Newsgroup: it.comp.sicurezza.windows
Titolo: Active Directory, IIS, e firewall - un po' lungo

Salve a tutti,
ho un problemino da risolvere, ma non ho idea di come fare...
Se qualcuno avesse voglia .... grazie !
Prendiamo un Server Windows 2000 installiamoci su IIS 5.0 e patchiamo il
tutto..
Ho bisogno di far accedere a questo IIS sia gli utenti di lan (quindi Active
Directory) che determinati utenti provenienti da internet (con user-name,
certificati, ecc. devo ancora pensarci seriamente).
Abbiamo una connessione ad internet gestita da un firewall.
Mi piacerebbe mettere la macchinetta in DMZ, ma a questo punto mi si apre la
questione delle autenticazioni.
Come fare per passare l'autenticazione dalla DMZ alla LAN in modo sicuro ?
Stavo cercando di capire, ma per miei limiti non ci sono ancora riuscito,
quali porte aprire sul firewall per far passare SOLO l'autenticazione all'AD
interna...
Idee ? Consigli ?
Grazie ancora
--
smalldgo
E se la verita' fosse un'altra ?

 interna...
Nessuna.
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

ok, concettualmente sono d'accordissimo....
Ma se praticamente devo fare in modo che la DMZ parli con la LAN solo su
determinate porte (quelle su cui fare auth), pur concettualmente errato, pur
essendo conscio che sto' dicendo un'eresia, credo di poterlo fare istruendo
opportunamento il firewall....
Il problema è che non so quali siano le porte necessarie da aprire (la
135/RPC mi fa paura, ce ne dovrebebro, spero, essere altre...)
Grazie comunque.
Ciao


 opportunamento il firewall....
No, non puoi. Come mappi una porta dalla DMZ al client? apri una porta 
diversa per ogni client? na.


 l'autenticazione all'AD interna...
Se e' indispensabile che l'autenticazione su iis sia fatta tramite AD e
che la directory sia su un controller di dominio interno alla lan direi
che piu' che di firewall si trattera' di colabrodo, anche se potrai far
in modo che gli schizzi siano diretti tutti soltanto verso il server di
autenticazione (hai detto niente!). Se non c'e' nat tra la dmz e la lan
puoi usare ipsec per incapsulare parte del traffico e ridurre il numero
di porte da aprire: ho letto un doc a riguardo ma non l'ho mai fatto di
persona, cerca sul sito della microsoft. In particolare il documento di
cui parlo trattava della replica attraverso una dmz, ma penso che possa
essere adattato.
Comunque le porte da aprire tra la dmz e il pdc win2k in lan sarebbero:
53/udp
389/udp
88/tcp
123/tcp (opzionale ma devi in qualche modo sincronizzare gli orologi)
135/tcp
389/tcp
445/tcp
3268/tcp
A cui devi aggiungere una porta tcp a piacere sopra 1024 per l'active
directory logon (il famigerato lsass :)) che dovrai forzare in:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
aggiungendo un valore DWORD che ora non mi ricordo ma che trovi da te
con google. Se non fai cosi' l'assegnazione della porta e' dinamica e
dovresti aprire un range di porte (brrr).
Sul sito di microsoft, se non mi ricordo male, c'erano un po' di docz
riguardanti le problematiche di AD in DMZ. Io gli darei un'occhiata.
Fabio

 diversa per ogni client? na.
Per il ragionamento di cui sopra non ho client a cui mappare porte dmz, ho
un server IIS definito che deve parlare con un dc definito e solo con
quello.
Eventuali cattivi che riuscissero a forzarmi il sitino web (quindi l'iis in
DMZ) cosa potrebbero fare ?
Se la DMZ puo' parlare con la LAN solo sulla porta dell'auth 8ammesso che si
possa fare) cosa potrebebro fare se non chiedere solo auth ?
Grazie mille per le risposte.


