Rodrigo Immaginario

 

Várias pessoas me perguntam sobre a instalação e configuração do DirectAccess.

Na maioria dos casos a implementação do DirectAccess é relativamente simples, entretanto quando ocorre algum problema o troubleshooting (resolução de problemas) não é fácil. Do lado do servidor temos várias ferramentas que nos ajudam a resolver um problema, mas do lado do cliente as opções são mais restritas.

Pensando nisso a Microsoft disponibilizou um assistente - Microsoft DirectAccess Connectivity Assistant - para ajudar na resolução dos problemas de conexão dos clientes.

Todas as informações, com os procedimentos de instalação e configuração, estão no arquivo Microsoft_DirectAccess_Connectivity_Assistant_DeploymentGuide. De qualquer forma segue um pequeno passo a passo com algumas dicas :

Passo 1 : Copiar o arquivo DirectAccess Connectivity Assistant GP.adml para a pasta %systemroot%\PolicyDefinititions\language dentro de um servidor Windows Server 2008 R2;

Passo 2 : Copiar o arquivo DirectAccess Connectivity Assistant GP.ADMX para a pasta %systemroot%\PolicyDefinitions dentro de um servidor Windows Server 2008 R2;

Passo 3 : Criar uma GPO para aplicar nos computadores que fazem parte do grupo de acesso via DirectAccess;

Passo 4 : As duas configurações mínimas que devem ser feitas na GPO são nas opções DTE e CorporateResources.

- Para preencher a opção DTE você pode recuperar os dados dentro do servidor onde o DirectAccess está instalado. Nas configurações de IP (ipconfig) procure os endereços IP (IPV6)da opção do 6TO4, no formato PING:XXX:XXX:XXX::XXX

- A opção CorporateResources deve ser preenchida com algum dos recursos que está disponibilizado para acesso externo, por exemplo :  PING:<SERVIDOR DE ARQUIVOS> ou HTTP:http://siteinterno .

Passo 5 : Instalar o agente no cliente;

 

Uma vez instalado o programa, e com a GPO aplicada,  você já consegue colher algumas informações :

	Ambiente Operacional
	Problema na Conexão
	Problema na Conexão

 

No caso de um problema de conexão o usuário pode gerar dados detalhados com as configurações de todo seu ambiente e enviar ao Administrador da Rede para identificação e correção.

 

Desta forma o traballho de troubleshooting fica muito mais fácil …

Abraços,

ipv6, ipsec, directaccess, seguranca, technet, security, vpn, Acesso Remoto

A algum tempo tenho trabalhado com o Time de Networking e Segurança da MSFT ajudando com sugestões de features e documentação de algumas soluções e cenários específicos.

 

Recentemente o nosso projeto do DirectAccess, integrado com nossa solução de Isolamento de Servidores e Domínio (IPSec) , foi considerado Estudo de Caso pela Microsoft ( http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=4000005738 ), enjoy !

 

 

 

Abraços,

directaccess, ipsec, estudo de caso, isolamento de servidores e domínio, server and domain isolation, case study, seguranca, technet, security

< Este foi o título de uma das minhas palestras na edição 2009 do Teched Brasil  >

 

Uma das novas features de segurança do Windows 7 e do Windows Server 2008 R2 é o DirectAccess, com ele podemos dizer que estamos dando o primeiro passo, e porque não dizer empurrão, na direção do uso do IPV6.

 

A rigor o DirectAccess nada mais é que um conjuntos de políticas de IPSEC utilizando uma infraestrutura de IPV6. Claro que essa é apenas uma visão geral, e superficial dessa nova feature, por baixo do capô existem outras tecnologias que são necessárias para que a solução funcione ( NRPT, Teredo, 6to4, ISATAP e etc), o fato é que esta é uma das primeiras funcionalidades que nos alerta do poder do IPV6 e de como vários paradigmas mudarão junto com a versão do protocolo IP.

 

Um dos pontos que, na minha opinião, causará mais impacto é o fato de que o IPV6, apoiado na segurança do IPSEC, fará com que o perimetro de rede acabe, ou seja sua rede local não será só mais os pontos que estão dentro dos seus prédios ou dos seus ativo de rede, sua rede será a Internet !!!

