Newsgroup: it.comp.reti.locali
Titolo: VPN tra dominio e workgroup

Ciao a tutti.
Sto facendo una VPN tra 2 Firewall (linux box commerciali Watchguard)
che collegherà via ADSL la nostra sede e la nostra filiale.
La VPN è già correttamente configurata e funzionante, le due reti LAN
sono sugli ip 
192.168.1.0/24
 (sede) e 
192.168.2.0/24
 (filiale), i vari
pc si pingano e si vedono correttamente (mettendo ad es. \\192.168.1.10
dalla filiale si apre la solita finestra che mostra le share, e così
anche viceversa).
La sede ha un domain controller con A.D. (w2k srv), e la filiale (con
soli 4 pc) ha un workgroup normalissimo fatto con XP professional (non
mi hanno comprato un server...  :-)
I settaggi di rete della sede sono:
gateway predefinito: l'interfaccia interna del firewall della sede
DNS: l'ip del server domain controller che è anche DNS interno e che
fa forward sui DNS del provider (GRAZIE A OBIWAN!!!  :-)
Quelli della filiale:
gateway predefinito: l'interfaccia interna del firewall della filiale
DNS: non ho DNS interno (4 pc), perciò ho messo 2 DNS del provider
(telecom)
Domande:
- posso migliorare/cambiare qualcosa nell'impostazioni qui sopra (tipo
DNS della filiale, ma che ci metto?...)
- c'è un metodo che mi permetta di raggiungere i pc dall'altro capo
della VPN senza usare gli IP? A parte mettere il relativo nome/IP nel
file Hosts di ciascun pc...
- ora le porte tra le 2 VPN sono tutte aperte, volevo chiudere tutto e
lasciare aperte solo le porte che mi servono (110, 25 le so già
perchè userò il server di posta interno della sede, 2967 e altre per
il SAV symantec).
Ma ho dubbi sulle altre:
- 3389 per il desktop remoto, ok?
- e per permettere di vedere il pc come detto sopra, aprire la
condivisione dei dischi e delle stampanti quali porte devo usare?
Grazie a tutti della pazienza e dell'aiuto.
Alexsixf.

 usare?
Ahio .. 135,137,139,445 .. però in questo modo apriresti "il mondo"
sarebbe meglio (se non strettamente necessario) limitare l'accesso
alle risorse condivise permettendolo (es.) solo verso il server e non
verso i clients della sede; cmq, prima di procedere, cerca di capire
bene cosa vuoi fare, in linea di massima .. chiudi tutto e poi apri man
mano solo quello che ti serve veramente.. a propo lascia che ICMP
passi tra sede e filiale altrimenti potresti avere problemi
Ciao

 Ciao
Sapevo che mi avresti aiutato, sei grande!
Ancora grazie!
Alexsixf.

 e che fa forward sui DNS del provider
[OT] - come sarebbe fa forward :-) ? Non si era
parlato  di usare i root-hints ecc.. ecc.. ecc.. :-D ?

> il SAV symantec).
all'interno del tunnel non corri rischi,
non ci sono motivi di bloccare protocolli
all'interno della vpn.
ciao.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 pochi quelli a cui si devono collegare, e sono anche fissi).
qui devi valutare pro e contro:
vuoi mettere poter applicare
le policies anche sui quei 4 pc  ?
ripeto che non vedo il motivo
di bloccare traffico sulla vpn.


 all'interno della vpn.
Beh .. dipende .. se uno si fida di chi sta alla filiale tutto
ok.. però visto che quattro macchine in un ufficio periferico
e senza troppi controlli potrebbero beccarsi qualche tipo
di bestiaccia, limitare il traffico sulla VPN potrebbe essere
una buona idea
Ciao

 Ciao
iao ;-)


 2) se siamo nello scenario dell'"ammutinamento del bounty" allora ...
Beh dai .. non esageriamo :-)

