Default GPO

תמלול ההרצאה: Default GPO

הטקסט המלא של הדקות הראשונות בהרצאה «Default GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום לכולם ברוכים הבאים לסרט על gpo זה אחד הסרטים הכי חשובים ואחד הכלים הכי מרכזיים של מנהל הרשת אני רוצה להתחיל להגדיר הכל מההתחלה כדי להזכיר לכם ולעשות לכם חזרה זריזה לקחתי פה שרת נקי שאין עליו אף תפקיד ואני רוצה להתקין עליו בעצם דומיין קונטרולר שיהיה לנו מתחם אבטחה מרכזי

2. 00:24

   ואנחנו ניקח Windows 7 ונצרף למתחם האבטחה הזה וכל הרעיון זה בעצם לנהל מאות תחנות של Windows 7 או אלפי תחנות של Windows 7 בצורה מרכזית ועל זה הולך להתעסק הסרט אני הולך להראות לכם איך בעצם אנחנו מנהלים את התחנה בצורה מרכזית אנחנו אומרים לאיזה שומר מסך לעשות אנחנו אומרים לה מה יהיה לה על שולחן העבודה

3. 00:52

   ואנחנו אומרים איזה מדפסת ואיזה מיפוי כונן רשת יהיה כל דבר שאנחנו רוצים אנחנו יכולים לנהל בתחנת העבודה עכשיו אנחנו צריכים בעצם להתחיל מזה שאנחנו נקים פה Active Directory Domain Services אז תראו הרצתי פה Welcome to Active Directory Domain Service Wizard זה נקרא DC Promo לוויזרד של DC Promo לפני שאני מתחיל עם DC Promo מה צריך לוודא אתם זוכרים לפני שמתחילים עם כל זה שיש לי IP קבוע אני נכנס לכתובת הIP

4. 01:26

   ואני רואה שהמחשב שלי זה 13.1 ויש לו DNS מ-27.001, זה אומר שהוא קורא לעצמו, שזאת ההגדרה הנכונה, דומיין קונטרולר הוא השרת DNS של עצמו.

5. 01:38

   זאת אומרת, כשהוא יחפש DNS הוא יפנה לעצמו, והתוכנת DNS שלו תמצא את האתרים באינטרנט. אני יודע שזה קצת מבלבל אולי בהתחלה, כשנלמד על DNS לעומק אתם ממש תבינו איך זה עובד.

6. 01:53

   בעצם יש בשרת הזה כמה תפקידים שונים, אז בגלל זה ככה זה נראה קצת מבלבל בהתחלה. תוודאו דבר אחד, תצאו מפה עם כלל ברזל אחד שבעוד פרק 1-2 אתם תבינו למה זה בדיוק. תצאו עם כלל ברזל ש-DNS של שרת דומיין קונטרולר זה הוא לעצמו, רק דומיין קונטרולר הוא לעצמו וכל האחרים אליו.

7. 02:20

   מה זה אליו? זה 192.13.1. סתם כתובת שהמצאתי. יפה, אז אני מגדיר פה, אז אני פה מתקין כתובת IP קבועה, יוצר פורסט חדש בדומיין חדש קורא לו practice.local יפה ואנחנו נעשה זריז דומיין חדש בפורסט חדש אחרי שאנחנו נעשה את הדומיין ואת הפורסט שימו לב אני מתחייב לו שהדומיין קונטרולר הכי ישן שיהיה לי זה 2008 r2 או 2008 הרגיל זה הכי ישן שיהיה לי זה אומר שלא

8. 02:57

   יהיה לי אף דומיין קונטרולר נוסף מתחת ל-2008 יכולות להיות תחנות העבודה, יכולות להיות שרתים אחרים, אבל דומיין קונטרולר רק 2008 ומעלה.

9. 03:10

   השרת הזה הולך להיות גם DNS וגם Global Catalog. Read-Only Domain Controller אנחנו נלמד בהמשך, על כל מי שלא סגור על כל השלבים האלו פה, שיראה את הסרטים הקודמים.

