grupo mediante los comandos Net Use o Net View. Resuelva cualquier problema de conectividad en la red antes de continuar con la configuración de IPsec.
3. Cree archivos HOSTS y LMHOSTS para evitar ataques de suplantación.
Existe el riesgo de que un atacante suplante a un miembro del grupo IPsec de SMS a través de un ataque de resolución de nombres. La lista de filtros IP en este escenario cifra el tráfico únicamente entre miembros del grupo IPsec de SMS. Si un atacante consigue suplantar a un miembro del grupo IPsec de SMS y establecer una asociación de seguridad, todo el tráfico de un equipo podría desviarse hacia el equipo del atacante. El ataque es complicado y su mitigación conlleva costes administrativos importantes pero la configuración de la directiva IPsec de SMS depende de la búsqueda segura de direcciones IP.
Por ejemplo, si mp1.smssite.com necesita comunicarse con sqlserver.smssite.com, realizará una búsqueda de nombre DNS. Si un atacante intercepta la consulta DNS e indica al punto de administración que sqlserver.smssite.com puede encontrarse en la dirección IP del atacante en lugar de en la dirección IP del equipo que ejecuta SQL Server, el atacante puede transmitir directiva no autorizada al punto de administración y, por consiguiente, a los clientes avanzados SMS.
Para mitigar este ataque, exprese en código las direcciones IP de cada miembro del grupo IPsec de SMS en el archivo HOSTS y LMHOSTS de cada miembro. El ataque queda mitigado al evitar que miembros del grupo IPsec de SMS busquen la dirección en la red, ya que esto proporciona al atacante la oportunidad de suplantar a un miembro del grupo.
Para agregar sistemas del sitio al archivo HOSTS:
Por medio de Bloc de notas, abra el archivo %systemroot%\system32\drivers\etc\HOSTS.
Para cada sistema del sitio, agregue una línea que incluya el nombre de dominio completo del equipo (FQDN, Fully Qualified Domain Name) y la dirección IP estática.
Guarde el archivo HOSTS (compruebe que no se ha agregado una extensión al nombre de archivo) y ciérrelo.
Para agregar sistemas del sitio al archivo LMHOSTS:
Por medio de Bloc de notas, abra el archivo %systemroot%\system32\drivers\etc\LMHOSTS.sam
Para cada sistema del sitio, agregue una línea que incluya el nombre NetBIOS del equipo y la dirección IP estática.
Guarde el archivo LMHOSTS.sam como LMHOSTS (compruebe que no se ha agregado una extensión al nombre de archivo) y ciérrelo.
4. Considere con detenimiento la ubicación y la integración de su directiva IPsec.
La directiva de grupo constituye el modo más sencillo de configurar IPsec. Mediante la creación de un único objeto de directiva de grupo (GPO, Group Policy object) y su configuración para aplicarlo a los equipos en el grupo IPsec de SMS, puede modificar la configuración de IPsec en todos los equipos desde una ubicación central. La forma más fácil de crear un único GPO que se aplique solamente al grupo IPsec de SMS consiste en trasladar los equipos de este grupo a una unidad organizativa independiente y aplicar el GPO a esta unidad. Si no le resulta posible crear una unidad organizativa independiente, puede crear un grupo de seguridad, agregar los equipos IPsec de SMS a este grupo y configurar el GPO de modo que se aplique únicamente a él. Para obtener más información sobre la administración de la directiva de grupo, acuda al Centro de ayuda y soporte técnico.
Si necesita usar una clave previamente compartida para el método de autenticación, no configure la directiva IPsec en la directiva de grupo, ya que los atacantes pueden obtener la clave previamente compartida a partir de la directiva. Utilice únicamente directivas IPsec locales y bloquee la anulación de la directiva de dominio. Tenga presente que la directiva IPsec local no deja de exponer la clave previamente compartida en el registro y los atacantes que cuenten con derechos suficientes podrán verla.
Si no crea un GPO, tendrá que crear directivas IPsec individuales para cada equipo del grupo. Para que el proceso sea más sencillo, puede exportar la directiva de un equipo e importarla en el resto de los equipos del grupo. Para obtener más información sobre la exportación e importación de la directiva IPsec, acuda al Centro de ayuda y soporte técnico.
Al igual que ocurre con cualquier objeto de directiva de grupo, la configuración del sitio, dominio o unidad organizativa puede anular la directiva de seguridad local. Si ya cuenta con directivas IPsec en su entorno, coordine el diseño de directiva IPsec de SMS con otras directivas IPsec que puedan aplicarse a los sistemas del sitio SMS.
