ביצוע TRUST בין דומיינים דרך Firewall
netstat -na להצגת הפורטים שמאזינים ומצב התקשורת.פרקי ההרצאה: ביצוע TRUST בין דומיינים דרך Firewall
תמלול ההרצאה: ביצוע TRUST בין דומיינים דרך Firewall
הטקסט המלא של הדקות הראשונות בהרצאה «ביצוע TRUST בין דומיינים דרך Firewall» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים להרצאה על ביצוע טראס דרך פיירוול. אנחנו הולכים לחקור את אקטיב דירקטורי בדיוק באיזה פורטים היא משתמשת, מה צריך לפתוח בפיירוול בשביל שאפשר יהיה לעבוד על אותו דומיין בין רשתות פיזיות שונות.
אני יונתן רבזין ואתם באחת ההרצאות של מכללת פרקטיקיו, יש לנו הרצאות על כל הנושאים ואפילו קורס אחד של סיסקו בחינם, פתוח לכולם וזה מאוד רלוונטי לכל הנושא של תקשורת.
אנחנו בעצם לא בהרצאה הזאתי הולכים בעצם לעשות כמה הרצאות שהרצאה אחת תדבר באיזה פורט Windows 7 עובד מול DC הרצאה אחרת תהיה לנו באיזה פורט DC מבצע רפליקציות ביניהם כאילו באותו דומיין שני DC באיזה פורט מתבצעת רפליקציה לדוגמה שאני אשים DC אחד ברשת אחת ו-DC אחר ברשת אחרת וביניהם יש Firewall איזה פורטים צריך לפתוח
וההרצאה הזאת תתרכז בביצוע Trust בין הדומיינים ולמעשה יש לנו כזה מצב שיש לנו שתי רשתות רשת אחת פיזית שהיא 56 רשת אחרת שהיא 57 ומה שמחבר את שני הרשתות זה הראוטר והראוטר הזה זה ראוטר חכם שיש לו גם Firewall אפשר לכתוב עליו חוקים באיזה פורט מותר לעבור ואיזה פורט
פתוח ואיזה פורט סגור. אז יש את הfirewall הזה שאנחנו עוד דקה נראה אותו ויש לו שני רגליים רגל אחת ברשת 56 פה ורגל שנייה בפורט 57. ואז הכתובת הזאת 56254 היא ה-default gateway בכל הרשת הזאת ו57254 היא ה-default gateway פה.
אחרי שהבנו את המבנה של הרשת שיש שתי רשתות שונות שמחוברות ב-router ו-firewall לוגית יש לנו פה גם שני דומיינים שני מתחמי ניהול עצמאיים מתחם אחד נקרא נניח projectx.local ומתחם אחר נקרא projecty.local אני במקום projecty.local קראתי לו ad.practice.com אבל זה לא משנה השם המהות
היא שיש לנו שני דומיינים נפרדים שני מתחמי אבטחה נפרדים ובכל דומיין יש את השרתים שלו ואת המחשבים שלו ותחנות העבודה שלו כל פרויקט חי חיים נפרדים זה יכול להיות מסיבות של אבטחת מידע זה יכול להיות גם מסיבות של דרישות של המחוקק שאומר שמערכות חיוב צריכות להיות מבודדות אז תחשבו שיש איזושהי סיבה שבגללה הפרידו את הרשתות אבל יש פה משתמש שאמור
נניח פקידה שעושה גבייה עבור שני הפרויקטים מתקשרים לקוחות פעם לפרויקט הזה ופעם לפרויקט הזה והיא צריכה לגבות כסף ולעדכן את השרתים שמישהו שילם ועל מה הוא שילם בדיוק.
אז הפקידה הזאת צריכה פעם להתחבר נניח לשרת הזה נניח, אבל זאת לא בעיה, אבל פעם היא צריכה להתחבר לווינדוס 7 ששם ברשת הזאת, אוקיי?
אז הפקידה צריכה להתחבר לווינדוס 7 ואנחנו פותחים לה פורט בפיירוול 3389 נכון 3389 אבל זאת לא הבעיה. פורט 3389 בין שתי רשתות אבל מה קורה כשהיא מכניסה פה שם וסיסמה כשהיא מכניסה שם וסיסמה היוזרניים שלה נמצא כאן רק ב-DC הזה היוזר נמצא ואז מה שקורה שווינדוס 7 הזה צריך יכולת לגשת לפה ולבקש לבדוק שם וסיסמה אבל הוא לא ישאל כי הוא בדומיין אחר הוא בדומיין y ולא בדומיין x הוא
בדומיין project y.local אז בשביל שהפקידה הזאת תוכל לעשות רימור דסקופ לרשת אחרת ולהיכנס עם השם שלה ולא עם שם אחר כי יש כאלו שמתחכמים ושמים פה לפקידה יוזר חדש אז יש לו יוזר אחד פה ויוזר אחד פה שזה לא נוח לעבוד וזה עוד יותר גרוע כאשר אין לנו שני פרויקטים כשיש לנו שישה פרויקטים כשיש לנו שמונה פרויקטים
אז כל יוזר יקבל מעין דף עם שמות וסיסמאות בכל הרשתות וכל פעם שהוא מחליף סיסמה הוא צריך לעדכן את הדף שלו וזה לא מאופתר זה לא נוח בקיצור אנחנו רוצים להגיע למצב שיש לנו פה דומיין אחד עם כל היוזרים כל היוזרים רשומים אך ורק בשרת אחד וכל שאר הדומיינים סומכים עליו יש trust בו שימו לב יש פה trust שהמשתמשים יכולים להיכנס למחשבים פה אוקיי אז אנחנו
רוצים לבצע trust יפה אז אנחנו הולכים בעצם לבצע trust דרך ויירול ולראות איזה פורטים צריך לפתוח ואני כבר אספר לכם איפה החלק הכי מעניין. החלק הכי מעניין זה לא לראות בfirewall איזה portים צריך לפתוח.
