צירוף Windows 7 לדומיין דרך Firewall

תמלול ההרצאה: צירוף Windows 7 לדומיין דרך Firewall

הטקסט המלא של הדקות הראשונות בהרצאה «צירוף Windows 7 לדומיין דרך Firewall» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום וברוכים הבאים להרצאה מעניינת באיזה פורט עובד ווינדוס 7 מול DC. זאת הרצאה מאוד חשובה במקרה שיש לנו firewall שחוסם את כל הפורטים בין ווינדוס 7 לשרת ה-DC כששניהם נמצאים ברשתות שונות.

2. 00:20

   עוד דקה נראה את זה. אני יונתן רבזין ואתם בהרצאה של מכללת פרקטי קיו. טוב שהצטרפתם אלינו. יש לנו כמה הרצאות בנושא זה.

3. 00:32

   ואחת מהם זה הווינדוס 7 מול שרת DC. יש לנו הרצאה אחרת שמדברת באיזה פורט שרתי DC מבצעים רפליקציה ביניהם, ויש לנו הרצאה אחרת בווידאו שבאיזה פורט מתבצע Trust בין הדומיינים, במקרה שאני רוצה לחבר כמה דומיינים, נניח שני דומיינים, דרך Firewall ולפתוח רק את הפורטים שצריך.

4. 01:01

   כרגע אנחנו בסרט באיזה פורט Windows 7 עובד מול DC, אז זה הולך להיות מעניין ואנחנו נראה את ה-RPC ונבין בדיוק טוב טוב איך כל הסיפור הזה עובד.

5. 01:14

   בואו נתחיל מזה שיש לנו Firewall שמפריד שתי רשתות פיזיות שונות. יש רשת 56 ויש פה כרטיס רשת ל-Firewall שמחובר לרשת 56 ויש כרטיס רשת נוסף ל-Firewall שקוראים לו הרבה פעמים רגיל של Firewall, זה כרטיס רשת רגיל שאחד יש לו 56254 והשני 57. שתי רשתות נפרטות.

6. 01:39

   וראוטר נתב שהוא גם הפיירוול מחבר ביניהם, וביידיפולט הכל חסום ואנחנו רוצים רק לפתוח את הפורטים שצריך כדי שווינדוס 7 שנמצא ברשת הזאת יוכל להיות חבר בדומיין הזה.

7. 01:58

   זאת אומרת אנחנו רוצים לפתוח פורטים בפיירוול כדי לאפשר למחשב הזה להיות חבר בדומיין ולאפשר ליוזר לעשות לוגין לווינדוס 7 הזה, כאשר החשבון של היוזר נמצא גם הוא בדומיין הזה.

8. 02:21

   למעשה המצב הזה די נפוץ כאשר יש לנו חברה שמסיבות אבטחת מידע רוצה לחלק את הרשת לתתי רשתות, אבל היא לא רוצה לנהל, החברה לא רוצה לנהל כמה Active Directory.

9. 02:39

   החברה רוצה שיהיה מאגר מרכזי של כל המשתמשים של כל המחשבים, זאת אומרת Active Directory אחד מרכזי עם כל הפוליסות ועם הכל, אבל כדי שיהיה קל לנהל את זה, תחשבו שאם יש לי שש רשתות שונות, אז אני לא רוצה שש Active Directory לנהל.

10. 02:59

    מצד אחד, מצד שני, אני רוצה את ההפרדה, כי יכול להיות שסביבה אחת זה שרתים אמיתיים, וסביבה אחת זה איפה שהמפתחים מנסים לעשות כל מיני ניסויים, וסביבה אחרת שיש סביבת בדיקות, שאחרי שמתכנתים מסיימים, יש סביבה שבודקים שם שאין באגים, יש סביבה אחרת של הפרודקטשן איפה שהשרתים אמיתיים, יש סביבה של

11. 03:20

    תחנות העבודה של המשרד, יש רשת נפרדת לאורחים. זאת אומרת בחברה רגילה יש כמה רשתות, כבר לא דיברנו על רשת DMZ שאפשר להתחבר אליה מאינטרנט, זאת אומרת רשת שזמינה לחיבור מבחוץ פנימה לאינטרנט.