5. Cree la directiva IPsec de SMS
Para incrementar el nivel de seguridad de los sistemas del sitio SMS, debe crear una directiva IPsec que cifre todo el tráfico entre miembros del grupo IPsec de SMS. Para crear la directiva IPsec, debe llevar a cabo la configuración de las opciones generales, la seguridad y las reglas.
Esta sección describe la configuración general que se aplica a la directiva IPsec asignada a todos los miembros del grupo IPsec de SMS. Aunque en esta directiva se aplica únicamente una regla, la configuración general también es aplicable.
Configuración del nombre de directiva del grupo IPsec de SMS, descripción e intervalo de actualización de la directiva
Las siguientes opciones generales se configuran en la ficha General de las propiedades para la directiva IPsec asignada a todos los miembros del grupo IPsec de SMS:
Nombre: VersiónOFecha-ÚltimaModificación de la directiva IPsec de SMS.
Descripción: Asegure todo el tráfico entre miembros del grupo IPsec de SMS. Permita tráfico no asegurado con equipos que no son miembros del grupo IPsec de SMS. Exija certificaciones para la autenticación.
Intervalo de actualización de la directiva (comprobar cambios en la directiva cada n minutos): 480 minutos (ocho horas)
El intervalo de actualización de la directiva determina la frecuencia con que el agente de directivas IPsec consulta a Active Directory sobre cambios en la directiva IPsec asignada. Durante la implementación inicial de la directiva IPsec es recomendable establecer este valor en un corto período de tiempo como, por ejemplo, cinco minutos, para asegurarse de que puede cambiar la configuración de la directiva rápidamente en caso de producirse un error o un impacto operacional imprevisto en las comunicaciones. Sin embargo, si hay muchos servidores en el dominio, un intervalo de sondeo breve puede incrementar la carga en los controladores de dominio.
Configuración de las opciones de intercambio de claves de la directiva
Las siguientes opciones generales se configuran en el cuadro de diálogo de configuración del intercambio de claves de las propiedades para la directiva IPsec asignada a todos los miembros del grupo IPsec de SMS:
Vigencia de clave (autenticar y generar una clave nueva cada n minutos): 480 minutos (ocho horas)
Número de negociaciones de modo rápido por cada modo principal (autenticar y generar una clave nueva cada n sesiones): 0 (Puede crearse un número ilimitado de claves de sesión a partir del material de generación de claves de la clave de sesión de protección.)
Una vigencia de clave de ocho horas garantiza que el material de generación de claves de la clave de sesión de protección (la clave Diffie-Hellman) se regenera transcurridas ocho horas. Las claves Diffie-Hellman permanecen en la memoria durante su vigencia. Por lo tanto, si hay muchos clientes (varios miles) que se conectan al servidor durante cortos períodos de tiempo, considere la reducción de su vigencia para liberar memoria. Quizás también sea buena idea reducir la vigencia de la clave en entornos hostiles en los que un atacante con experiencia podría intentar interceptar la comunicación. El inconveniente de reducir la vigencia de la clave es que si los clientes necesitan llevar a cabo una negociación de modo principal adicional, la operación podría resultar laboriosa y conllevar un coste de memoria considerable, además de que los cálculos Diffie-Hellman frecuentes incrementan la carga computacional en el servidor.
Configuración de los métodos de seguridad de intercambio de claves de la directiva
Las siguientes opciones generales se configuran en el cuadro de diálogo de métodos de seguridad del intercambio de claves de las propiedades para la directiva IPsec asignada a los miembros del grupo IPsec de SMS: Los métodos aparecen enumerados por orden de preferencia, por algoritmo de cifrado, algoritmo de integridad y grupo Diffie-Hellman.
3DES/SHA1/Medium (Diffie-Hellman Group 2, 1024 bits)
3DES/MD5/Medium (Diffie-Hellman Group 2, 1024 bits)
La configuración de los métodos de seguridad del intercambio de claves determina los servicios de seguridad, la configuración de claves y los algoritmos que se usarán para contribuir a la protección de identidades durante la autenticación y el intercambio de claves. De acuerdo con las prácticas recomendadas de seguridad, es aconsejable que no use Diffie-Hellman Group 1, que proporciona 768 bits de seguridad de generación de claves. Group 1 no ofrece un nivel de seguridad elevado (se proporciona por el nivel de interoperabilidad que permite). Para obtener un nivel de seguridad superior, IPsec para Windows Server 2003 incluye Diffie-Hellman Group 14, que proporciona 2048 bits de seguridad de generación de claves. Sin embargo, actualmente Diffie-Hellman Group 14 no es compatible con Windows 2000 o Windows XP para uso general de directiva IPsec. Para obtener más información acerca de la disponibilidad de Diffie-Hellman Group 14 para Windows XP y Windows 2000, consulte el artículo 818043 de Microsoft Knowledge Base, "L2TP/IPSec NAT-T Update for Windows XP and Windows 2000", en http://go.microsoft.com/fwlink/?LinkId=16462.