החלק הכי מעניין איך מתגברים על בעיית rpc. בעיית rpc אני כבר אספר לכם למרות שהתכוונתי לספר יותר מאוחר שrpc זה שירות remote procedure call והוא נועד לעשות remote מרחוק, procedure call, לקרוא פרוצדורה מרחוק.
כשאני רוצה לקרוא לפרוצדורה מרחוק, זה בעצם כמו תוכנה קטנה מרחוק, לא ייתכן שכל פרוצדורה שאני רוצה לקרוא לה מרחוק תתפוס פורט, כי כמות הפורטים היא מוגבלת, ואם פרוצדורה או תוכנה כלשהי, זה לא משנה, זה כמו תוכנה קטנה, תתפוס לעצמה פורט ותוכנה אחרת תרצה בדיוק אותו פורט, הם לא יוכלו לחיות על אותו מחשב.
באיזה מקרים משתמשים בכל ה-RPC הזה? בואו תראו דוגמה, אני נכנס ל-Manage של Windows 7, ועושה פה, שימו לב, על My Computer, על Computer Management, כל המשימות האלו כל ה-MMC הזה משימות מתוזמנות
Event Viewer תיקיות Device Manager כל הדברים האלו זה MMC נכון? MMC מוכן שאפשר לנהל את המחשב אני עושה right click ועושה connect to another computer אני מתחבר למחשב אחר באיזה פורט אני מתחבר אתם יודעים איזה פורט צריך לפתור בfirewall בשביל שאפשר יהיה להתחבר אז אני אגיד לכם התשובה לזה היא שאין פורט קבוע אין פורט קבוע למה אין פורט קבוע?
כי לא ייתכן שלקונקט הזה יהיה פורט קבוע. ואם אני אפתח לדוגמה Firewall של Windows, Windows Firewall, תראו, גם בכלי של Windows Firewall אני יכול לעשות right-click פה, ולהתחבר לשרת אחר, כן? אפשר לנהל Firewall מרחוק, אז צריך לפתוח MMC.
כשאתם פותחים MMC אתם יכולים לראות File, Add/Remove Snapping, לדוגמה, Firewall, Windows Firewall, כן? הוא שואל אותי האם לנהל את המחשב הזה או מחשב אחר?
נניח שאני אומר לו מחשב אחר, Windows 7, מכבי תחנה 89. אבל איזה פורט הוא מתחבר? אתם מבינים שאי אפשר לתת פורט לניהול Firewall, אי אפשר לתת פורט נפרד לניהול סרוויסים, כן? תחשבו גם פה הוא רוצה ניהול סרוויסים.
אי אפשר לתת פורט נפרד למשימה מתוזמנת ופורט נפרד ל-NAP ופורט נפרד ל-Local Users and Computers, כי כשאתם עושים גם Local Users and Computers הוא שואל באיזה מחשב אתה רוצה לנהל אותם.
בקיצור כל דבר אי אפשר לתת לו פורט נפרד אוקיי גם קומפיוטר מנג'מנט הזה שראינו אותו אז מה עושים אז יש שירות שנקרא RPC שכל תוכנה שרוצה לקבל תקשורת כל תוכנה שרוצה לקבל תקשורת כמו טראס בין הדומיינים כמו נטלוגון כמו NTDS כמו RPC frs וdfs כל השירותים
האלו ויש הרבה מאוד תוכנות אחרות שנרשמות ב-rpc במחשב שלכם נניח בדומיין והן מקבלות פורט איזה שבא למחשב כאילו פורט דינמי זה נקרא איזשהו פורט שמחשב יחליט שהוא פנוי אצלו לרוב זה פורט די קבוע באותו המחשב אבל באותו השרת אבל אי אפשר לסמוך על זה אז rpc מקצה לתוכנה אחת פורט אחד לתוכנה אחרת
פורט אחר ואז כשבא קליינט להתחבר ל-RPC שבא קליינט להתחבר לשרת הוא מתחבר בפורט 135. זאת אומרת הקליינט הזה רוצה איזשהו סרוויס שעובד ב-RPC כמו לא יודע מה ניהול סרוויסים מרחוק ניהול פיירול מרחוק לא משנה מה כל דבר שיש לו משתמש ב-RPC אז קליינט מתחבר לפורט מפר ל-RPC פורט מפר שזה פורט 135. ושואל אותו באיזה פורט נמצאת
התוכנה שאני מחפש? זאת אומרת, פורט 135 זאת המזכירה שאומרת לקליינט באיזה פורט הוא צריך להתחבר למה שהוא מחפש.
