20T34 Czy Tw贸j DMZ Jest Bezpieczny
Linki do artyku艂贸w omawianych w odcinku:
Proces akceptacji dost臋pu go艣cinnego przez sponsora:
Integracja Radiusa z AD:
AD w DMZ (Perimeter):
Jak po艂膮czy膰 integracj臋 z Actie Directory systemu oraz portalu go艣cia umieszczonego w DMZ’cie?
Przedstawiam w tym odcinku jeden z mo偶liwych wariant贸w odpowiedzi na powy偶sze pytanie.
Przegl膮da艂em niedawno webinar dotycz膮cy bezpiecze艅stwa DMZ i przypomnienie o zasadzie braku mo偶liwo艣ci po艂膮czenia od DMZ do sieci wewn臋trznej, u艣wiadomi艂o mi ciekawe pytanie.
Jak mo偶na zaprojektowa膰 portal go艣cinny (w za艂o偶eniu dost臋pny tylko w DMZ), jednocze艣nie korzystaj膮c z popularnego scenariusza odst臋pu go艣cinnego w oparciu o rol臋 sponsora?
Okazuje si臋 偶e mo偶na, a problem ten jest szerszy i Microsoft opracowa艂 metod臋 implementacji kontrolera domeny w strefach DMZ.
W najwi臋kszym skr贸cie chodzi o ograniczenie mo偶liwo艣ci zapisu do kontrolera domeny w DMZ ,oraz ograniczenie dost臋pnych informacji w takim wyniesionym AD, do niezb臋dnego minimum.
Najwa偶niejsze zagadnienia:
馃憠Ruch do DMZ mo偶liwy tylko od strony publicznej lub bezpiecznej firmowej
馃憠Umieszczenie AD w DMZ w formie tylko do odczytu ROAD
馃憠Integracja systemu w DMZ (w moim przyk艂acie Radius) z AD
#netadminpro_pl #networksecurity
Chcesz wi臋cej informacji?
Do艂膮cz do naszej strony fan贸w na Facebook:
Wi臋cej miejsc do pos艂uchania:
Transkrypcja filmu:
1
00:00:02,020 –> 00:00:05,560
Cze艣膰. Czy Tw贸j DMZ jest bezpieczny?
2
00:00:05,560 –> 00:00:09,600
Nad tym pytaniem si臋 dzisiaj pochyl臋 i odpowiem
3
00:00:09,820 –> 00:00:12,880
jak widz臋 t膮 sytuacj臋
4
00:00:12,880 –> 00:00:16,800
i co ciekawe, jest to dla wielu os贸b bardzo zaskakuj膮ce,
5
00:00:17,100 –> 00:00:21,140
dla mnie odkrycie problemu z DMZ-etem r贸wnie偶 by艂o.
6
00:00:21,440 –> 00:00:25,160
Zaczn臋 jednak od opisania scenariusza.
Czy Tw贸j DMZ Jest Bezpieczny
7
00:00:25,160 –> 00:00:28,920
Ja napotka艂em to pytanie i by艂o ono zwi膮zane
8
00:00:29,100 –> 00:00:32,580
z projektowaniem przeze mnie dost臋pu go艣cinnego
9
00:00:32,580 –> 00:00:35,800
i system, kt贸ry ma 艣wiadczy膰 captive portal,
10
00:00:35,800 –> 00:00:38,920
w tym dost臋pie, oczywi艣cie b臋dzie w DMZ-ecie.
11
00:00:39,480 –> 00:00:42,880
W scenariuszu o kt贸rym m贸wi臋, chcia艂em 偶eby
12
00:00:42,880 –> 00:00:45,780
ten dost臋p go艣cinny by艂 oparty
13
00:00:45,780 –> 00:00:49,280
o portal autorejestracji go艣cia
14
00:00:49,660 –> 00:00:51,740
i zatwierdzeniu sponsora.
15
00:00:52,100 –> 00:00:54,120
呕eby to by艂o mo偶liwe,
16
00:00:54,120 –> 00:00:57,400
to musi by膰 zintegrowany ten portal, stoj膮cy w DMZ-ecie
17
00:00:57,880 –> 00:00:59,820
z active directem.
18
00:00:59,820 –> 00:01:05,440
呕eby to lepiej pokaza膰, sp贸jrz na ekran, kt贸ry to dobrze obrazuje.
