יצירת Trust בין דומיינים
פרקי ההרצאה: יצירת Trust בין דומיינים
תמלול ההרצאה: יצירת Trust בין דומיינים
הטקסט המלא של הדקות הראשונות בהרצאה «יצירת Trust בין דומיינים» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לשיעור על trust בין דומיינים, trust בין חברות ואנחנו הולכים לעשות דבר הבא יש לנו שתי מכונות וירטואליות שאחת מייצגת חברה אחת והמכונה הווירטואלית השנייה מייצגת חברה אחרת בחברה הראשונה זה שתי חברות שהולכות להתאחד אז חברה הראשונה נקראת active
directory.practicue.com והחברה השנייה נעשה שמה dc promo שימו לב המחשב הזה הוא כרגע לא בדומיין אני חושב, אנחנו הולכים להקים שתי חברות נפרדות ולחבר אותן.
מה המטרה? אתם רואים בוורק גרופ. כרגע המחשב נמצא בוורק גרופ ואנחנו הולכים להקים עליו את החברה החדשה. המטרה שמשתמשים מחברה אחת יוכלו לקבל הרשאות בשרת אחר.
בואו נעשה איזושהי הדגמה שנבין בשביל מה אנחנו צריכים את זה. נניח יש לנו פה משתמש בשם יוסי כהן. יוסי כהן, ניתן לו איזושהי סיסמה. נקסט נקסט נקסט, עשינו משתמש יוסי כהן המטרה רגע בינתיים אני אעשה ניו פורסט, פורסט חדש דומיין חדש כאילו חברה נפרדת לגמרי שנקראת סתם או חברה 2 בוא נעשה לה ככה חברה 2 נקודה לוקל זה מתחם
האבטחה של חברה 2 נקודה לוקל חברה 2 נקודה לוקל שימו לב זה פורסט חדש דומיין חדש הם לא קשורים אחד לשני וזה לא מעניין אותי רמות הIP לא מעניין אותי אם זה אותו IP או IP אחר האפליקציה, התוכנה שנקראת Active Directory, לא מעניין אותה נושא של כתובות IP, לפחות לא בשיעור הזה.
אז אני לא מתעסק פה בתקשורת. זה שיש לי ביניהם פינגים ויש ביניהם תקשורת, זה על ידי VPN או איזושהי טכנולוגיה אחרת. זה לא מעניין אותי בשיעור הזה. אנחנו פה מתעסקים בתוכנה ולא ברמת תקשורת.
רמת תקשורת, יש לי פינגים ביניהם, ולמה יש לי פינגים ביניהם? את זה כבר צריך לשאול את אנשי הרשת. בעולם האמיתי עושים את זה על ידי ה-VPN.
טוב, אנחנו עושים פה 2008 נניח, אנחנו מתחייבים לו שיש לנו 2008, שירת 2008, אפילו 2008 R2. זה אומר מה ה-DC, DC, שימו לב, הכי ישן שיהיה לי בחברה, אוקיי?
טוב מאוד, בינתיים בואו נבדוק שיש לנו באמת, אין פה בעיות תקשורת, איך אני בודק את זה, אני רואה פה את ה-IP שלו. עכשיו, חבר'ה, אני לא מתעסק פה בתקשורת, זה לא ספר על תקשורת, לא קורס על תקשורת על תקשורת אנחנו מדברים בעצם בקורס הבא שמתעסק בתקשורת ושם אנחנו נדבר מה זה VPN ואיך עובדים VPNים ואיך דואגים שיהיה פינג בין החברות כרגע יש
לי פינג פה וזה מה שהכי חשוב לי אוקיי אז יש לנו DNS יש לנו Global Catalog כי זה מחשב הראשון בדומיין שימו לב אני מקים שתי חברות שונות ואנשי הרשת דאגו שיהיה לי פינג מאחד לשני איך הם עשו את זה בקורס הבא בעצם בספר הבא של 642 שמתעסק באינפרסטרקצ'ר בינתיים אני דואג פה שיש לי פינגים ואני מוודא
שאין לי בעיות תקשורת יפה 10.0.2.12 זה 0.2.11 מצוין יש לי פינגים גם לפה וגם לשמה דרך אגב מי שאין לו פינג מי שמהתלמידים אין לו פינג אז תבדקו שני דברים אחד שאתם מחוברים לאותה רשת אתם רואים שזאת רשת אני מחובר לרשת שנקראת אינטרנל נטוורק אז אם זה אינטרנל נטוורק, גם ההוא אינטרנל נטוורק ששניכם מחוברים לאותה הרשת
ואותה הרשת אסור לעשות אותה נאט כי בנאט יש בעיות בין המכונות הווירטואליות. אז תעשו אינטרנל נטוורק או כל דבר אחר אבל לא נאט. אז עשיתי אינטרנל נטוורק בשתיהם, נתתי לשתיהם טובות IP, בדקתי שיש לי פינגים ואל תשכחו שבפיירוול פינגים סגורים by default, ברירת מחדל של פיירוול שאין ביניהם פינגים.
