Acesso remoto seguro em empresas de pequeno e médio porte

Como este guia pode ajudar? Este guia explica como você pode permitir que os usuários acessem de forma fácil e segura os dados da empresa por meio de uma variedade de dispositivos conectados à Internet de qualquer local.

Este guia descreve uma solução de design e implementação testada e descritiva que pode ajudá-lo a fornecer acesso remoto seguro aos seus usuários de rede centralizando o armazenamento de dados, configurando sua rede para acesso remoto e restringindo as permissões de acesso de dados.

Neste guia de solução:

• Cenário, declaração do problema e metas

• O que é o projeto recomendado para essa solução?

• Por que estamos recomendando esse design?

• Quais são as etapas de alto nível para implementar essa solução?

O diagrama a seguir ilustra o problema e o cenário abordados neste guia de solução.

 Problemas associados ao acesso de dados remoto

Cenário, declaração do problema e metas

Esta seção descreve o cenário, o problema e as metas para uma organização de exemplo.

Cenário

A organização é de pequeno a médio porte com até 100 usuários e 200 dispositivos, e está procurando uma maneira para que os usuários acessem dados da empresa quando estiverem fora do local usando uma diversidade de dispositivos conectados à Internet. Os usuários não tem acesso consistente aos recursos da empresa no local e externamente. Arquivos não são acessíveis após um usuário de rede sair do escritório. Por isso, os usuários da rede estão salvando dados da empresa em seus dispositivos móveis ou enviando-os por email. Eles usam um computador para enviar dados por email do trabalho e podem enviar por dados por email para o escritórios de seus laptops quando estão trabalhando remotamente. Às vezes, depois do horário comercial, os usuários precisam trabalhar em arquivos ou acessar dados em uma variedade de dispositivos, tais como tablets, pads ou laptops, porém não conseguem usar seus aplicativos de linha de negócios quando estão fora do local de trabalho.

Declaração do problema

A organização deseja resolver os seguintes problemas:

• Os usuários não têm uma maneira segura de acessar dados e aplicativos de linha de negócios da empresa fora da rede do escritório.

• Os usuários não têm uma maneira segura de acessar recursos de rede em dispositivos móveis.

• Os usuários estão salvando dados da empresa em vários dispositivos (por exemplo, em um computador no trabalho e em seus laptops quando trabalham remotamente). Isso está resultando em várias versões dos arquivos que são difíceis de monitorar e localizar.

• Há perda financeira quando os usuários não conseguirem trabalhar porque eles não têm os aplicativos de linha de negócios instalados em seus dispositivos pessoais conectados à rede.

Metas organizacionais

Sua organização está procurando uma solução que permita:

• Fornecer acesso seguro aos dados e recursos da empresa para usuários fora da rede do escritório.

• Permitir que os usuários acessem os recursos de rede em dispositivos móveis.

• Eliminar conflitos de versão que podem surgir como várias versões de arquivos criadas quando os usuários trabalham em cópias locais quando estão fora da rede. 

• Impedir a perda financeira causada pela falta de acesso aos aplicativos de linha de negócios fora do escritório.

O que é o projeto recomendado para essa solução?

O diagrama a seguir ilustra como armazenar, proteger e acessar remotamente os dados da empresa de um servidor executando Windows Server 2012 R2 Essentials ou as edições Standard e Datacenter do Windows Server 2012 R2 com a função Experiência do Windows Server Essentials instalada (conhecido como Experiência do Windows Server Essentials no restante deste documento).

Design de solução para fornecer acesso seguro aos dados quando os usuários estiverem fora da rede

Windows Server 2012 R2 Essentials (apropriado para uso para até 25 usuários e 50 dispositivos) e as edições Standard e Datacenter do Windows Server 2012 R2 com a função Experiência do Windows Server Essentials instalada (apropriado para uso para até 100 usuários e 200 dispositivos) fornecem uma solução para empresas de pequeno a médio porte a fim de permitir que os usuários acessem facilmente e com segurança os dados da empresa em uma variedade de dispositivos conectados à Internet.

A tabela a seguir lista as tecnologias incluídas no Windows Server 2012 R2 Essentials e na Experiência do Windows Server Essentials que fazem parte deste design de solução e descreve o motivo para a escolha de design.

Por que estamos recomendando esse design?

Esta seção explica os detalhes sobre as considerações de design e as decisões tomadas que levaram ao design da solução final. Ela também fornece a configuração ou uso recomendados de cada recurso usado nesta solução.