19
00:01:05,440 –> 00:01:07,800
Tutaj przyk艂ad takiego po艂膮czenia,
20
00:01:07,800 –> 00:01:10,700
czyli sp贸jrz tutaj na rysunek, kt贸ry
21
00:01:10,720 –> 00:01:13,160
teraz przedstawiam.
22
00:01:13,160 –> 00:01:16,600
Mamy clearpassa, czyli system radiusowy.
23
00:01:17,100 –> 00:01:19,480
Mamy kontroler bezprzewodowy
24
00:01:19,480 –> 00:01:23,060
no i mamy klienta. Czyli ten klient 艂膮czy si臋 przez kontroler
25
00:01:23,100 –> 00:01:25,520
do systemu radius.
26
00:01:25,520 –> 00:01:28,560
W tym przyk艂adzie, akurat tutaj jest pokazane 802.1x,
27
00:01:28,560 –> 00:01:33,100
ale ten spos贸b jest dok艂adnie taki sam, je偶eli m贸wimy o dost臋pie go艣cinnym
28
00:01:33,100 –> 00:01:36,000
i co wa偶ne, po prawej stronie tego
29
00:01:36,000 –> 00:01:38,940
radiusa, mamy integracj臋 z active directory.
30
00:01:38,940 –> 00:01:41,760
Czyli tak standardowo wygl膮da
31
00:01:41,760 –> 00:01:43,580
typowy proces
32
00:01:43,585 –> 00:01:46,205
tego po艂膮czenia ca艂ego 艣rodowiska.
33
00:01:46,205 –> 00:01:49,285
Oczywi艣cie w active directory mamy u偶ytkownika, has艂o
34
00:01:49,285 –> 00:01:52,920
i inne atrybuty, kt贸re si臋 wi膮偶膮 z u偶ytkownikami.
35
00:01:53,260 –> 00:01:57,200
Okej, teraz przejd臋 do procesu
36
00:01:57,200 –> 00:02:00,880
jak wygl膮da ten ca艂y proces rejestracji
37
00:02:00,880 –> 00:02:02,860
tego go艣cia,
38
00:02:02,860 –> 00:02:05,680
w przypadku zatwierdzenia przez sponsora.
39
00:02:05,680 –> 00:02:07,420
Czyli mamy krok pierwszy.
40
00:02:07,420 –> 00:02:09,720
Najpierw go艣膰 wype艂nia,
41
00:02:09,720 –> 00:02:12,640
na captive portalu, kt贸ry jest w moim przypadku w DMZ-ecie,
42
00:02:12,660 –> 00:02:14,880
wype艂nia swoje dane,
43
00:02:14,880 –> 00:02:17,920
kt贸re s膮 zwi膮zane ze stworzeniem konta.
44
00:02:17,920 –> 00:02:21,100
Sponsorem jest tutaj pracownik domenowy,
45
00:02:21,100 –> 00:02:23,340
czyli u偶ytkownik, kt贸ry ma konto w domenie.
46
00:02:23,705 –> 00:02:26,785
Tak i przypomn臋, 偶e tutaj po艂膮czenie tego
47
00:02:26,785 –> 00:02:29,945
Dmz-etu i domeny, jest problematyczne.
48
00:02:29,945 –> 00:02:32,280
B臋d臋 to jeszcze za chwil臋 bardziej rozwija艂.
49
00:02:32,280 –> 00:02:35,480
Ten sponsor dostaje maila
50
00:02:35,480 –> 00:02:37,940
z mo偶liwo艣ci膮 zatwierdzenia tego konta.
51
00:02:38,160 –> 00:02:43,460
Oczywi艣cie ten sponsor wynika, jego to偶samo艣膰 z tego, 偶e ma
52
00:02:43,460 –> 00:02:45,440
swoje konto za艂o偶one w domenie.
53
00:02:45,440 –> 00:02:47,880
No i, je偶eli sponsor zatwierdzi ten dost臋p,
54
00:02:47,880 –> 00:02:52,200
to w trzecim kroku mamy stworzenie konta lokalnie,
55
00:02:52,200 –> 00:02:55,140
na systemie radiusowym, kt贸ry jest zintegrowany
56
00:02:55,140 –> 00:02:56,600
z captive portalem.
57
00:02:56,600 –> 00:02:59,460
Czyli tak wygl膮da ten ca艂y proces.