10. 03:24

    זאת חזרה זריזה. פה הוא שואל איפה לשים את ה-Database, את המאגר של שמות וסיסמאות של כל היוזרים, איפה Active Directory שם את הנתונים שלו, איפה הוא שם סיסוול סיסוול זה בדיוק הגרופוליסי שלנו הולך להיות בסיסוול אנחנו הולכים להגדיר היום גרופוליסי ובפנים אנחנו נראה בעצם את הקבצים בתוך התקיית סיסוול

11. 03:46

    סיסוול זאת תקייה שהולכת להיות בשייר המשותף שתחנות העבודה לוקחות משם את הגרופוליסי עוד פעם סיסוול זאת תקייה משותפת שממנה תחנות העבודה ייקחו את ההגדרות שנגדיר אנחנו נגדיר הגדרות לגרופוליסי הם ייכנסו כקובץ בתוך סיסוול והתיקייה הזאת היא משותפת.

12. 04:08

    תחנת עבודה תידלק ותיקח משם את ההגדרות שנעשה וכל זה הולך להיות עוד דקה. אני אעצור את הסרט כי העט שכותב הזה זה לא באמת הוא כותב אז אנחנו נעצור אותו ונפגש אחרי הריסטארט אחרי שיש לנו דומיין ונצרף מחשב Windows 7 נקי חדש דנדש לתוך הדומיין שלנו ונתחיל לשלוט עליו בצורה מרכזית.

13. 04:34

    עד שהמחשב של ה-DC עולה ועושה ריסטארט, בואו נעשה כמה בדיקות. ניכנס ב-Devices לנטוורק אדפטר ונבדוק באיזה רשת הוא נמצא. הוא נמצא ברשת אינטרנל נטוורק.

14. 04:51

    אתם רואים אינטרנל נטוורק? מחובר לסוויץ', לא נתלו בריש, נקרא אינטרנל נטוורק. מה זה הסוויץ' הזה? רק למכונות וירטואליות.

15. 04:57

    רק מכונות וירטואליות בתוך המחשב שלי יכולות לדבר בינם לבין עצמן ולא לצאת החוצה. כמו סוויץ' נפרד, כאילו קניתי בחנות סוויץ' נפרד למכונות הווירטואליות שיש לי במחשב.

16. 05:13

    יפה, ואני צריך לוודא שגם Windows 7 מחובר לשם. בואו ניקח את ה-Windows 7 שלנו, נעשה Devices, Network Adapter, הנה הוא מחובר פה ל-NAT, וזה היה עושה לי בעיות, כי פשוט התקשורת לא הייתה עוברת, אז אני מעביר אותו גם לאותו סוויץ' של אינטרנל

17. 05:32

    נטוורק. יפה, עכשיו אני אתן לו כתובת IP ל-Windows 7, אין לי פה DHCP, אין לי DHCP שיחלק כתבות אז אני אתן כתובת ידנית.

18. 05:48

    על DHCP יהיה לנו סרט נפרד ואנחנו נעשה את זה בנפרד בספר הבא אמת של תקשורת. ניתן לי איזה כתובת 125, סתם כתובת IP, העיקר שתהיה באותה הרשת כל עוד הם מחוברים לאותו סוויץ', הם צריכים להיות באותה רשת לוגית.

19. 06:12

    מי שמחובר פיזית לאותו סוויץ' נמצא לוגית באותה הרשת, איזה רשת, 192, ומי זה ה-DNS? זה החלק הכי חשוב, שה-DNS צריך להיות שרת DC. נתנו כתובת IP 13.1 ל-DC, אז שרת דומיין קונטרולר שלנו הוא שרת ה-DNS של תחנת העבודה.

20. 06:32

    ככה תחנת העבודה תוכל למצוא את הדומיין. default gateway פה חסר משמעות כי אין פה ראוטר החוצה, אז זה לא משנה לאיזה כתובת נפנה כדי לצאת החוצה כי אין לנו פה דרך לצאת החוצה.

21. 06:45

    אז סתם כתבתי כתובת, נהוג לתת כתובת אחרונה או כתובת ראשונה לראוטר, נתתי כתובת כזאת. טוב מאוד, אנחנו מוכנים, דבר אחרון שאפשר לבדוק שיש לנו פינג, הנה אתם רואים, עלה לנו השרת 2008 ואנחנו יכולים לראות שיש לנו דומיין, אני חושב, כן, יש לנו דומיין, practice.local, הנה אני רואה את זה כאן.