מי שרוצה לפתוח את זה אני מזכיר לו איפה פותחים את זה נכנסים לאינבאונד מוצאים פה share file and print sharing זה נקרא זה זה אתם רואים file and print sharing ICMP v4 ICMP זה פרוטוקול של פינגים וצריך שזה יהיה בירוק זה אומר שהחוק הזה פועל והוא מאפשר כניסה סתם שתראו לכם שתראו את זה אני עושה פה מינוס t שיהיה בלי הפסקה בא לחוק הזה עושה disable
איך שעשיתי פה disable לחוק הזה הפינגים פה צריכים להפסיק אופס הוא עשה לי ריסטארט הוא עשה לי ריסטארט כי הוא סיים להתקין את אקטיב דירקטורי, אבל אוקיי פייל אנד פרינט שיירינג אני עושה אינאבל רו יפה אני מאפשר את הפרינט ואנחנו עכשיו מתחילים אנחנו עכשיו מתחילים בעצם ממצב שיש לנו שתי חברות שונות לגמרי שהן לא סומכות אחת לשנייה מה זה אומר שהן לא סומכות אחת על השנייה זה אומר
זה שיש לי פה יוסי כהן שעבר בדיקה של שם וסיסמה זה לא מעניין את הדיסי ההוא אני לא הוא לא יכול לבוא לדיסי השני לחברה השנייה ולהגיד שיוסי כהן משמה יכול לגשת לקבצים פה.
אם אתה רוצה שהוא ייגש במצב כרגע בלי טראסט צריך לעשות ליוסי כהן חשבון גם בחברה השנייה זאת אומרת יוסי כהן צריך שיהיה לו חשבון גם בחברה הראשונה וגם בחברה השנייה וזה מצב של ניהול כפול ניהול כפול של שמות משתמשים וסיסמאות ואם יוסי כהן מחליף שם וסיסמה צריך ללכת לחברה השנייה וגם שמה להחליף שם וסיסמה.
