Isolamento del dominio IPSec con Windows Server

5

Sto cercando un buon modo per proteggere i miei server, ho una serie di server dedicati che non sono nel mio ufficio ma ospitati da un fornitore esterno. TUTTI i server hanno solo un IP pubblico (WAN).

Non voglio usare VPN perché i miei utenti non sono disposti ad avere questo vincolo, quindi sono passato a una configurazione del firewall del mio Windows Server (attraverso un oggetto Criteri di gruppo) per abilitare IPSec nell'isolamento del dominio.

Ogni server richiede una connessione sicura per il collegamento interno, che dal mio punto di vista è praticamente sicuro.

Ma una cosa mi infastidisce, per far funzionare la modalità di autenticazione di default (che coinvolge Kerberos) nel mio isolamento del dominio ho dovuto configurare il firewall del mio server DNS / DC con "Request inbound and outbound" (invece del predefinito "Richiesto in entrata e richiesta in uscita"). Immagino sia necessario che l'autenticazione Kerberos funzioni.

Ancora una volta, da quanto ho capito, lascia il server DNS / DC non protetto da IPCSec (anche se non so esattamente cosa sia realmente "richiesta" anziché "richiesta").

La mia prima domanda è: è abbastanza sicuro? Seconda domanda: come posso configurare IPSec con il server DNS / DC protetto come gli altri server?

Grazie per il tuo tempo.

    
posta Nock 31.08.2012 - 16:44
fonte

1 risposta

3

IPSEC può essere configurato utilizzando più metodi di autenticazione. Personalmente preferisco usare i certificati della mia CA interna su Kerberos. Ci sono diversi dispositivi con cui mi occupo (Linux, server nella mia DMZ, ecc.) Che sarebbe difficile o impossibile configurare con Kerberos. È molto più semplice lavorare con una richiesta di certificato IPSEC offline.

L'istruzione della richiesta consente di utilizzare IPSEC con il ritorno al traffico non criptato disponibile. Questo è un buon primo passo per iniziare con IPSEC. Il requisito è esattamente questo: il traffico deve essere crittografato con IPSEC per poter essere autorizzato. Questo è positivo per i vostri sistemi / servizi più sensibili.

Ci sono servizi, ecc. che non vuoi essere coperti da IPSEC. Questo include tutto ciò che è pubblico o che potrebbe essere necessario utilizzare prima che venga stabilita la crittografia. Ciò includerebbe DNS e alcuni dei servizi specifici di Active Directory. Non ho una lista minima di servizi richiesti per rimanere facilmente accessibili in chiaro. Sto scegliendo di lasciare i miei DC in modalità richiesta finché non avrò il tempo di rintracciare le informazioni.

    
risposta data 31.08.2012 - 19:36
fonte

Leggi altre domande sui tag