22. 07:14

    טוב, בואו נבדוק פינג לשרת, אפשר להצטרף ישירות. אפשר קודם לבדוק פינג, בואו נבדוק פינג. אתם זוכרים, ברירת מחדל, פינג סגור. אז אל תתפלאו אם אין לכם פינג.

23. 07:30

    אז אני כותב פה פינג מ-92, מ-68, מ-13, מינוס T, מינוס T זה אומר לעשות פינגים עד שאני אפסיק אותך. אם אתם לא עושים מינוס T הוא עושה שלושה פינגים ועוצר.

24. 07:44

    אני אומר לו תתחיל, הנה הפינגים פה כבר פתוחים, טוב מאוד, יש לנו פינגים, אין לנו בעיה עם תקשורת. ואנחנו יכולים לקחת את הווינדוס 7 הזה ולצרף אותו לדומיין.

25. 07:56

    אתם רואים כרגע הוא בוורגרופ, נקרא לו Windows 7, Windows 7 1, Windows 7 1 PC. אם אני מחליף שם למחשב אני צריך לעשות ריסטארט אבל טוב הוא לא נותן פה בxp הוא נתן לנו להתחכם לצאת בוא ננסה אולי בכל זאת הוא ייתן לנו פה לא פה הוא כבר זה בווינדוס xp אפשר היה לצאת ולהיכנס שוב

26. 08:32

    ובלי ריסטארט גם להכניס לדומיין וגם להחליף שם פה הם כבר חסמו את האופציה הזאת לא חשוב נעשה ריסטארט ואחרי שיהיה לנו שם יפה כמו שאנחנו רוצים אנחנו נצרף אותו לדומיין ונתחיל סוף סוף לנהל אותו בצורה מרכזית ככה אנחנו עושים בעצם בחברה אמיתית, לוקחים מכונה וירטואלית ועושים עליה Group Policy וניסויים של ניהול מרכזי.

27. 09:00

    אחרי שזה עובד טוב, כבר שמים את זה על כל העובדים. אוקיי. דרך אגב, שמתם לב שהמחשב של הסרטים הוא מאוד כזה מוגן וחסום?

28. 09:15

    אז גם זה עם Group Policy. תסתכלו טוב טוב, תנסו לפתוח כל מיני חלונות, תנסו להיכנס לכל מיני מקומות אסורים, ואתם תראו שאתם לא יכולים לעשות כלום. וזה הכל בזכות Group Policy.

29. 09:28

    כרגע המחשב נקרא ווין שווה אחד, הוא בקבוצת עבודת Work Group, זה אומר שהוא לא סומך על אף אחד. אני אומר חמוט, אתה join to domain, אתה מצטרף לדומיין ומתחיל לסמוך על מתחם אבטחה, אתה חלק ממתחם אבטחה שנקרא practicue.local, אתה חלק מדומיין.

30. 09:45

    הוא שואל אותי, טוב, תן לי איזשהו שם, אני אתן לך שם של אדמיניסטרטור ואנחנו צריכים להצטרף לדומיין. Welcome to the practicue.local.domain, תודה רבה ואנחנו נכנסים פנימה.

31. 10:09

    אז בואו נתחיל עם Group Policy, לשם כך התכנסנו כאן היום. אז אנחנו לפני שנתחיל עם Group Policy נעשה OU חדשה, תיקייה חדשה באקטיב דירקטורי שנקראת טסטרס, מחשבים לבדיקות וניסויים וניקח את הווינדוס 7 הזה ונעביר אותו לטסטרס.

32. 10:33

    למה זה חשוב? כי Group Policy עובדת לפי ה-OU לפי התיקיות האלו ולכן חשוב מאוד שהמחשב שעליו אתה רוצה לעשות Group Policy, מדיניות אבטחה מרכזית.

33. 10:48

    כן, זאת ההגדרה הכי טובה לגורופוליסים, מדיניות אבטחה מרכזית, מדיניות מרכזית. אז אני שם פה גם את המחשב וגם איזשהו יוזר שנקרא לו טסטג'ר.