תראו את זה אוקיי הנה השרת השני עלה לנו בשעה טובה ומוצלחת אוקיי אנחנו רואים פה שיש פה Active Directory של חברה 2.Local שימו לב זה דומיינים שונים פורסטים שונים אין שום קשר ביניהם עכשיו מה איפה הבעיה שימו לב איפה הבעיה אני פה בשיא עושה את איקאה שנקראת דוקס ועושה אותה משותפת לנניח לכולם אני עושה
אותה משותפת לכולם עכשיו ויוסי כהן רוצה לגשת אליה אז מה אני רוצה לעשות אני רוצה לבוא פה לסקיוריטי לעשות אדיט לסקיוריטי ופה ברשימה הזאת להכניס אנשים שיהיה פה יוסי כהן משם שימו לב מה אני רוצה אני רוצה פה לעשות אד ולכתוב שהוא לא יחפש יוזרים בחברה 2.לוקאל שבלוקיישן יחפש יוזרים לא ממחשב הזה הלוקאלי ולא מחברה 2.לוקאל אלא מאיפה
מחברה אחרת זאת אומרת שידע לראות את הסידים של חברה השנייה זאת המטרה כרגע אין פה אותה אופציה הזאת כי אין Trust ובגלל שאין Trust מה אני נאלץ לעשות וזה בדיוק מה שאמרתי לכם לפני כן אני נאלץ לבוא לפה ולעשות גם פה יוסי כהן לעשות פה עוד יוזר שנקרא יוסי כהן אני עושה לו אותו שם ואותה סיסמה אבל מה יקרה אם יוסי כהן יצטרך להחליף סיסמה כל 30 יום
כל 90 יום תלו במדיניות של החברה מחליפים סיסמה אז יוסי כהן יחליף פה סיסמה הוא יצטרך לבוא גם פה להחליף סיסמה וזה ניהול כפול ואם הוא ישכח להחליף פה סיסמה והחליף באחד ובשני שכח מה יקרה המערכת השנייה תחשוב שהוא מנסה לפרוץ ותנעל לו את החשבון ומה קורה אם זה לא בן אדם אחד מה קורה אם זה 300 אנשים אתם
מבינים מה זה לעשות לכל יוזר חשבון בחברה שנייה ולעשות להם 300 חשבונות בניהול כפול ובלי אפשרות להחליף סיסמה ומה קורה כשיש הרבה חברות שמתאחדות ביחד? בקיצור, ניהול כפול זה לא הפתרון.
מה הפתרון? הפתרון זה לא לעשות פה את יוסי כהן הזה. לא, זה לא נכון. לא לעשות. כשיוסי כהן יש לו חשבון אחד לבן אדם אחד, זהות דיגיטלית אחת.
הזהות הדיגיטלית של הבן אדם זה החשבון שלו באקטיב דירקטורי. אז הפתרון זה לגרום למערכת הזאת לדעת לסמוך ולראות את היוזרים מכאן. זאת המטרה.
טוב מאוד, ואז אחרי שאנחנו נצליח במילוי המטרה שלנו, אנחנו נראה פה שאנחנו יכולים להוסיף פה את יוסי משמה ואנחנו נראה שאנחנו עושים אד, אנחנו מוסיפים פה לוקיישן, נראה את החברה ההיא ומתוך החברה ההיא נוכל להוסיף את יוסי משמה עכשיו יותר מזה, אני לא אומר רק יוסי, אני עושה פה קבוצה שנקראת אנשי מכירות ואני לא רוצה להוסיף רק את יוסי, אני רוצה להוסיף את כל אנשי המכירות
אני עושה קבוצה שנקראת סלס, ושימו לב לדגש שהקבוצה הזאת חייבת להיות מסוג גלובל כי אם היא לא מסוג גלובל אלא מסוג לוקאל ההוא לא יראה אותה לוקאל רואים רק הלוקאלים שלי רק הדומיין שלי גלובל גם ההוא יראה אותה ואוניברסל גם ההוא יראה אותה אוניברסל היא הכי טובה אתם יודעים מה תשתמשו באוניברסל זה הכי טוב אוקיי ממברס יש לנו שיעור נפרד על קבוצות
אז אני לא חוזר עליו אני רק עשיתי לכם פה חזרה זריזה של 10 שניות על קבוצות יש לנו סרט נפרד על קבוצות ששם אנחנו רק על זה מדברים שעות.
אז אני עושה ממברס ומוסיף את יוסי כהן יוסי כהן בקבוצה של סיילס ואני רוצה להוסיף סיילס על תיקיית דוקס בכונן סיפו שפה סיירת הדוקס. הבנו כרגע זה בלתי אפשרי כרגע אין טראסט המערכת הזאת לא סומכת על המערכת ההיא ולכן אי אפשר לבדוק שמה שמות וסיסמאות אוקיי זאת אומרת שהיא לא סומכת מה זה אומר זה אומר שאם אתה מגיע אליי לתיקייה הזאת לא מעניין אותי ששם אתה יוסי כהן.
אני לא מכירה את המערכת ההיא, לא מעניין אותי. תביאי לי שם וסיסמה ממישהו שאני מכירה, ממישהו שאני סומכת, ממישהו שהוא מאושר. וכרגע היחיד שמאושר זה או המחשב הזה או הדומיין.