Painel do Windows Server Essentials

O Painel do Windows Server Essentials no Windows Server 2012 R2 Essentials e Experiência do Windows Server Essentials ajuda você a acessar rapidamente as informações-chave e os recursos de gerenciamento do servidor em vez de usar várias Ferramentas de Administração nativas do Windows Server. Por exemplo, usando o Painel, você pode criar e gerenciar contas de usuário e gerenciar dados em pastas do servidor.

Recomendação: Use o Painel do Windows Server Essentials para executar a maioria das tarefas administrativas para sua rede. Você pode executar tarefas e assistentes do Painel para configurar de forma ideal os recursos do seu servidor. Usando o painel, você também pode configurar permissões de acesso remoto aos recursos da rede (como pastas compartilhadas, os computadores cliente ou VPN) por usuário.

Espaços de Armazenamento

As opções para fornecer alta disponibilidade e armazenamento flexível para os dados da sua empresa inclui usar o controlador RAID interno que acompanha o hardware de servidor comum. Com essa opção de armazenamento, você poderá oferecer a disponibilidade de armazenamento e a resiliência que você precisa, mas pode ser relativamente complexa e cara.

Por outro lado, você pode usar o recurso de Espaços de Armazenamento para criar volumes de dados econômicos, resilientes e dinamicamente expansíveis para armazenar os dados da sua empresa em vez de armazená-los em unidades de disco rígido padrão. Os Espaços de Armazenamento incluem VHDs (unidades de disco rígido virtual) que aparecem na guia Discos Rígidos do Painel.

Os Espaços de Armazenamento ajudam a salvar arquivos em duas ou mais unidades para que os arquivos permaneçam seguros quando um disco falhar. Com os Espaços de Armazenamento, você pode virtualizar o armazenamento do servidor agrupando discos rígidos padrão da indústria em pools de armazenamento e criando VHDs (chamados de espaços de armazenamento) com base na capacidade disponível nos pools de armazenamento. Você pode usar esses espaços de armazenamento para armazenar dados da empresa em um local central, em vez de todos os usuários salvarem dados em seus computadores.

Recomendação: Para pequenas empresas com menos de 10 usuários, use pelo menos três unidades SAS ou SATA — uma unidade a ser usada para fazer backup do sistema operacional e as outras duas a serem usadas para os espaços de armazenamento. É recomendável criar um espaço de armazenamento usando pelo menos duas unidades com resiliência espelhada.

Para pequenas empresas com mais de 10 usuários ou empresas de médio porte com até 100 usuários, configure pelo menos três discos SAS com Espaços de Armazenamento, uma unidade a ser usada para fazer backup do sistema operacional e outras duas para os espaços de armazenamento. Também é recomendável fornecer um chassi de servidor com suporte à adição de mais unidades para expansão.

Pastas do Servidor

Usando pastas do servidor, você pode armazenar arquivos que estão localizados em computadores cliente em um local central, em vez de os usuários armazenarem arquivos em seus computadores.

Armazenar arquivos em pastas do servidor garante que os arquivos são fáceis de acessar e de fazer backup. Eles encontram-se em um local que está sempre acessível para cada cliente. Os arquivos estão seguros, pois acessá-los requer o uso de credenciais de rede autenticadas.

Recomendação: Crie pastas do servidor em uma unidade do Espaço de Armazenamento e crie pastas de servidor separadas para departamentos ou projetos. Por exemplo, se você tiver um departamento de contabilidade, poderá criar uma pasta chamada "Contabilidade". Criar a pasta do servidor em uma unidade de Espaço de Armazenamento aumenta a disponibilidade de dados (devido ao espelhamento).

Também é recomendável definir uma cota para suas pastas do servidor para que você seja alertado quando uma pasta do servidor estiver prestes a atingir sua capacidade. Quando for alertado, você poderá excluir arquivos na pasta do servidor para aumentar o espaço disponível para armazenamento ou adicionar mais espaço para a pasta do servidor e ajustar suas configurações de cota.

Gerenciamento de usuários e grupos

Contas de usuário e de grupo de usuários ajudam a especificar permissões que permitem que os usuários acessem os dados da empresa. Isso protege os dados da empresa contra acesso do usuários indesejados. Você pode gerenciar com facilidade o acesso aos recursos da rede criando contas de usuário para todos os seus usuários de rede na guia Usuários do Painel do Windows Server Essentials.

Além disso, você pode criar contas de grupo de usuário e adicionar as contas de usuário como membros. Todos os membros de uma conta de grupo de usuários compartilham o mesmo nível de acesso de segurança aos recursos do servidor. A associação a um grupo simplifica o gerenciamento de recursos porque você pode especificar permissões para um grupo de usuários em uma única página. Isso é diferente de abrir páginas de propriedades para cada usuário na rede para atribuir permissões de pasta relevantes.