 > :-)
[...]
Eccomi!
Scusate tantissimo il ritardo, ma oggi sono riuscito solo ora ad
avvicinarmi a Google e i gruppi...
Intanto grazie ad entrambi, non speravo più di poter scomodare due
esperti di usenet (vi leggo spesso in giro sui vari gruppi) come voi.
Grazie anche per le vostre dissertazioni su cosa è meglio e cosa no,
imparo tantissimo dai vostri messaggi!
Per ObiWan: riguardo al tuo [OT] sull'uso del forward piuttosto che i
root hints, sapevo che mi avresti "ripreso"...  ;-P   Ma non volevo
stare a riscrivere tutta la storia del DNS e oltretutto ora ho ancora
il forward, non ho ancora avuto tempo di metter i root hints. Guarda
comunque che ascolto i tuoi consigli, eh?    :-)
Ed ora veniamo al succo:
Piacerebbe anche a me provare un server, anche piccolo, in remoto, ma
niente da fare, non me lo comprano assolutamente... perciò niente
server, niente SBS, solo pc windows xp pro.
Rispettando assolutamente quello che avete consigliato sul join al
dominio, non posso provare, secondo voi, a lasciare un workgroup in
remoto e il domino in sede separati?
Questo perchè, a dire il vero, i pc in remoto fissi sono solo 2, e
diventano 4 quando 2 portatili della sede vanno, quella mezza giornata
ogni tanto, nella filiale.
Non c'è bisogno che la filiale "sfogli" la rete della sede
assolutamente, solo 1 pc della sede deve poter vedere i dischi
condivisi dei 2 pc in remoto.
Facendolo senza join, ho visto (già provato) che se apro il pc remoto
con \\192.168.2.x e inserendo utente/password di quel pc remoto, riesco
a entrare correttamente.
Dalla filiale devono solo usare servizi TCP/IP verso la sede (terminal
server, smtp, pop3, nient'altro) e dalla sede nessuno deve fare niente
verso la filiale a parte quel pc che vede i dischi condivisi e io con
il desktop remoto per fare assistenza.
Per concludere questo discorso: se lascio workgroup con DNS del
provider nella sede remota è proprio una cosa brutta e pericolosa?
Il join al dominio è sicuramente più elegante, ma io temo sempre in
telefonate dell'utente remoto tipo: "non riesco ad andare avanti più e
non so cosa schiacciare" (siamo a questi livelli), e in seguito a
questo dover fare 200 Km. in auto per fare qualche click solo perchè
il dominio non era contattabile....
Per le porte aperte/chiuse: io sarei dell'idea di aprire solo le
porte/IP che sono strettamente necessari (il firebox permette un
granularità quasi esagerata), non conosco chi ci sarà nella filiale,
ma non ci sarò nessun controllo sul personale per cui potrei
aspettarmi o bestiacce strane prese involontariamente o qualche operaio
della produzione che si diverte un po con cosette tipo look@lan o
peggio...   ;-)
Ancora grazie di tutto, veramente, siete impagabili.
Alexsixf.

 Ancora grazie di tutto, veramente, siete impagabili.
grazie a te dei complimenti probabilmente immeritati :-)
ciao.


 grazie a te per questo feedback.
Mi unisco al ringraziamento per il feedback :-) !!
Per il resto concordo su tutta la linea con le risposte
di Edoardo anche considerando che far fare il join
al dominio di quattro macchine (magari anche una
sola alla volta) non è un "lavorone" e se poi non ti
piacesse come funziona la cosa potresti sempre
tornare indietro; detto questo, rimarco ulteriormente
l'osservazione di Edo relativa al discorso antivirus,
firewall ecc.. controllati centralmente, avendo XP
nella sede remota potresti configurare il firewall di
XP tramite GPO in modo da proteggere "il perimetro"
inoltre, installando un AV centralizzato saresti cautelato
sul fatto che le varie macchine siano tutte aggiornate
Ciao

ObiWan ha scritto:

