Newsgroup: it.comp.os.win.win2000
Titolo: Un server web a distanza

Devo mettere su per la mia azienda un server web (Windows 2003) che finirà
in housing, fuori dalla rete aziendale.
Quando sarà lì, dovrà essere possibile per gli utenti del dominio
raggiungerlo ed amministrarlo, ed assegnare loro diritti e permessi;
inoltre, dovrà poter accedere ad un'autorità di certificazione, in modo da
poter accettare connessioni SSL.
Per queste ragioni, ho pensato di legarlo in qualche modo al dominio
aziendale.
Il server sarà (ovviamente) dietro un firewall, così come il nostro dominio,
quindi una comunicazione diretta è impossibile. Inoltre sarà l'unica
macchina presente nel sito di housing, almeno per ora; su questo non ho voce
in capitolo. Però, in futuro, potrebbero essere aggiunte altre macchine, e
l'autenticazione tra queste dovrà essere centralizzata.
Stando così le cose, quale tra le seguenti soluzioni potrebbe essere la
migliore ?
1) Il server è un semplice membro del dominio aziendale, e così anche gli
eventuali server aggiunti in seguito. Mediante il servizio di RRAS, mantiene
costantemente attiva una connessione VPN con la rete aziendale e attraverso
quella passa tutto il traffico di autenticazione. I dubbi riguardano la
quantità di traffico generato e le reazioni del/dei server in caso di caduta
della VPN.
2) Il server è anche un domain controller del dominio aziendale, in replica
con questo attraverso la VPN di cui sopra. In questo modo, se cade la
connessione può continuare a funzionare, e il traffico tra i due siti si
riduce alle repliche di AD; inoltre eventuali server futuri potranno
autenticarsi senza problemi. Mi sembra però una soluzione molto poco pulita
(e parecchio insicura) rendere DC un server web esposto ad Internet.
3) Il server è domain controller di un proprio dominio, in trust con il
dominio aziendale attraverso la solita VPN, così da permettere l'accesso
amministrativo agli utenti di quest'ultimo. Il traffico di replica è
ridotto, le autenticazioni avvengono localmente e eventuali server futuri
potranno essere aggiunti senza problemi. Vale però lo stesso discorso di
prima: un domain controller/web server esposto su Internet mi piace molto
poco; inoltre, come gestire i rapporti tra il nuovo dominio e quello
aziendale a livello di indirizzi IP ?
Cosa mi consigliate, considerando che in futuro difficilmente potrò cambiare
la configurazione, quando il server sarà pieno di siti in hosting ?
Massimo
P.S.
Preferirei non caricare troppo la macchina, considerando che oltre ad IIS
dovrà anche girarci SQL Server 2000.

 eventuali server aggiunti in seguito. Mediante il servizio di RRAS, mantiene
[...]
Delle tre questa e' l'unica soluzione percorribile (difficile dire se la
migliore non conoscendo i dettagli del progetto).
Inorridisco al solo pensiero di un web server pubblico su DC :-(((
Ciao
GiuCa
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

Ciao
Normalmente un Web Server è una m,acchina "esposta" su internet , ovvero
fornisce servizi (web, magari mail ) verso l'esterno, questo la rende
obbiettivo di attacchi, quindi bisogna , proteggerla in modo adeguato con un
Firewall e mantenedola sempre aggiornata (patch)ed inoltre devi prevedere
che nella peggiore delle ipotesi, se ti prendono la macchina il danno deve
essere contenuto.Per fare ciò la macchina non DEVE essere in un dominio,
tanto meno un DC magari del dominio della tua lan per evitare che si possano
recuperare informazioni preziose (account utenti, password, Topologia della
rete).
Per esperienza quando preparo un web Server lo lascio nel workgroup a
sestante, al massimo con le altre macchine esposte, e gli creo degli account
Utenti locali, a cui poi assegno diversi dirittti in base alle operazioni
che devono eseguire,e lo metto dietro un firewall.
Per quanto concerne l'amministrazione remota di solito sono sufficienti gli
strumenti presenti nativamente su Win 2k e Win 2k3, ovvero il Terminal
Services, per rendere sicura questa operazione, non è necessaria una VPN, ma
basta configurare il firewall che è davanti al server per accettare
connessioni sulla porta 3389 esclusivamente dall'IP con cui la tua LAN esce
su Internet (la connessione RDP è nativamente CIFRATA) puoi inoltre
configurare il firewall allo stesso modo per la porta 1434 o 1433 per
l'amministrazione del SQL.
Ovviamente la VPN male non fa ma non è così Necessaria.
Saluti

 Inorridisco al solo pensiero di un web server pubblico su DC :-(((
Sì, anch'io.
Infatti credo farò così, al limite se i server in housing aumenteranno si
può sempre piazzare un DC in loco.
Ma siccome in alcuni casi probabilmente gli utenti del server saranno anche
utenti di AD, come gestire l'autenticazione se va giù la VPN ?
Certo, è anche vero che se va giù la VPN è probabile che sia perché è andata
giù la connessione di rete in toto, quindi il server non lo raggiungerebbe
comunque nessuno... ma non si sa mai.
Massimo

 Ovviamente la VPN male non fa ma non è così Necessaria.
Tieni anche presente che, per forza di cose, non ho alcuna intenzione di
aprire le porte dei servizi di rete Microsoft. Ma accedere ai dischi del web
server potrebbe rivelarsi spesso molto utile, quindi mi sa che la VPN ci
sarà eccome.
Massimo

 utenti di AD, come gestire l'autenticazione se va giù la VPN ?
[...]
La cosa va valutata con attenzione: crearsi il problema
dell'autenticazione in AD per 5 utenti non ha senso, ne ha se gli utenti
da autenticare in AD sono 500 (le cifre sono eccessi per chiarire
ovviamente...)
Il problema a mio parere va affrontato (e risolto) a livello complessivo:
a) e' necessaria l'autenticazione in AD?
b) [supposto di si] quanta parte del traffico sul server web va
autenticata?
c) [supposto sia una parte comunque importante] mi costa di piu' garantire
la connettivita' (VPN) o localizzare un DC?
Al solito sono considerazioni puramente teoriche.
Un saluto


 sarŕ eccome.
Basta usare FTP (configurando IIS per non accettare connessioni Anonime) ed
il trasferimenteo dei file č fatto, inoltre i TS, sopratutto quelli di 2003
permettono di mappare sul server i dischi locali dei client cosichč quando
devi trasferire Files te li copi semplicememte da una unitŕ mappata ad una
unita fisica del server stesso.
Comunque la VPN male non Fa!!!
Ciao
Fx3000