12. 03:40

    אז בחברה רגילה יהיו כמה רשתות, אבל אנחנו רוצים שיהיה לנו Active Directory אחת. אז אנחנו פותחים פורטים בfirewall רק ל-DC ורק כדי לקבל את השירותים הנדרשים.

13. 03:54

    והסרט הזה בדיוק, אנחנו יכולים להרים את ה-Windows 7 עם כתובת 57.3 וה-Windows הזה, המטרה שלנו זה לגלות ב-firewall מה צריך לפתוח כדי לצרף את המחשב לדומיין.

14. 04:12

    אני מקווה שאתם מבינים את הכוונה. למעשה אנחנו עושים reverse engineering, אנחנו חוקרים איך עובדת Windows 7 ומה היא בדיוק מבקשת משרת הדיסי באיזה פורט היא פונה איזה סרוויסים היא צריכה באיזה שלב היא צריכה את הסרוויסים אנחנו עושים מעקב מאחורי הקלעים על ווינדוס 7 ועל החיבור שלה לדיסי יפה מאוד אחרי שהבנו את הרעיון הזה אנחנו נעבור עכשיו למכונות וירטואליות וההרצאה הזאת היא

15. 04:44

    לא בתחום ה-MCATP זה מעבר לרמה של MCATP זה בתחום של מאסטר ואני מקווה מאוד שתיהנו ותשכילו כי אני הולך להסביר לכם דבר מאוד מאוד מעניין שנקרא rpc ולהראות לכם את הבעיה שיש ב rpc וזאת הולכת להיות הרצאה מרתקת טוב נעבור למכונה וירטואלית נתחיל מזה שיש לנו פה שני מכונות וירטואליות בואו תראו שני מכונות וירטואליות אחד windows 7 שנמצאת במצב של וורגרופ ושימו לב הווינדוס 7 בורוגו נמצאת ברשת 57.3 57 ויש

16. 05:31

    שרת דומן קונטרולר שנמצא ברשת 56.2 56. זאת אומרת זה 56 וזה 57. יופי. עכשיו זה רשתות שונות ביניהם אנחנו שמים firewall בעצם asa הזה זה firewall של סיסקו שעם רגל אחד הוא מחובר ל...

17. 05:58

    אתם רואים על virtual boxed host only adapter 2 ועם רגל אחרת מחובר לווירצ'ול הוסט אוני אדפטר אחד.

18. 06:08

    זה שתיים והוא אחד. אתם יכולים לראות פה. זאת מכונה וירטואלית של סיסקו. זה אמור להיות אחד, כן. אוקיי. אז זאת אומרת שיש לנו פה firewall של סיסקו שמחובר עם רגל אחת לרשת אחת ועם רגל שנייה לרשת השנייה.

19. 06:30

    זה firewall אמיתי. הוא המחליף של PX. זאת בעצם כמו מכונה וירטואלית. אנחנו לא ניכנס איך בדיוק להגדיר אותו. מי שרוצה לדעת בדיוק איך עשיתי את זה, יש סרט בקורס של סיסקו בדיוק איך עושים את כל ה-GNS ואת הכל, תראו את זה בקורס של סיסקו.

20. 06:50

    כרגע מה שמעניין אותנו זה לא איך להגדיר את ה-firewall הווירטואלי, אלא שיש לנו שני מחשבים פה ברשתות שונות ומיניהם firewall שכל הפרוטים חסומים, ואנחנו מנסים לצרף מחשב לדומיין ולראות מה אנחנו צריכים בדיוק.

