TS Gateway

תמלול ההרצאה: TS Gateway

הטקסט המלא של הדקות הראשונות בהרצאה «TS Gateway» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום וברוכים הבאים להרצאה על טרמינל סרבר גטוויי. אנחנו בעצם נבין מה זה טרמינל סרבר גטוויי, נתקין אותו. זאת הולכת להיות הרצאה מעניינת שהיא די חובה למי שרוצה להתחבר לטרמינל סרבר מבחוץ.

2. 00:16

   אני יונתן רבזין ואתם בהרצאות של מכללת פרקטיקיו. יש לנו הרצאות מלאות בסרטונים על סיסקו, וימואר, מייקרוסופט, כל מה שקשור לתכנות, על הכל יש לנו הרצאות מרתקות ומעניינות.

3. 00:33

   וההרצאה הזאת נתרכזת בטרמינל סרבר. למעשה יש לנו פה שלושה שחקנים שהולכים לשחק היום. השחקן הראשון זה שרת שיהיה גם DC, אבל זה שרת שעליו אנחנו נתקין טרמינל ואליו מתחברות, כל האפליקציות נמצאות על השרת הזה וכל מי שרוצה לעבוד בטרמינל חייבים להתחבר אליו.

4. 00:59

   יש לנו את הווינדוס 7 קליינט שיושב בבית ורוצה להתחבר. במקביל יש לנו עוד שרת, שהולך להיות הגטווי.

5. 01:12

   מסיבות של אבטחה אנחנו לא מאפשרים לווינדוס 7 מבחוץ להתחבר ישירות לשרת הפנימי. אנחנו רוצים שבאמצע יהיה גטווי שיבדוק אותך וייתן לך להיכנס רק אם באמת מגיע לך. והגטווי הזה גם ייתן לך להיכנס גם לשרתים אחרים אם צריך.

6. 01:33

   אז אנחנו הולכים למעשה דבר כזה, לוקחים את השרת הראשון. מתקינים עליו את הרול הרגיל של טרמינל סרבר. אני עושה Add Roll ובוחר Terminal Server. Terminal Server Remote Desktop Services זה נקרא.

7. 01:51

   החל מ-2008 R2 זה נקרא Remote Desktop Services. אז אנחנו מתקינים עליו את ה-Roll הזה. הוא אומר שזה לא מומלץ לעשות לי DC. ועל ה-Getway נתקין את ה-Roll הזה של ה-Getway.

8. 02:05

   מצוין. הוא אומר האם לדרוש אבטחה ברמת SSL? אני אומר לו. אם אני אדרוש אז רק שבע וויס תוכלו להתחבר. XP by default לא יוכל להתחבר, אלא אם כן הוא יתקין את כמה תוספות.

9. 02:22

   אז Network Level Authentication זה SSL, מעל חיבור ה-RDP, Remote Desktop, יפה. בואו אני אגיד שאני לא דורש, נניח.

10. 02:36

    הלאה, האם אני סופר התקינים בשביל הקהלים, רישיונות גישה, או שאני סופר יוזרים, או שאני אעשה את זה תוך 120 יום, יש לי להכניס להם את הרישיון, אני עושה 120 יום.

11. 02:50

    מי רשאי להתחבר לשרת הזה ולעשות Remote בעצם להיכנס אליו בלוגין מרחוק, אני אומר שכל היוזרים אצלי. כמובן שאני יכול לעשות קבוצה נפרדת שאומרת יוזרים שמותר להם להתחבר לשרת RDP.