או המחשב או הדומיין. אני רוצה שגם הדומיין השני יהיה ב-Trusted. טוב, ברורה המטרה, ברורה הסיבה למה זה טוב ולמה חייבים לעשות את זה כשמאחדים כמה חברות ביחד, כי אחרת יוזרים של חברה אחת לא יוכלו לגשת למסמכים של חברה אחרת.
טוב, אז לפני שאנחנו נעשה נתחיל לעשות Trust ואני אראה לכם את הכלי הכלי נקרא Domains and Trusts לפני שאנחנו נתחיל לעשות Trust אנחנו צריכים לוודא שאין לנו בעיות של תשתית מה זה תשתית תשתית זה פינגים וזה DNS פינגים כבר בדקנו DNS לא בדקנו מה זה אומר בעיות של DNS DNS זה דבר כזה אנחנו באים פה לוקחים את השם של המחשב ושם של הדומיין ובודקים שהשני
יודע למצוא אותו זאת אומרת אני בא לפה ל-DNS הזה לוקח את השם של השרת הזה אתם רואים? srv081-active-directory-practice.com זה שם של השרת הזה.
ואני רוצה לראות, אוקיי, NSLOOKUP לשם של השרת ההוא. אוקיי, וזה לא עובד, מן הסתם. למה זה לא עובד, דרך אגב? את זה אתם צריכים כבר לדעת בשלב הזה.
למה פה הוא לא יודע למצוא את השם של ההוא למרות שהם נמצאים באותה הרשת? כי איך הוא עובד? ב-DNS הזה מכיר רק חברה שתיים נקודה לוקל, אתם רואים? יש לו רק חברה שתיים נקודה לוקל.
מה הוא עושה עם כל מה שהוא לא חברה שתיים נקודה לוקל, עם כל מה שהוא לא מכיר? מה הוא עושה עם זה? הוא הולך לשירותי ערוץ, שירותי הנקודה, שירותים שמנהלים את האינטרנט העולמי, ואומר להם: חבר'ה, תגידו לי, מי זה SRV-081 נקודה זה זה זה? הוא אומר: תקשיב, שרת האינטרנט
העולמי אומר לו: לא יודע מי זה, לא יודע מה אתה רוצה ממני ואז הוא מחזיר לך תשובה יותר מזה אני אספר לכם סוד הוא אפילו לא הולך לאליהם כי אין לו אינטרנט אבל אם היה לו אינטרנט הייתה חוזרת תשובה כזאת הוא מנסה להתחבר אליהם גם לא מצליח אז אני צריך להגיד לו תקשיב מצד אחד אתה לא אחראי אבל מצד שני אל תלך לשרתי הערוץ תלך לIP שאני אגיד לך זה נקרא conditional forward conditional forward אומר שאם אתה
מחפש active directory.practice.local.com זאת אומרת אני אומר לו אם אתה מחפש את השני אל תלך לשרתי הרוט תלך ל-IP 10.0.2.11 למה 2.11 כי זה ה-IP של המחשב הזה 10.0.2.11 זאת אומרת כשאתה מחפש את הדומיין הספציפי הזה אתם רואים את השם ה-DNC הזה תלך ל-10.0.2.11 טוב מאוד בוא נראה עכשיו האם זה משנה משהו עכשיו אני עושה NSLOOKUP ושואל אותו על אותו שם והפעם הוא אמור לגשת לקונדישנל פורוורד ולא
לשרתי הרוט אוקיי אנס לוקאפ והנה התשובה חזרה לנו שימו לב התשובה חזרה לנו לפני כן היה לנו request timeout שלא הייתה תשובה טוב מאוד סידרנו את הדי.אן.אס אבל שימו לב לא לשכוח שדי.אן.אס זה דו-כיווני גם הפוך צריך לסדר אותו מה זה הפוך שהשרת ההוא ידע למצוא את השם הזה אז אני לוקח את השם של המחשב הזה, הולך לשרת הזה,
עושה NSLOOKUP וגם פה עושה פייסט.