21. 07:07

    בואו ניכנס להגדרות של כרטיס רשת, אפי קונפיקס לשאול, יכולים לראות פה שהמחשב עצמו, הוורקסטיישן, תחנת עבודה, נמצאת ב-57, אבל ה-DNS שלה זה 56.2 שזה בעצם השארת ה-DC הזה.

22. 07:26

    יפה. אנחנו דרך הפיירוול נתחיל לחקור בדיוק איזה פורט צריך לפתוח. אז נתחיל מזה שאנחנו ננסה לצרף מחשב לדומיין.

23. 07:38

    בואו נראה מה הדומיין שלנו. יש לנו פה דומיין וננסה לצרף מחשב לדומיין. עד שאני כבר אגיד לכם, דומיין נקרא ad.practice.com וכשאנחנו מנסים לצרף אתם רואים שהוא לא מצליח הוא אומר dns error למה כי הוא לא מצליח להגיע לdns שלו אם אנחנו נלך עכשיו בעצם ללוג וזה היופי בפיירול שהוא מראה לנו לוג בדיוק מי ניסה להתחבר ובאיזה

24. 08:05

    פורט אנחנו יכולים לראות ש573 שזה תחנת העבודה מנסה להתחבר לdc שלנו שימו לב מip 573 D9 קיבלה קריאה בפרוטוקול UDP, תחנת עבודה 57.3 יצאה מפורט 56.626 וניסתה להגיע ל-DC1.53.

25. 08:32

    מה זה DC1.53? זה הפורט של ה-DNS. אז אנחנו נבוא ונפתח לפורט של ה-DNS. אתם רואים, אני דרך הלוגים של Firewall רואה בדיוק מה תחנת עבודה מנסה, איך היא מנסה להתחבר לשרת.

26. 08:47

    אנחנו נעבור עכשיו לפיירוול שלנו נעשה פה חוק חדש חוק חדש שאומר שמי שבא מבחוץ נעשה פה תחנה בואו נוסיף פה Windows 7 אובייקט שנקרא Windows 7 חברה מי שלא מרגיש בטוח לגבי פיירוול אין צורך להילחץ כי זאת לא המטרה של ההרצאה הזאת איך לקנפק פיירוול את זה לומדים בסיסקו פה ברמה אינטואינטיבית מספיק שתבינו שפיירוול בעצם

27. 09:26

    יש לו חוקים ואנחנו עכשיו בדיוק נעשה פה חוק שאומר שכשווינדוס 7 מנסה להתחבר ל-DC הראשון שלנו שניתן לו להתחבר בפורט בוא נרשום לבד tcp 53 נכון שזה היה udp אני לא זוכר זה נראה לי היה udp 53 כי dna זה udp udp 53 ואתם עשיתי חוק בפיירול שמאפשר מבחוץ לווינדוס 7 שזה ה-IP שלא הכנסתי פה

28. 10:03

    ל-DC1 שהכנסתי את ה-IP שלו, להתחבר בפורט 53. בואו נראה אם זה פותר לנו את הבעיה. עושים סייב לכל ההגדרות. זה כותב את הפקודות ל-firewall. מצוין.

29. 10:23

    יופי. חוזרים חזרה ללוג שלנו, ריל טיים לוג, וננסה עוד פעם להצטרף לדומיין. בואו ננסה עוד פעם.

30. 10:40

    הוא ישר, הוא לא מנסה, אתם רואים? הוא ישר אומר שהוא לא יכול. נראה שיש לו פלאש DNS צריך לעשות לו, ה-IP קונפיקט. פלאש DNS, אוקיי?

31. 10:54

    אה, יש פה נקודה, סיקסמתי ולא נקודה, אוקיי. hd.practican.com ובואו נראה מה קורה פה. הנה, עכשיו הוא כבר לא D9. תראו, הוא קיבל אישור לגשת access list, הוא קיבל אישור לגשת ב- UDP מפורט כזה וכזה ל- dc53.