 

 

O DirectAccess traz benefícios tanto para o usuário final como para os administradores de rede :

 

- Para o Usuário Final

- Não é necessário nenhuma configuração, assim que o computador do usuário estiver conectado na Internet já terá acesso à rede interna;

- Não são necessárias portas aberta para acesso, no firewall da rede que estiver usando, como é necessário para uma conexão VPN;

 

- Para o Administrador da Rede

- Políticas de Domínio são aplicadas nos computadores remotos;

- Suporte ao NAP;

- Máquinas remotas podem ser gerenciadas pelo Administrador da Rede;

 

Para utilziar o DirectAccess você deve ficar atento aos pré-requisitos :

- Infraestrutura de Certificação Digital (PKI);

- Windows 7 para o clientes (deve fazer parte do domínio);

- Windows Server 2008 R2 para o Servidor do DirectAccess;

- IPV6;

 

Em nosso ambiente de produção já temos todos os pré-requisitos funcionando uma solução integrada do IPSEC (Isolamento de Servidores e Domínio) com o NAP, desta forma não levamos mais que algumas poucas horas para configurar e começar a utilização do DirectAccess. Hoje nossos usuários de acesso remoto já está se beneficiando dessa nova funcionalidade.

 

OBS: Durante minha palestra, no Teched Brasil deste ano, algumas pessoas me pediram para publicar um video com o passo a passo da configuração do DirectAccess. Abaixo segue um video apenas com a configuração do DirectAccess Management, em breve vou preparar uma serie de videos explicando a configuração de toda a infraestrura mínima necessária para configurar e utilizar o DirectAccess. Até lá …

 

 

Abraços,

ipv6, ipsec, directaccess, seguranca, technet, security, vpn

Em outros posts tenho falado um pouco sobre IPSEC e em todos os exemplos que citei sempre usei os formatos compatíveis com o xp e 2003, mas o que mudou no Windows Vista ?

 

Como a pilha TCP/IP no Windows Vista foi totalmente reescrita muita coisa mudou, para o IPSEC vou citar algumas mudanças que acho importante :

 

- Novos algoritmos de Criptografia;

- Autenticação de Computadores e Usuários (antes do Vista o IPSEC autenticava somente computadores);

- Melhor Integração com o NAP;

- Integrado ao novo Windows Firewall with Advanced Security;

 

Este último item acredito que é um dos mais importantes para ajudar na aceleração da adoção dessa tecnologia.

 

Antes do Windows Vista configurar uma política de IPSEC não era uma tarefa fácil, em um cenário real suas políticas de ipsec podem ter centenas de itens,  exceções e etc, tornando tanto a implementação como a administração bastante trabalhosa, com as mudanças implementadas no Windows Vista esta tarefa está muito mais simples e fácil.

 

Para melhor ilustrar o quanto ficou mais fácil a implementação do IPSEC segue um pequeno comparativo entre um script no formato antigo e no novo. Ambos os scripts terão o mesmo resultado final.

 

Script IPSEC – Compatível com Windows 2000 ou superior

pushd ipsec static set store location=local # FILTROS DE ACOES add filteraction name="Bloqueio" description="Bloqueia o acesso" action=block add filteraction name="Permite" description="Permite o trafego em claro" action=permit add filteraction name="Requisicao Segura" description="Aceita conexoes inbound somente com IPsec, e permite conexoes outbound em claro" soft=yes action=negotiate qmsecmethods="ESP[None,SHA1] ESP[3DES,SHA1]" # Lista Exceção add filterlist name="Excecao" description="Maquinas fora da Política de IPSEC" add filter filterlist="Excecao" srcaddr=any dstaddr=x.x.x.x description="Máquina I" protocol=any srcport=0 dstport=0 # Domain Controllers add filterlist name="Domain Controllers" description="Domain Controllers" add filter filterlist="Domain Controllers" srcaddr=any dstaddr=x.x.x.x description="DC-01" protocol=any srcport=0 dstport=0 # Rede Segura add filterlist name="Rede Segura" description="Rede Segura" add filter filterlist="Rede Segura" srcaddr=any dstaddr=10.x.x.x dstmask=255.0.0.0 description="Rede Segura" protocol=any srcport=0 dstport=0 # Habilita PING add filterlist name="Habilita PING" description="Habilita PING" add filter filterlist="Habilita PING" srcaddr=any dstaddr=me description="Habilita PING" protocol=ICMP # Cria a Politica add policy name="Politica IPSEC Maquinas Fora do Dominio" description="Politica IPSEC Maquinas Fora do Dominio" activatedefaultrule=no mmlifetime=180 assign=no pollinginterval=60 mmsecmethods="3DES-SHA1-2 3DES-MD5-2 DES-SHA1-1 DES-MD5-1" # Adiciona as Regras # Colocar o nome da autoridade certificadora no campo rootca add rule name="Rede Segura" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Rede Segura" filteraction="Requisicao Segura" rootca="C=BR, O=XXX, CN=XXXXX" add rule name="Habilita PING" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Habilita PING" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX" add rule name="Domain Controllers" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Domain Controllers" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX" add rule name="Excecao" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Excecao" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX" # Liga a Politica set policy name=”Politica IPSEC Maquinas Fora do Dominio" assign=YES popd exit