58
00:02:59,460 –> 00:03:01,620
Okej, jak teraz ju偶 rozumiesz w jaki spos贸b
59
00:03:01,620 –> 00:03:04,420
ten dost臋p go艣cinny, w du偶ym sk贸cie, dzia艂a,
60
00:03:04,540 –> 00:03:07,440
to , to co jest sednem dzisiejszego odcinka, to jest
61
00:03:07,440 –> 00:03:09,920
temat, jak w DMZ-ecie
62
00:03:09,920 –> 00:03:12,300
stworzy膰 ten captive portal
63
00:03:12,300 –> 00:03:15,500
jednocze艣nie integruj膮c go z domen膮, kt贸ra jest
64
00:03:15,500 –> 00:03:19,240
po stronie zaufanej naszej sieci firmowej.
65
00:03:19,580 –> 00:03:22,580
A tak jest u wi臋kszo艣ci klient贸w.
66
00:03:22,585 –> 00:03:24,955
Je偶eli zostawimy ten ca艂y schemat
67
00:03:24,955 –> 00:03:27,895
w takim formacie, jak przed chwil膮 pokaza艂em,
68
00:03:27,895 –> 00:03:31,145
oznacza to 偶e 艂amiemy podstawow膮 zasad臋 DMZ-tu,
69
00:03:31,175 –> 00:03:34,385
czyli nasz system radiusowy, kt贸ry 艣wiadczy captive portal,
70
00:03:34,385 –> 00:03:37,495
musi si臋 po艂膮czy膰 do systemu
71
00:03:37,540 –> 00:03:40,060
domeny, kt贸ry jest po stronie zaufanej.
72
00:03:40,060 –> 00:03:43,880
Czyli zezwalamy na firewallu wewn臋trznym w DMZ-ecie
73
00:03:43,880 –> 00:03:48,000
na po艂膮czenie do system贸w wewn膮trz naszej firmy.
74
00:03:48,300 –> 00:03:50,480
To oczywi艣cie nie jest dobra praktyka.
75
00:03:50,480 –> 00:03:54,000
Zacz膮艂em wi臋c szuka膰, jaka jest najlepsza metoda
76
00:03:54,220 –> 00:03:56,940
zrealizowania jednocze艣nie tego
77
00:03:56,940 –> 00:04:00,500
systemu, w moim przypadku dost臋pu go艣cinnego, kt贸ry jest w DMZ-ecie,
78
00:04:00,865 –> 00:04:04,055
integracji z domen膮, czyli 偶eby zachowa膰 mo偶liwo艣膰
79
00:04:04,060 –> 00:04:08,200
integracji z centraln膮 baz膮 u偶ytkownik贸w domenowych,
80
00:04:08,440 –> 00:04:12,120
ale jednocze艣nie nie 艂ama膰 tego bezpiecze艅stwa DMZ-tu.
81
00:04:12,120 –> 00:04:14,400
Czyli, 偶eby m贸c
82
00:04:14,620 –> 00:04:18,280
funkcjonalno艣膰 zachowa膰, nie pogarszaj膮c poziomu bezpiecze艅stwa.
83
00:04:18,560 –> 00:04:23,160
I okazuje si臋, 偶e Microsoft stworzy艂 tak膮 formu艂臋
84
00:04:23,180 –> 00:04:26,220
wyniesionego kontrolera domeny
85
00:04:26,225 –> 00:04:28,935
w艂a艣nie do takich 艣rodowisk jak DMZ.
86
00:04:28,935 –> 00:04:31,855
Po to, 偶eby m贸c dostarcza膰 t膮 funkcjonalno艣膰
87
00:04:31,860 –> 00:04:35,260
centralnego u偶ytkownika czy centralnej bazy u偶ytkownik贸w
88
00:04:35,260 –> 00:04:38,520
dla system贸w, kt贸re w DMZ-ecie stoj膮.
89
00:04:38,960 –> 00:04:43,080
Popatrz tutaj dobrze, w tym artykule, kt贸ry za chwil臋 poka偶臋,
90
00:04:43,080 –> 00:04:45,080
jest pokazane, jaka jest idea
91
00:04:45,085 –> 00:04:48,075
stoj膮ca za propozycj膮 Microsoftu
92
00:04:48,080 –> 00:04:51,980
instalacji wyniesionego kontrolera domeny w DMZ-ecie.
93
00:04:52,100 –> 00:04:54,840
Jak widzisz na pokazanym tutaj rysunku,
94
00:04:54,840 –> 00:04:57,180
mamy po prawej stronie Intranet,
95
00:04:57,180 –> 00:04:59,260
czyli nasz膮 sie膰 zaufan膮.