Grazie per la risposta, mi permetto di chiederti ancora una cosa.
Tu vorresti, in pratica, creare una specie di VPN tra la DMZ e la LAN ?
Spero di non aver detto una cazzata...


 wrote in message
news:Ut9%8.18453$s74.5...@twister1.libero.it...
...
Già, stavo dando un'occhiata proprio a quei documenti di cui stai parlando
tu...
Finchè legegvo mi sovveniva un dubbio...
E' proprio necessario aprire tutte quelle porte ?
faro' dalle prove....
Grazie mille e ciao.

 il tunnelling ssh.
ok... ci provo. Grazie ancora


 possa fare) cosa potrebebro fare se non chiedere solo auth ?
Esistono mezzi per far fare ai server cose che da soli non farebbero 
(hints: buffer overflows, shell code)


 il tunnelling ssh.
Parte dei protocolli da usare usano udp per il trasporto e non
puoi infilarli in un tunnel ssh. Non oggi, per lo meno. Inoltre
hai comunque il problema che i servizi sul 2k server sarebebro
sempre raggiungibili e, quindi, exploitabili, con l'aggravante
che un eventuale ids in dmz neanche se ne accorgerebbe.
Fabio

 faro' dalle prove....
Non sarebbe male sapere come sono andate :).
Fabio
[1] Come si chiama? Di base, giusto?

> metti il server di autenticazione nella DMZ.
E' una politica un po' rischiosetta IMHO: c'e' la possibilta'
di denial of service che possono compromettere le funzioni di
tutta la rete interna. Piuttosto fai una foresta separata da
aggiornare a mano (se no sei al punto di prima) ma la cosa e'
gestibile per un limitato numero di utenti e risorse. IMHO
quest'ultima e' la soluzione che complica di piu' la vita a
chi deve amministrare la macchina ma che lo fa dormire piu'
tranquillo (se non e' un problema avere parte del database
degli utenti in dmz).
Fabio

 che deve connettersi alla lan.
Non penso, perche' dovrebbe ascoltare sull'interfaccia di loopback
e mi sembra che ci siano problemi a fare questa cosa sotto windows
(AFAIK).
Fabio

Ho cominciato a fare un po' di prove ma ho idea di aver cannato qualcosa....
Giusto per rendervi partecipi (visto che mi avete aiutato e magari siete
curiosi), gli articoli di cui mi parlavi dovrebbero essere i  seguenti:
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q179442
ed il più carino:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/ittasks/t
asks/adrepfir.asp
Ho provveduto a fare cio':
- preso un piccione, installato W2K server (l'ho messo sulla lan) come
member server dell'AD
- preso il firewall linux, assegnato alla sk in lan del fw linux un
indirizzo virtuale di rete diverso dalla LAN in modo da simulare un'altra
rete (e potermici collegare dalla mia scrivania, per dire la verità la cosa
l'aveva approntata un amico, io l'ho vista pronta e sfruttata)
- ripreso il piccione e cambiato l'indirizzo IP, collegato logicamente alla
nuova rete fatta or ora
ho fatto tail della coda messaggi del fw e, sul piccione, ho cercato di
rifare login sull'AD...
Ottimo, ho cominciato a vedere tutti i messaggi di log deny dei vari
pacchettis caratti con le porte di destinazione, come ad esempio:
53, 389, 137, 139, ...
Aperte ad una ad una tutte le volte ritentando di fare logon... mi sono
incartato qui in quanto sembra che il fw non accetti alcune regole (o
probabhilmente ce ne sono di contraddittorie che non riesco a beccare)...
nel senso che sono riuscito a risolvere i nomi (cioè non mi filtra più le
richieste di tipo tcp sulla porta 53), con le stesse logiche ho cercato di
aprire anche le altre porte, ma sembra che ignori le nuove regole. Domani
vedro' di capire perchè...
tra l'altro vorrei provare a giocare anche con i file hosts e lmhosts, se
nonr icordo male dai tempi di nt c'era un qualcosina su lmhosts che ti
diceva chi era il controller di dominio senza andarlo a chiedere in
broadcast.... ci devo un po' lavorare su...
intanto grazie a tutti
P.S.: Per quanto riguarda l'IIS... avevo già impostato le cosine in modo da
usare la digest....