 

Script IPSEC – Compatível com Windows Vista ou superior

netsh advfirewall consec add rule name="Rede Segura" endpoint1=any endpoint2=10.x.x.x/y action=requireinrequestout auth1=computercert auth1ca="C=BR, O=XXX, CN=XXXXX " netsh advfirewall consec add rule name="Domain Controllers" endpoint1=any endpoint2=x.x.x.x,y.y.y.y action=noauthentication netsh advfirewall consec add rule name="Excecao" endpoint1=any endpoint2=x.x.x.x action=noauthentication

 

Muita mais fácil não ?

Agora é só planejar e implementar logo o IPSEC porque o IPV6 está chegando !!! :) **assunto para um próximo post….

 

Abraços,

ipsec, windows vista, windows server 2008, script, seguranca, technet, security

Imaginem o seguinte cenário …

 

Seu ambiente está protegido com o IPSEC (Isolamento de Servidores e Domínio) mas existem algumas máquinas que não irão fazer parte do seu domínio, os motivos podem ser diversos (Máquinas de Terceirizados, Máquinas não Windows[Linux] e etc), e mesmo assim você quer manter seu nível de segurança, quais opções temos ?

 

- Colocar esses equipamentos na lista de exceção do IPSEC;

- Criar uma solução de “IPSEC Proxy” com o ISA Server;

- Configurar as Políticas de IPSEC de forma manual nessas máquinas;

 

Como em qualquer projeto a melhor opção é uma resultante da análise do cenário de negócio e políticas da Empresa. Neste post vou exemplificar a configuração da terceira opção.

 

A opção de configurarmos as Políticas de IPSEC de forma manual em uma máquina fora do domínio requer uma solução de PKI implementada em seu ambiente, a única forma de uma máquina fora do seu domínio falar IPSEC com sua rede interna (Rede Segura) é utilizar a opção de autenticação por Certificados Digitais. Considerando que sua estrutura possui esse pré-requisito vamos lá …

 

O primeiro passo é configurar em sua Autoridade Certificadora um Template de IPSEC para trabalhar em modo Offline, no Site da Microsoft existe um artigo que pode ajuda-lo. A resultante dessa etapa é a criação e publicação em sua CA de um Template para máquinas fora do domínio.

 

 

Em seguida temos de gerar um certificado para a máquina que está fora do domínio e vai falar IPSEC com sua rede. Nesse meu exemplo estou usando o Windows 7 RC - Claro !!! :) – mas esta etapa é a mesma, considerando as difenças na forma de execução, para qualquer SO, Windows ou Linux.

 

Crie um arquivo chamado certrequest.inf, este arquivo será usado para gerar os dados necessários para envio à autoridade certificadora da sua rede, o conteúdo desse arquivo é :

[Version]
Signature= "$Windows NT$"

[NewRequest]
RequestType = PKCS10
ProviderName = "Microsoft Software Key Storage Provider"
Subject = "CN=NOMECOMPUTADOR"  ***Repare que o campo subject deve ser alterado colocando o nome do computador que está sendo configurado.
KeyLength = 4096
MachineKeySet = TRUE
KeySpec = 2
KeyUsage = 0x80

[EnhancedKeyUsageExtension]
OID = 1.3.6.1.5.5.8.2.2 ;IP Security IKE Intermediate

 

Execute o comando < certreq – new > e siga as instruções da tela. Este comando terá como resultante um arquivo .req que contém os dados neccessário para enviarmos a CA.

 

O próximo passo deve ser executado dentro da CA.

 

Acesse o site https://ServidorCA/certsrv e escolha a opção “Request a Certificate”;

Em seguida  clique na opção “Advanced”;

Escolha a opção “Submit a Certificate”

No campo onde tem a opção Base-64-encoded você deve colar o conteúdo do arquivo .req eu foi gerado na sua máquina cliente, em seguida selecione o template correto e envie para a CA;

Feito isso é só fazer o download do arquivo gerado e instalar em sua máquina cliente;

 

Voltando para o nosso Windows 7 (máquina que está fora do domínio), importe o certificado gerado. Lembrando que você deve estar no contexto de computador dentro do Snap-in de Certificates.