12. 03:09

    נקסט, האם לאפשר כל מיני אודיו אצלי והכל? יופי. התקנתי remote desktop. עכשיו קליינט של Windows 7 יכול היה לגשת אליו, אבל אני לא מאפשר את זה מבחינת תקשורת, זאת אומרת פורט בראוטר לא פתוח לשרת הראשי שלי, שרת טרמינל הראשי שלי למקרה שמישהו ירצה לתקוף אותו שלא יוכל להתחבר אליו או להפיל אותו

13. 03:40

    בעומס יתר או דברים כאלו אז אני שם שרת אחר לגמרי שכל התפקיד שלו להיות זה שמתחברים אליו מבחוץ ודרכו עוברים פנימה זה דומה לשרת VPN אבל רק לרימוט דסקנופ אז זה שרת gateway שלי לשרת gateway הזה פתוח 3389 מבחוץ אליו ואני קורא לזה VPN קטן, VPN רק לרימוט דסקטופ.

14. 04:14

    אז אני בא פה לרימוט דסקטופ סרוויסס, ומתקין עליו את הסרוויס של רימוט דסקטופ גטוויי. יופי, אז בואו נעבור על ההגדרות שלו, רימוט דסקטופ גטוויי נקסט.

15. 04:28

    הוא אומר, איזה תעודה דיגיטלית להראות ללקוחות שהתחברו אליי, מי שהתחבר אליי? ב-SSL מה להראות, מה התעודה של הסרוויר?

16. 04:38

    יש לי פה כבר תעודה, כי יש לי CA עם תעודה, שנתן לי תעודה. אם לא היה לי CA שנתן לי תעודה, יכלתי לעשות Self-signed לייצר לעצמי תעודה. כמובן שמומלץ לעשות תעודה מסודרת, כי בתעודה מסודרת יש יתרונות רבים, אבל יש אבא שאפשר לסמוך עליו, וכולם סומכים על אותו אבא, בסדר?

17. 05:05

    אז אני אומר, תשתמש בתעודה הזאת, נקסט. האם לעשות פוליסת התחברות? אני עושה כן. עכשיו שאלה, מי רשאי להתחבר לגטוויי? מי רשאי מבחוץ להתחבר לגטוויי?

18. 05:19

    אני כמובן במציאות אצורך קבוצה מיוחדת ב Active Directory שאומרת עובדים שמותר להם לעבוד מהבית. במקרה של הרשת הקטנה שלי אני אומר כל היוזרים אצלי יכולים להתחבר דרך הגטוויי.

19. 05:35

    זה השם של הפוליסה Remote Desktop Cup. Cup זה בעצם פוליסה של איך מזדהים, Authentication, איך מזדהים מולי, האם מזדהים מולי עם שם וסיסמה או שמזדהים מולי עם סמארט קארד, אני אומר עם שם וסיסמה.

20. 05:52

    ו-Rap זה Resources, לאיזה משאבים מותר להיכנס לאלו שעברו זיהוי. נניח שעברת זיהוי עם שם וסיסמה, ונניח שמותר לך להתחבר, האם זה אומר שמותר לך להתחבר לכל שרת בחברה?

21. 06:08

    לא. אני יכול לעשות פה קבוצה ב-Active Directory שאומרת שרתים שמותר להתחבר אליהם. רשימת שרתים, ויהיו בתוך הקבוצה הזאת רק מחשבים שמותר להתחבר אליהם ב-Remote Desktop.

22. 06:21

    לכל האחרים אסור. בעצם הגטו הוא כמו Firewall, בודק שאתה לא מנסה להתחבר לשרת שאסור להתחבר אליו. מי שרוצה לעשות את זה עושה קבוצה באקטיב דירקטורי ומכניס לשם את השרתים שמותר להתחבר אליהם.

23. 06:35

    אני אומר מותר להתחבר לכל המחשבים אצלי ברשת, מי שמגיע מבחוץ יכול להתחבר לכל המחשבים ברשת הפנימית שלי.

24. 06:43

    נקסט הוא משתמש לצורך הפנימי שלו בשרת רדיוס ב-NPS ואני עושה התקנה. יופי, עכשיו בואו נבדוק שהסיפור הזה באמת עובד. נלך ל...