96
00:04:59,260 –> 00:05:01,700
W 艣rodku Perimeter network,
97
00:05:01,700 –> 00:05:03,760
czyli w naszym przypadku to jest DMZ
98
00:05:03,760 –> 00:05:05,500
i po lewej stronie Internet.
99
00:05:05,500 –> 00:05:09,340
Czyli naszych u偶ytkownik贸w poza sieci膮 firmow膮.
100
00:05:09,340 –> 00:05:12,920
W moim scenariuszu ten Internet to s膮 u偶ytkownicy
101
00:05:12,920 –> 00:05:15,360
go艣cinni, czyli oni s膮 przekierowywani
102
00:05:15,360 –> 00:05:18,180
na portal go艣cinny, kt贸ry jest umiejscowiony tutaj,
103
00:05:18,180 –> 00:05:20,060
w tym Perimeter network
104
00:05:20,060 –> 00:05:22,760
i je偶eli przeczytasz sobie
105
00:05:22,760 –> 00:05:25,580
t膮 rekomendacj臋, kt贸r膮 tutaj pokazuj臋,
106
00:05:25,580 –> 00:05:28,380
ja link oczywi艣cie do艂膮cz臋 do
107
00:05:28,440 –> 00:05:32,040
tego wideo, b臋dzie umieszczony pod wideo.
108
00:05:32,040 –> 00:05:35,940
To, mamy tutaj domen臋, kt贸ra jest po prawej stronie.
109
00:05:35,940 –> 00:05:38,920
Mamy serwer domenowy, kt贸ry jest w DMZ-ecie.
110
00:05:38,920 –> 00:05:40,860
I zwr贸膰 uwag臋 na te strza艂ki.
111
00:05:40,885 –> 00:05:44,335
Czyli nasza domena zaufana
112
00:05:44,360 –> 00:05:49,000
wysy艂a informacje do serwera domenowego, kt贸ry stoi w DMZ-ecie.
113
00:05:49,000 –> 00:05:50,940
Ale ten serwer DMZ-owy
114
00:05:50,940 –> 00:05:55,100
nie 艂膮czy si臋 z powrotem do naszego
115
00:05:55,200 –> 00:05:58,740
centralnego kontrolera domeny, czyli do Intranetu.
116
00:05:59,360 –> 00:06:05,340
Tu jest 艂膮czno艣膰 tylko od wewn膮trz, od strefy bardziej zaufanej do strefy mniej zaufanej.
117
00:06:05,540 –> 00:06:11,560
I to jest scenariusz, w kt贸rym mo偶emy zapewni膰 t膮 funkcjonalno艣膰 dost臋pu go艣cinnego,
118
00:06:11,660 –> 00:06:16,540
jednocze艣nie utrzymuj膮c poziom bezpiecze艅stwa w DMZ-ecie.
119
00:06:16,820 –> 00:06:20,360
Czyli jest taka mo偶liwo艣膰, 偶eby zrealizowa膰 funkcjonalnie
120
00:06:21,060 –> 00:06:24,220
dany system, stoj膮cy w DMZ-ecie,
121
00:06:24,260 –> 00:06:27,295
i jednocze艣nie m贸c korzysta膰
122
00:06:27,300 –> 00:06:29,940
z tych domenowych kont, kt贸re s膮
123
00:06:29,940 –> 00:06:32,300
w naszej centralnej bazie u偶ytkownik贸w.
124
00:06:32,300 –> 00:06:37,060
Je偶eli jeste艣 zainteresowany wi臋ksz膮 ilo艣ci膮 szczeg贸艂贸w, dotycz膮c膮 jak to zrobi膰,
125
00:06:37,060 –> 00:06:40,340
umieszcz臋 szczeg贸艂owy link do dokumentu,
126
00:06:40,340 –> 00:06:42,245
pod tym wideo,
127
00:06:42,245 –> 00:06:44,680
jak r贸wnie偶 pozosta艂e materia艂y,
128
00:06:44,680 –> 00:06:48,160
kt贸re dzisiaj pokazywa艂em, linki do stron b臋d膮 dost臋pne.
129
00:06:48,300 –> 00:06:52,040
Je偶eli masz jakie艣 pytanie do tego tematu,
130
00:06:52,040 –> 00:06:55,240
to ch臋tnie na nie odpowiem, zadaj je w komentarzu
131
00:06:55,240 –> 00:06:58,820
i widzimy si臋 ju偶 za tydzie艅. Do zobaczenia.