 imposti le regole necessarie e riporti in DROP le policy.

ooops... mi è scappato un malformed quoting ... sorry


le risposte) al processo di auth.
Metti un controllore di dominio separato in DMZ con una foresta
diversa e trustalo col principale in LAN con una conessione
unidirezionale.
In questo modo saresti piu' sicuro.
Oppure pensa se non ti convenga usare radius al posto di AD per
gestire le autenticazioni del sito.
Ciao
-- 
Francesco

> 137, 139, ...
Ti direi di disabilitare netbios, gia' che ci sei.
Fabio

 Ciao
Ciao anche a te e grazie.


;-) già fatto ....
oggi non riesco ad anadre avanti, domani ci riprovo...


 gestibile per un limitato numero di utenti e risorse. IMHO
si, vero. Alternativa: sincronizzazione (ma non saprei come) in 
automatico su iniziativa del server all'interno della LAN. 


 automatico su iniziativa del server all'interno della LAN.
C'e' un altro post in cui si parla di sinc unidirezionale. Non mi
ricordavo che si potesse fare. Bisognerebbe fare qualche prova in
merito perche' non e' escluso che sia necessario comuque iniziare
delle connessioni dalla dmz: la sincronizazione unidirezionale e'
tale per quanto riguarda i dati ma non necessariamente per quanto
ha a che fare con le connessioni di rete.
Fabio

 ha a che fare con le connessioni di rete.
Su questo passo: non so nulla.


 netcat o scp, al limite.
Purtroppo non e' possibile: con ad bisogna usare gli strumenti
di replica previsti.
Mi piacerebbe fare delle prove ma purtroppo non ho un win2ksvr
da mettere in dmz per giocare. Magari in agosto.
Fabio

 da mettere in dmz per giocare. Magari in agosto.
Si, dai, invece di andare in ferie, che bello! <g> 
:)


Salve a tutti, un piccolo aggiornamento alal situazione
Ho reinstallato quel cacchio di server...
Al momento sono in lan assieme alla produzione
Ho fatto un AD per i cavoli suoi (l'idea č getsire gli utenti esterni
nell'AD esterna e gli utenti di LAN con l'AD esistente)
Ho fatto una trust transitiva undiriezionale (come si diceva stamattina) in
modo che gli utenti della lan interna possano accedere alla AD esterna
Per il momento sembra che tutto vada bene (leggi se mi collego sull'http in
DMZ mi cheide utente, pwd e dominio, che io specifico in maniera opportuna
mettendo come dominio il dominio interno, e mi autentica).
Ora che ho una base pronta arriva il nocciolo della questione.
L'articolo Ms
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q179442
 dice come
configurare un firewall per i trust di dominio.
Tralasciando per un momento la lista delle porte da aprire (che sono poi le
solite) si racconta che:
Alternatively, you can establish a trust through the Point-to-Point
Tunneling Protocol (PPTP) compulsory tunnel, and this will limit the number
of ports that the firewall will need to open. For PPTP, the following ports
must be enabled: 1723/TCP.
Sarebbe credo OK, ma mi stavo chiedendo (sono ignorante lo so...) .... come
fare a stabilire un trust attraverso  PPTP ?
Se riesco a stabilire questo trust over PPTP, provo a spostare la macchina
che andrą in DMZ su una rete separata e comincio a giocare....
Prossimamente su questi schermi le prossime puntate....
Dato questo ora torno dal mio amico google e cerco un po' di risposte....
Ciao a tutti


ha a che fare con le connessioni di rete.
Fai due foreste diverse, con A trustato unidirizionalmente verso B che
sta in DMZ, per cui gli utenti di A sono comuqnue accettati anche da
B, ma non il viceversa.
Se ti compromettono B comunque non hanno nessun diritto verso A e
relativa rete.
Comunque si, in questo caso e' B che apre una connessione verso A per
autenticare un utente.
Ciao
-- 
Francesco