Para usar 3DES en un equipo que ejecuta Windows 2000, debe instalar High Encryption Pack o Service Pack 2 (o una versión posterior). Si se asigna una directiva que usa cifrado 3DES a un equipo con Windows 2000 que no dispone de High Encryption Pack o Service Pack 2 (o una versión posterior), de forma predeterminada se usará el método del algoritmo DES, que es menos seguro. Si lo desea, consulte más información sobre Windows 2000 High Encryption Pack en http://go.microsoft.com/fwlink/?LinkId=7272.
Configuración de seguridad de la directiva IPsec de SMS
Las siguientes opciones generales se configuran para la primera regla que se asocia con la directiva IPsec asignada a todos los miembros del grupo IPsec de SMS:
Configuración de la lista de filtros IP
Nombre: yo <-> miembros del grupo IPsec de SMS, todo el tráfico.
Configuración de filtro 1
Dirección de origen: mi dirección IP.
Dirección de destino: una dirección IP específica (donde la dirección IP corresponde al primer miembro del grupo IPsec de SMS).
Reflejado: sí (esta casilla está marcada).
Protocolo: cualquiera.
Descripción: yo <-> nombremiembrogrupo1, todo el tráfico (donde nombremiembrogrupo1 es el nombre del primer miembro del grupo IPsec de SMS).
Cree una configuración de filtro adicional para cada miembro del grupo IPsec de SMS que haya identificado en el paso 1.
Configuración de acción de filtrado
Nombre: ESP 3DES-SHA1 requerido.
Acción: negociar la seguridad.
Aceptar tráfico no seguro pero responder siempre usando IPSec: no (esta casilla no está marcada, de modo que no se permite el paso de sucesos entrante).
Aceptar comunicación no segura con equipos ajenos a IPsec: no (esta casilla no está marcada, de modo que no se permite el retroceso para borrarla).
Los miembros del grupo IPsec de SMS no podrán comunicarse entre sí hasta que reciban la directiva IPsec de SMS.
Confidencialidad directa perfecta (PFS, Perfect Forward Secrecy): no (esta casilla no está marcada).
Método de seguridad: personalizado.
Integridad de direcciones y datos sin cifrado (AH): no (esta casilla no está marcada).
Integridad de direcciones y cifrado (ESP): sí (esta casilla está marcada).
Algoritmo de integridad: SHA1
Algoritmo de cifrado: 3DES
Configuración de claves de sesión (vigencia de claves): 100.000 Kb (100 Mb) / 3600 segundos (una hora).
Método de autenticación, modo IPsec y tipo de conexión
Método de autenticación: entidad emisora de certificados (preferida) o clave previamente compartida (con los riesgos y limitaciones descritos anteriormente en este documento).
Configuración de túnel (modo IPsec): esta regla no especifica un túnel IPsec (esta opción está seleccionada, de forma que se usa el modo de transporte).
Tipo de conexión: todas las conexiones de red.
6. Asigne la directiva IPsec de SMS
Sólo puede asignarse una directiva cada vez. Si se dispone a asignar la directiva mediante GPO, debe actualizarse la directiva de los equipos para que la directiva IPsec de SMS surta efecto.
Los equipos que reciben la directiva IPsec de SMS no podrán comunicarse con otros miembros del grupo IPsec de SMS que no la reciben. Para evitar problemas de comunicación entre sistemas del sitio, actualice la directiva de grupo inmediatamente después de asignar la directiva IPsec de SMS.
7. Verifique que todos los miembros del grupo IPsec de SMS pueden comunicarse entre sí.
Tras la habilitación de IPsec, compruebe que los equipos pueden establecer el contacto unos con otros mediante el comando ping. Compruebe que cada equipo puede establecer una sesión NetBIOS con los otros equipos del grupo mediante los comandos Net Use o Net View.
Para obtener información sobre la resolución de problemas de IPsec en Windows 2000 Server, vea el artículo 257225 de Microsoft Knowledge Base. Para obtener información sobre la resolución de problemas de IPsec en Windows Server 2003, acuda al Centro de ayuda y soporte técnico.

References: resolución 
 resolución 
 artículo 818043
 resolución 
 artículo 257225
 resolución