Ancora in ritardo, ma rispondo, scusatemi sempre....
Riguardo ai complimenti guardate che non sono assolutamente nè
esagerati nè immeritati, state svolgendo un servizio per la comunità
veramente lodevole, oltre ad aiutare il singolo come me che non ha
altri sbocchi di confronto se non i gruppi.
Perciò ancora grazie, sia dal "singolo" (io) che da un componente
della comunità informatica (sempre io...  ;-) , siete preziosissimi!
   :-)
Ho capito che è meglio fare il join, allora, oltretutto mi avete dato
un ideona sul pc di test: provo a mettere una macchinaccia vecchia e ci
faccio tutti i test in remoto, così vedo cosa succede... veramente
un'idea brillante, non ci avevo pensato!
Per l'antivirus sarebbero già centralizzati, uso il Symantec corporate
ed. 10 che si gestisce bene anche via VPN in remoto.
Mi rimane un problemone però: gli utenti della sede remota non devono
accedere assolutamente alle share presenti nella sede locale, alcune di
queste share/permission sono impostate su everyone perchè nella sede
locale serviva così (e non posso adesso far passare qualche centinaio
di sottocartelle e controllare se sono everyone o no...), se unisco la
sede remota al domino locale, quelli potranno entrare nelle
share/permission con everyone.
Non posso neanche togliere l'accesso via VPN a quelle share a livello
di IP perchè la maggior parte risiedono sul controller di dominio che
fa anche da file server centrale, e non posso (ho controllato) con il
watchguard dirgli la direzione in cui deve iniziare la richiesta (es.:
se apro via VPN la porta 139 tra 192.168.1.3 (locale) e 192.168.2.10
(remoto), la richiesta potrà iniziare in uno qualsiasi dei 2 sensi,
non c'è modo di dagli la direzione unica purtroppo).
Come faccio? Se non si può risolvere, se lasciassi un workgroup non
joinato questi non entrerebbero, mi pare, no?
Certo, unire 4 pc a un dominio non è un lavorone, sono d'accordissimo,
oltretutto puoi joinare/sjoinare quanto vuoi in pochi secondi senza
problemi.
Ora però ho un altro caso VPN che mi si sta presentando, le 2 reti
sono (e devono rimanere) separate: dalla rete A devo solo usare il
protocollo RDP verso la rete B e dalla rete B solo l'RDP/POP3/SMTP
verso la rete A.
In questo caso non voglio fare il join di proposito: secondo voi ci
sono problemi di sicurezza tra le 2 reti se la rete A è un dominio
come il caso precedente (dns forward o root hints, e tutto il resto di
A.D.) e la rete B è invece un workgroup con DNS del provider?
Vi ringrazio ancora, siete diventati per me davvero insostituibili, se
posso contraccambiare in qualche modo ditemelo!
Auguro a tutti un buon "ponte", Alexsixf.

 Auguro a tutti un buon "ponte", Alexsixf.
anche a te.


 
Grazie tantissime, ciao.
Alexsixf.

 A.D., \\share, ecc.
in realtà il problema non è
"unire o meno le reti". per come la situazione è
attualmente se vado io nella sede secondaria
riesco ad entrarti nei pc della sede principale
anche se questi non sono joinati al dominio.
la protezione non è data dal join o meno
al dominio ma dalle acl su cartelle e files
e dall'utilizzo oculato! di efs -
encrypted file system.


 
http://mvp.support.microsoft.com
Riciao e buon sabato sera!
Alexsixf.

 Efs non l'ho mai usato, cosa mi può migliorare nella gestione?
hai esperienza di Certification Authority,
certificati digitali e crittografia ?
http://support.microsoft.com/kb/223316/en-us
http://support.microsoft.com/kb/223338/en-us


 
http://mvp.support.microsoft.com
Per ora ti ringrazio ancora tantissimo, ora studio un po' e poi
eventualmente mi rifaccio vivo per richiedere altre cose.   :-)
Grazie tantissimo a tutti per il prezioso aiuto.
Alexsixf.