Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

TCP/IP-Sicherheit 477
Das Element ipSecurity hat zwei Attribute:
allowUnlisted legt fest, ob die Liste der untergeordneten Elemente von ipSecurity nach
bekanntermaßen unerwünschten oder erwünschten Quell-IP-Adressen durchsucht wird.
Wenn Sie allowUnlisted auf "false" setzen, können nur die untergeordneten Elemente,
die mit allow markiert sind, auf diesen Webserver zugreifen; alle anderen werden abgewiesen.
Wenn Sie allowUnlisted auf "true" setzen, dürfen alle IP-Adressen außer denen,
die explizit mit deny markiert sind, eine Verbindung herstellen.
enableReverseDns müssen Sie auf "true" setzen, falls Sie anhand des Domänennamens
filtern. Weil ein Reverse-DNS-Lookup einige Zeit dauern kann, was die Verbindungen
unter Umständen verzögert, sollten Sie dieses Attribut auf dem Standardwert "false"
lassen, falls Sie keine Filterung anhand des Domänennamens durchführen wollen. Denken
Sie daran, dass viele DNS-Zonen keine Reverse-Lookups anbieten und Windows in
der Standardeinstellung keine Reverse-Lookupzonen generiert. Daher schlägt ein
Reverse-DNS-Lookup sehr oft fehl.
Abbildung 17.3 Zulassen des Adressbereichs 169.254.*.*
im Dialogfeld Zulassungseinschränkungsregel hinzufügen
Untergeordnete Elemente können Sie zur ipSecurity-Auflistung hinzufügen, indem Sie die
üblichen add-, clear- oder remove-Direktiven mit den folgenden Attributen verwenden:
ipAddress ist die numerische IP-Adresse des Hosts oder Netzwerks, denen der Zugriff
erlaubt oder verweigert wird. Zum Beispiel steht 127.0.0.1 für localhost. Falls Sie in der
Standardeinstellung den Zugriff verweigern (allowUnlisted auf "false" setzen), sollten
Sie für Testzwecke im Allgemeinen den Zugriff durch 127.0.0.1 und andere lokal gebundene
IP-Adressen aktivieren.
subnetMask ist die numerische Subnetzmaske, die definiert, welches Netzwerk anhand
der IP-Adresse angegeben wird. Zum Beispiel können Sie das gesamte 10.*.*.*-Netzwerk
aussperren, indem Sie ipAddress als 10.0.0.0 und subnetMask als 255.0.0.0 definieren.
Der Standardwert ist 255.255.255.255, womit eine einzelne IP-Adresse definiert
wird.
domainName ist der vollqualifizierte Domänenname des Hosts, auf den diese Regel angewendet
werden soll.