34. 11:05

    אתם יכולים להמציא שמות כאוות נפשכם. אני אומר שלא יחליף סיסמה, שהסיסמה אף פעם לא תפוג תוקף, שלא כל 30 או 90 יום הוא יצטרך להחליף סיסמה. ביוזר בכלל אסור לא להחליף סיסמה, וזה עוזר לבדיקות הפנימיות שלי.

35. 11:23

    עכשיו אני אתחיל לעשות group policy על testers וזה יחול גם על המחשבים וגם על יוזרים ואנחנו אפילו ניקח פה organization unit נקרא לו pieces וניקח את ה-windows 7 וניגרור לתוך ה-pieces ונעשה פה הוא שנקרא users ונעביר את זה לפה גם פה אתם יכולים לעשות test pieces יפה יש לנו עכשיו

36. 11:58

    ערה מסודרת של מחשבים לבדיקה של יוזרים לבדיקה ואנחנו יכולים להתחיל גרופוליסי גרופוליסי לא נמצא ברולים פה הוא לא נמצא פה ברולים למרות שזה כלי חשוב אבל זה סך הכל כלי לכן זה פיצ'ר תוסף התפקיד נקרא אקטיב דרקטורי גרופוליסי זה רק פיצ'ר אם תתקינו אותה הרסת כלי ניהול בתחנת העבודה של ווינדוס 7 תקבלו בדיוק אותו כלי ניהול

37. 12:29

    אותו כלי ניהול של גרופוליסי כמו שאתם רואים פה בווינדוס 7 יפה כשאנחנו פותחים את הגרופוליסי אנחנו יכולים לראות את ה-OU שלנו, טסטרס, ובעצם את כל ה-OUים, ולכל ה-OU אנחנו יכולים לצרף פוליסה.

38. 12:48

    כרגע יש לנו דיפולט דומיין פוליסי. דיפולט דומיין פוליסי זאת פוליסה דיפולטית, מדיניות דיפולטית, שמגיעה אחרי התקנת דומיין. איך שעשיתי DC-Promo, איך שהתקנתי דומיין, יש לנו מדיניות דיפולטית, ברירת מחדל, הגנת ברירת מחדל על הדומיין.

39. 13:06

    ויש לנו עוד אחת שמגיעה ישר אחרי ההתקנה, נקראת default בריאת מחדל לדומיין קונטרולרים בריאת מחדל לדומיין קונטרולרים ובריאת מחדל לכל שאר המחשבים פה יפה למה זה כזה חשוב כי אנחנו צריכים לדעת מה מגיע בריאת מחדל בעצם מה כלול בעסקה כי זה קיים בכל אחד מהפוליסות אז בואו נעשה פה למעלה אנחנו נדבר על כל האופציות שאתם רואים פה בינתיים אני רוצה לעשות

40. 13:39

    settings ואחרי שאני עושה settings אני רואה מה מוגדר בתוך הפוליסה שבחרתי כרגע אני בדיפולט דומיין, דיפולט לכל הדומיין, ואני רואה שיש פוליסה למחשבים, ליוזרים אין פוליסה, ובתוך פוליסה למחשבים יש לנו פה פוליסי, ווינדוס סטינגס, סקיוריטי סטינגס, ובסקיוריטי סטינגס יש לנו אקאונט,

41. 14:03

    אקאונט פוליסיס לחשבונות יוזרים, שיוזר כל 42 יום מקסימום צריך להחליף את הסיסמה, 24 סיסמאות אחורה הוא זוכר, הוא יכול להחליף סיסמה פעם ביום, שימו לב כל 42 יום להחליף סיסמה זה משגע את המשתמשים אני שם את זה כל 90 יום אבל כל אחד ומדיניות האבטחה שלו לפי הרגישות של המידע לפי ההיסטוריה של אותה הרשת ולפי הפוליטיקה

42. 14:32

    הפנימית בעיקר אז מינימום 7 תווים זה ברירת מחדל שימו לב מה שאני מגדיר לכם זה לא משהו שאני ממליץ עליו זה משהו שמגיע ברירת מחדל