25. 06:58

    טוב, אני אלך לווינדוס 7 אבל שנייה אני רוצה להראות לכם לפני שאני עוזב את השרת הזה ומראה לכם שזה באמת עובד ואיך מגדירים בדיוק גטוויי בווינדוס 7 אני רוצה להראות לכם משהו קטן בדיוק את האופציות שהוא הגדיר לנו אז הוא הגדיר לנו פה ברימוט דסק טופ סרוויסס רימוט דסק גטוויי מנאג'ר זה מה שרציתי

26. 07:24

    להראות לכם וגטוויי מנאג'ר מראה לנו פה במסך הראשים יש בהם תעודה דיגיטלית לפעמים יש בהם תעודה דיגיטלית הוא מראה את זה פה ובפרופרטיס של גטוויי בפרופרציס של גטוואי אני יכול להגיד כמה חיבורים מותר לעשות במקביל.

27. 07:45

    SSL סרטיפיקט, איזה תעודה להראות למי שמתחבר אליי ב-SSL? אז זוכרים סלף סיינד או שאני אעשה לבד? יופי. RD-cap, לאיזה פוליסה עובדת? האם יש לי רדיוס חיצוני או שאני משתמש ברדיוס הקטן המקומי שלי?

28. 08:10

    אוקיי. פארם, פארם זה קבוצת גטוואים שעובדים במקביל. לדוגמה כמו nlb כזה של גטוויים קלאסטר של כמה גטוויים כדי למנוע עומס ואם אחד נופל השני עובד במקומו רודיטינג מה לתעד בעצם ביומן אירועים יש לכם פה הסבר על אינאבל לוגינג וכל הקטע של הלוגינג לתעד מהתחבר ssl ברידג'ינג טוב

29. 08:43

    אנחנו לא נגיע למצב של ssl ברידג'ינג זה למקרה שיש לנו שרת אייזה שכבר שרת אייזה ירד מהמדף ויש במקומו שרת חדש זה בעצם מתחברים לאייזה ב-SSL ואייזה מתחברת אלינו ב-SSL.

30. 09:01

    טוב, זה לא צריך כרגע וגם זה לא צריך. יופי. עברנו על האופציות החשובות שיש בשרת. בקאפ, קאפ, למי מותר להתחבר אליי? זאת פוליסה ראשונה, אני יכול לעשות כמה פוליסות.

31. 09:19

    איזה יוזרים מותר להם להתחבר? מאיזה מחשבים מותר להתחבר בדומיין? אם אני רוצה להגביל אני יכול להגיד רק ממחשבים בדומיין יכולים להתחבר דרך הגיעת way.

32. 09:30

    איזה משאבים מותר לעשות אליי, להעביר אליי בסשן. אני יכול להגיד שאסור להעביר אליי כוננים ואסור להעביר קופי פייסט ואסור לחבר את המדפסת שלך מהבית.

33. 09:43

    או שאני יכול להגיד שמותר לחבר את המדפסת מהבית. כל אחד יחליט מה מדיניות האבטחה שלו, אז אני אומר שאצלי הכל מותר וכמה זמן מותר לעבוד על השרת וכמה זמן מותר להיות איידו.

34. 09:59

    זאת אומרת אם אתה עזבת שרת לשעתיים רק אחרי זה מתנתקת מתנתק הסשן כאילו החלון נסגר. המידע לא הולך לאיבוד רק החלון נסגר אחרי שעתיים שהשארת החלון פתוח והלכת יופי וtimeout זה ממש מעיפים אותך החוצה session timeout עושים לך לוג אוף יכול להגיד דיסקונקט או יפה ריאות אתיקט מצוין זה הקאפ וזה הראפ שלי resource authorization

35. 10:30

    מה השם של הפוליסה לאיזה יוזרים מותר בעצם להשתמש לאיזה משאבים ברשת מותר להתחבר אני יכול להגיד איזושהי קבוצה מהכתיב דירקטורי או שאני יכול להגיד את כל היוזרים אפשר להגיד גם גטווי של גטווי אחר אם יש לנו גטווי מאחוריו יש עוד גטווי אוקיי ואלאוט פורט באיזה פורט מותר