32. 11:17

    מצוין, אבל עדיין הוא לא הצליח. למה הוא לא הצליח? בואו נראה. בואו נראה, הוא ניסה לגשת, בואו תראו. בהתחלה היה הכל D9, אתם רואים? אחרי זה אפשרנו לו פורט 53, אז הוא הצליח לגשת לפורט 53, אין פה דיניי בהתחלה.

33. 11:40

    אחרי זה הוא ניסה עוד פעם בפורט 53 לגשת ל-DNS והצליח כי אין פה דיניי. הצליח ואחרי זה קיבל דיניי. על מה הוא קיבל דיניי? על תקשורת בפרוטוקול UDP בפורט 389.

34. 11:54

    זאת אומרת שתחנה בשביל להיכנס צריכה פורט 389. מי שיבדוק בגוגל מה זה פורט 389 זה בעצם הפורט של LDAP, פורט שבו אתה מדבר עם Active Directory בתקן של LDAP בשפת ליטווי דירקטורי access פרוטוקול אז הוא צריך בעצם לאפשר UDP 389 בואו נמשיך אז אנחנו אומרים לו ככה עד עכשיו אפשרנו לך פורט מווינדוס 7 ל-dc1 פורט אפשרנו לך פורט

35. 12:31

    שנייה אחת נעשה פה יפה edit לרול יפה אפשרנו לך פורט של dns עכשיו אנחנו עושים UDP סיק פורט ב UDP 389 כן זה היה 389 זאת אומרת באותו חוק אני מאפשר שני פורטים אפליי בוא ננסה עכשיו לראות האם נצליח להצטרף לדומיין בוא ננסה בוא נראה מה קרה לנו פה אז הוא ניסה לגשת בפורט 53 הצליח ואז הוא ניסה לגשת לא משנה מאיזה פורט אתה יוצא השאלה זה לאן אתה

36. 13:14

    מנסה לגשת אני רואה הוא ניסה לגשת לאיזושהי כתובת 239 שזה בכלל לא קשור כל הכתובות האלו זה של מולטי קאסט זה בטח שכנים ברשת שהוא ניסה לעשות אנחנו ממש עוקבים אחרי ההתנהגות שלו בוא ננסה שוב יש לנו שם וסיסמה, תראו לפני כן זה לא היה.

37. 13:33

    אני כותב לו אדמיניסטרטור ואני לא אלחץ לו enter, אני רוצה לראות בדיוק איזה פורטים הוא השתמש. אז תראו מה קורה פה בלוגים, אנחנו רואים שהוא Windows 7, פנה ל-DC בפורט 53 של DNS, מצא את שרת ה-DC ופנה לשרת ה-DC בפורט 389 של ה-LDAP ודיבר עם Active Directory.

38. 13:57

    בוא נראה אם הוא יצליח להיכנס לדומיין או שצריך לפתוח עוד פורט. הופיע, אנחנו רואים שהוא מנסה בעצם ב- UDP 53, מעניין אותי היעד, לא מעניין אותי מאיזה פורט יצאת.

39. 14:13

    והנה יש לנו פה D9, מה ה-D9 הזה? הנה, Windows 7 ניסה לגשת ל-DC בפורט 445. מה זה 445? זה פורט של שיירים, של שיתופים רגילים. הוא קיבל פה D9, והנה הוא לא הצליח להצטרף, למרות ששם וסיסמה נכונים, הוא לא הצליח להצטרף לדומיין.

40. 14:34

    אז בואו נראה איפה היה לנו D9. אז היה לנו כמה D9, ה-Deny הראשון שאני רואה פה זה 4.4.5 של שיתופים הוא ניסה לקחת Group Policy דרך השיתופים ולא הצליח ויש לנו פה עוד Deny ב-4.4.5 אתם רואים Deny ב-ICMP פינגים הוא ניסה לעשות פינגים ולא הצליח אחרי זה הוא ניסה

41. 14:56

    לגשת עוד פעם לשיתופים