J'ai trouvé toutes sortes de documents sur ce qu'est IPSEC et comment le configurer (de manière très peu spécifique), mais je n'arrive pas à configurer une règle de sécurité avancée du pare-feu Windows qui A) exige que tout le trafic du serveur SQL soit crypté, et B) fonctionne.
À titre d'exercice, j'ai créé une règle d'entrée qui autorise tout le trafic du service MSSQLSERVER par défaut lorsqu'il est connecté au domaine, et j'ai testé que je peux me connecter à l'instance de SQL Server avec cette règle.
Lorsque je modifie l'action de "Autoriser la connexion" à "Autoriser la connexion si elle est sécurisée", en utilisant l'option "Exiger que les connexions soient cryptées", je ne peux plus établir de connexion. Je ne parviens pas à trouver d'informations sur la manière d'indiquer au client qu'il doit utiliser cette connexion cryptée, ou s'il existe d'autres conditions préalables à remplir. Je ne trouve pas non plus d'informations sur l'utilisation d'IPSEC avec SQL Server en général.
Je sais comment crypter les connexions SQL Server via SSL, mais l'application principale qui utilise ce serveur ne se connectera pas via SSL avant une version ultérieure.
Comment faire pour que le système d'exploitation client se connecte à l'aide d'IPSEC à partir du Pare-feu Windows avec les paramètres de sécurité avancée dans Windows 7 ?
0 votes
Cela fait beaucoup de frais généraux, pourquoi avez-vous besoin de cela ? Votre serveur SQL ne devrait pas être dans un endroit accessible par le réseau de toute façon.
0 votes
Obligation contractuelle, malheureusement.
0 votes
@johnthepro L'utilisation d'IPSEC pour crypter tout le trafic Windows est une bonne pratique depuis Windows 2000.
0 votes
Jim - Honnêtement, je n'ai pas vu d'entreprises où cela a été fait (pour l'ensemble de l'environnement, en tout cas).
0 votes
Meilleure pratique, mais .... Je ne sais pas, je travaille avec beaucoup d'environnements de PME, et cela est rarement mis en œuvre.
0 votes
C'est une très mauvaise idée. Les réglementations PCI-DSS (en fonction de la quantité d'informations que vous possédez sur vos clients) stipulent que les serveurs de base de données ne doivent pas être directement accessibles depuis l'internet. Essayez d'utiliser un intermédiaire comme OpenVPN ou autre.
0 votes
Je n'ai jamais dit qu'il était accessible depuis l'internet.
0 votes
@mfinni il y a beaucoup de meilleures pratiques documentées que les gens ne font pas (et il y a beaucoup de gens qui le font). dans les PME, il n'y a généralement pas d'excuse réelle pour ne pas l'ajouter à la stratégie de groupe. Dans les grandes entreprises, les équipes chargées de la mise en réseau ont généralement opposé leur veto parce qu'elles ne pouvaient plus inspecter le trafic. La plupart des outils de réseau modernes savent maintenant comment gérer le trafic ipsec (si ce groupe a besoin de décrypter).
0 votes
@JohnThePro Supposons, pour les besoins de cette question, que le client et le serveur se trouvent sur le même réseau local.