36. 11:01

    להתחבר לגטווי הזה ב3389 מצוין בוא נעבור לווינדוס 7 ונראה איך אנחנו מגדירים את הגטווי הזה שימו לב עכשיו זה החלק הכי יפה השימוש בגטווי אני פותח רימורט דסקטופ mstc רימורט דסקטופ קונקשן וכותב פה את הIP הפנימי נניח 0.2.11 תחשבו שזה IP פנימי של החברה ואני נמצא בכלל בבית ואני כותב IP פנימי של החברה איך הוא יגיע עד לשם אני מגדיר לו פה

37. 11:40

    באדוונסט את הגטוויי אתם רואים Select From Anywhere Connect From Anywhere ואני אומר לו תשתמש בגטוויי ואני אומר לו תקשיב הגטוויי שלך זה IP החיצוני של החברה פשוט במקרה שלי קשה לכם לראות את ההבדלים בIPים אבל תאמינו לי שזה IP חיצוני של החברה יפה אז אני אומר 10.2.12. ברשת המקומית גם צריך לעבור דרך

38. 12:10

    הגטוויי, לא לעשות בייפאס, לא לעקוף את הגטוויי, תמיד תעבור דרך הגטוויי ותשתמש בשם הסיסמה שלי בגטוויי גם לשרת המרוחק. מצוין.

39. 12:20

    עכשיו מה שקורה בעצם, אנחנו מתחברים לגטוויי ואחרי זה עם אותו שם וסיסמה גם מתחברים לרימוט קומפיוטר. אז אני כותב אדמיניסטרטור ואת הפספורט. אז התקשורת עכשיו נראית כאילו היא מול 10.2.11 ולמעשה היא מול הגטוויי, והנה הוא אומר לי, תיזהר התעודת SSL של הגטוויי לא תקינה.

40. 12:48

    אנחנו יכולים לראות למי ניתנה התעודה ואני מתחבר ל-IP, אז בטוח שהתעודה לא תקינה, זה כמו הודעה אדומה בבראוזר, בדפדפן האינטרנט.

41. 12:59

    SSL אף פעם לא יעבוד כמו שצריך דרך ה-IP, כי הוא תמיד משווה בין היעד שלך להתחברות ל... אני אומר לו אל תזהיר אותי, תתחבר אותי בלי להזהיר אותי.

42. 13:13

    SSL כטכנולוגיה משווה בין היעד שלך שאתה מנסה להתחבר אליו, למה שכתוב בתעודה דיגיטלית כדי לוודא שלא מישהו באמצע נעמד או לא מישהו מנסה לחטוף לך את החיבור.

43. 13:27

    זאת אומרת, תראה, המחשב הזה הוא לא מתאים מבחינת התעודה הדיגיטלית, זה השם שיש בתעודה דיגיטלית ואתה מנסה להתחבר למשהו אחר.

44. 13:37

    ו-rude CA, זה שנתן לו את התעודה, is not trusted. אני גם לא סומך על מי שנתן לו את התעודה. אנחנו צריכים לסדר את הנושא הזה של תעודה דיגיטלית.

45. 13:49

    בואו בינתיים נכתוב srv08m2 ואני אומר לו אוקיי וקונקט. אם זה לא מסתדר אני צריך להיכנס ל-MMC ובעצם להתקין את התעודה הדיגיטלית שאפשר יהיה לסמוך.

46. 14:11

    דרך אגב אם אני אוותר על ה-GETWARE אז לא תהיה לי בעיה בכלל. אוקיי טוב בואו נעשה דבר כזה DETALS COPY TO FILE נשמור את זה בקובץ C מיי-סי-איי מיי-דוקומנס מיי-סי-איי סרטיפיקייט סרט מיי-סי-איי סרטיפיקייט ועשינו אקספורט לתעודה הזאת ועכשיו נבוא לתיקייה הזאת

47. 14:45

    ונעשה לתעודה הזאת התקנה Install Certificate מריצים את הוויזרד של ההתקנה ואומרים שים