A parte do Certificado Digital está concluída ! 

 

Agora precisamos apenas criar as políticas de IPSEC localmente, Para esta etapa podemos gerar um script, que deve ficar em conformidade com as regras definidas para a rede local, e executar em cada uma das máquinas que estão fora do domínio mas vão se comunicar com IPSEC, segue um exemplo do script :

 

##############################################

# Configuracoes de seguranca baseadas em IPSEC
# Execute o script da seguinte forma :
# netsh -f ScriptIPSEC.txt
# Criado por : Rodrigo Immaginario

###########  modo estatico ###########

pushd ipsec static
delete all
set store location=local

# FILTROS DE ACOES
add filteraction name="Bloqueio" description="Bloqueia o acesso" action=block
add filteraction name="Permite" description="Permite o trafego em claro" action=permit
add filteraction name="Requisicao Segura" description="Aceita conexoes inbound somente com IPsec, e permite conexoes outbound em claro" soft=yes action=negotiate qmsecmethods="ESP[None,SHA1] ESP[3DES,SHA1]"

# Lista Exceção
add filterlist name="Excecao" description="Maquinas fora da Política de IPSEC"
add filter filterlist="Excecao" srcaddr=any dstaddr=x.x.x.x description="Máquina I" protocol=any srcport=0 dstport=0

# Domain Controllers
add filterlist name="Domain Controllers" description="Domain Controllers"
add filter filterlist="Domain Controllers" srcaddr=any dstaddr=x.x.x.x description="DC-01" protocol=any srcport=0 dstport=0

# Rede Segura
add filterlist name="Rede Segura" description="Rede Segura"
add filter filterlist="Rede Segura" srcaddr=any dstaddr=10.x.x.x dstmask=255.0.0.0 description="Rede Segura" protocol=any srcport=0 dstport=0

# Habilita PING
add filterlist name="Habilita PING" description="Habilita PING"
add filter filterlist="Habilita PING" srcaddr=any dstaddr=me description="Habilita PING" protocol=ICMP

# Cria a Politica
add policy name="Politica IPSEC Maquinas Fora do Dominio" description="Politica IPSEC Maquinas Fora do Dominio" activatedefaultrule=no mmlifetime=180 assign=no pollinginterval=60 mmsecmethods="3DES-SHA1-2 3DES-MD5-2 DES-SHA1-1 DES-MD5-1"

# Adiciona as Regras

# Colocar o nome da autoridade certificadora no campo rootca

add rule name="Rede Segura" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Rede Segura" filteraction="Requisicao Segura" rootca="C=BR, O=XXX, CN=XXXXX"
add rule name="Habilita PING" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Habilita PING" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX"
add rule name="Domain Controllers" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Domain Controllers" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX"
add rule name="Excecao" policy="Politica IPSEC Maquinas Fora do Dominio" filterlist="Excecao" filteraction="Permite" rootca="C=BR, O=XXX, CN=XXXXX"

# Liga a Politica
set policy name=”Politica IPSEC Maquinas Fora do Dominio" assign=YES

popd

exit

 

Pronto, agora é só testar !! 

 

Dá máquina fora do domínio, em nosso exemplo o Windows 7 RC, abra o IPSEC Monitor e verifique uma conexão a um servidor que esteja protegido pelo IPSEC, além de conseguir o acesso você verá que o tráfego já está seguro !

 

Abraços,

ipsec, pki, certificate, non domain, certificados digitais, seguranca, technet, security

Criando Certificado Digital – Parte I

Criando Certificado Digital – Parte II

 

Publicando Outlook Web Access (OWA) – Parte I

 

Publicando Outlook Web Access (OWA) – Parte II

isa server, seguranca, technet, security, video, treinamento, firewall

Oi Pessoal,

Tenho ensaiado minha entrada no mundo dos blogs a algum tempo mas somente agora consegui me organizar para me aventurar nesse mundo :)

Pretendo passar minhas experiências e opiniões a respeitos dos mais diversos assunto, sempre com o foco em Infra-estrutura e Segurança, e espero que, de alguma forma, as informações que irei postar possam ajuda-los da mesma forma que outros Blogs me ajudam no meu dia a dia

Abraços !

Rodrigo Immaginario

segurança, networking, security, ipsec, redes