אז קליינט עושה חיבור ראשון בפורט 135, מברר באיזה פורט עובדת התוכנה הרצויה או הפרוצדורה הרצויה, נניח שזה 49,158, סתם מספר, ואז הקליינט הזה מתחבר לתוכנה שהוא רצה, פעם בפורט 49,000, 49,158.
סביר להניח שהפורט הזה לא ישתנה באותו השרת, אבל בשרת אחר סביר להניח שפורט יהיה דווקא שונה. זאת אומרת, RPC הוא לא מתחייב לך שהפורט תמיד יהיה אותו פורט, ממש לא.
בשרת, אז נניח שירות של נטלוגון, זה שבעצם נותן לך להיכנס, שירות שעושה עימות, אז פעם אחת הוא יכול לעבוד בפורט 49-158 ובשרת אחר הוא יכול לעבוד בפורט אחר.
אז כל פעם קליינט מתחבר ב-135 למזכירה הזאתי לפורט מפר, מהמילה מפ, כאילו מפה, פורט מפר, ומברר באיזה פורט עובדת הפרוצדורה הרצויה ומתחבר לפרוצדורה הזאת בפורט 49-1158.
איפה הבעיה שלנו? הבעיה שלנו שאנחנו לא יכולים לפתור בפיירוול את כל הפורטים. צריכים שזה יהיה פורט קבוע יפה וזאת בדיוק הבעיה ב-RPC שלא יודעים מה לפתוח בפיירול כי זה יכול גם להשתנות אז אז כשאנחנו רוצים איך מתגברים על הבעיה הזאתי הבנתם פורט דינמי מזכירה בפורט קבוע וכל שאר פורט דינמי איך מתגברים על הבעיה הזאתי אתם תגלו במהלך
הסרט אז אני אחזור אליכם אני אחזור איתכם על מה הולך להיות עכשיו כי אתם הולכים לראות בעצם את השרת הזה שנמצא בדומיין אחד שרת אחר שנמצא בדומיין אחר ביניהם הכל סגור ואנחנו צריכים שהמזכירה הזאת תתחבר לווינדוס 7 שנמצא פה בפורט 3389 אוקיי אנחנו נפתח פה פורט 3389 זאת לא בעיה אבל המחשב שייך לדומיין y אבל היוזר של המזכירה ותחשבו שיש 400 מזכירות כאלו שייך לדומיין אחר x אז אנחנו צריכים שהוא יוכל לסמוך על
יוזרים בדומיין אחר. אני חושב שהיא תוכל להיכנס לכאן, אנחנו צריכים שהדומיינים האלו יהיה ביניהם Trust. יהיה ביניהם Trust.
וזאת המטרה של הסרט, לעשות את ה-Trust הזה ולפתוח רק את הפורטים שצריך. רק את הפורטים שצריך כדי לשמור על אבטחה גבוהה. זאת אומרת, אני רוצה לפתוח פורט בין DC ל-DC, בין קליינט ל-Windows 7, ואני כבר אספר לכם סוד שצריך גם לפתוח פורט מקליינט לשרת DC. כי הקליינט הזה ינסה לגשת גם לשרת DC,
נבדוק את השם וסיסמה של היוזר הזה. אנחנו הולכים לבצע את כל זה בסרט, אנחנו הולכים לגלות איזה פורטים צריך, אנחנו הולכים לגלות שיש פה בעיה של פורטים דינמיים שנקראים RPC, ואנחנו הולכים לפתור את הבעיה של הפורטים הדינמיים, וזאת הולכת להיות הרצאה מעניינת מאוד.
זה מעבר לרמה של MCATP, זה ברמה של המאסטר, זה רמה של פרויקטים חיצוניים שאני עושה, אבל מי שיבין את זה, יבין בעצם איך פועלת Active Directory, אז זאת הולכת להיות הרצאה מרתקת.
אנחנו נעבור עכשיו למכונות וירטואליות. יש לנו שני מכונות וירטואליות, יש לנו פה שרת אחד ושרת שני, שניהם שרתי DC. נשים אותם side by side אחד ליד השני.
כאשר שימו לב, השרת הזה יש לו דומיין שנקרא Active Directory.Practice.com הנה אתם רואים אותו ויש DC אחר לגמרי שנקרא מדומיין אחר