Recomendação: Crie contas de usuário que são membros de vários grupos de usuários, com base nos departamentos que existem na sua empresa ou nos diversos projetos nos quais as pessoas trabalham dentro de sua empresa. Ao criar um grupo de usuários, você pode atribuir um conjunto de permissões aos grupos de usuários que serão aplicáveis a todos os seus membros. Por exemplo, se você tiver um grupo de usuários que estão trabalhando no Departamento de Contabilidade A, você pode criar uma conta de grupo de usuário chamada "Grupo de Usuários do Departamento A" e adicionar as contas de usuário relevantes a esse grupo. Em seguida, você pode atribuir permissões para o "Grupo de Usuários do Departamento A" acessar a pasta de servidor denominada "Contabilidade".

Para cada conta de usuário na sua rede, você pode configurar permissões de acesso remoto dependendo do método que é usado para acesso remoto (como o Acesso via Web Remoto ou uma VPN). Você também pode configurar o acesso aos recursos de rede (como pastas do servidor e os computadores cliente). Por exemplo, você pode criar grupos de usuários para "Usuários de VPN" e "Usuários de RWA", configurar permissões de acesso remoto para esses grupos e, em seguida, adicionar as contas de usuário deverão ter privilégios de acesso remoto a esses grupos.

Gerenciamento de dispositivos

Para permitir que os usuários acessem pastas do servidor em computadores na rede, você deve conectar os computadores dos usuários ao servidor. Conectar computadores ao servidor fornece as seguintes vantagens:

• Permite que os usuários da rede acessem com segurança os dados armazenados no servidor usando suas contas de usuário.

• Permite que você gerencie computadores cliente do Painel.

• Protege computadores cliente na rede usando configuração de Política de Grupo.

• Faz backup dos dados em computadores cliente regularmente.

• Monitora a integridade dos computadores cliente.

Recomendação: Conecte-se a todos os computadores (local ou remoto) que você deseja administrar para o servidor para que você possa gerenciar na guia Dispositivos do Painel do Windows Server Essentials, em vez de usar a ferramenta de servidor nativo, Usuários e Computadores do Active Directory.

Configurações de Política de Grupo no Windows Server Essentials

Você pode usar o Assistente de Implementação de Política de Grupo no Windows Server 2012 R2 Essentials ou Experiência do Windows Server Essentials para centralizar seus dados ao ativar o Redirecionamento de Pasta. Além disso, use este assistente para ajudar a manter sua rede segura ao impor que o Windows Update, Windows Defender e o Firewall do Windows permaneçam ativados para todos os computadores cliente na rede. Isso elimina a necessidade de contar com os usuários finais para ativar essas configurações em seus computadores.

Recomendação: É recomendável que você não desative as configurações de Política de Grupo no Windows Server Essentials.

Acesso em Qualquer Local

Ao configurar as funcionalidades de Acesso em Qualquer Local (Acesso via Web Remoto e VPN), você pode permitir que os usuários da rede acessem recursos de servidor de qualquer local que tenha uma conexão com a Internet, a qualquer momento e em praticamente qualquer dispositivo.

Recomendação: Execute o Assistente de Configuração do Acesso em Qualquer Local para configurar o Acesso Remoto via Web e uma rede virtual privada. Corrija os problemas relatados pelo assistente quando ele for concluído.

Acesso Remoto via Web

O Acesso via Web Remoto fornece uma experiência de navegador simplificada e compatível com toque para acessar aplicativos e dados de praticamente qualquer lugar em que haja uma conexão com a Internet e usando quase qualquer dispositivo.

Recomendação: Configure as permissões de usuários e grupos de usuários para Acesso Remoto via Web para que usuários remotos acessem com segurança dados de locais remotos.

Rede Virtual Privada

As conexões com VPN (rede virtual privada) permitem que os usuários que trabalham em casa ou em viagens acessem um servidor em uma rede privada usando a infraestrutura fornecida por uma rede pública, como a Internet.

Recomendação: Configure as permissões de usuários e grupos de usuários da VPN para que os usuários remotos possam se conectar ao servidor por meio de uma conexão VPN.

Aplicativo My Server 2012 R2

O aplicativo My Server permite conectar-se aos recursos e executar tarefas administrativas leves no servidor do Windows Server Essentials em um dispositivo que esteja executando o sistema operacional Windows 8.1, Windows 8 ou Windows RT. No My Server, você pode gerenciar usuários, dispositivos e alertas, bem como trabalhar com arquivos compartilhados no servidor. Quando estiver offline, você poderá continuar a trabalhar com arquivos acessados recentemente no My Server e suas alterações offline serão sincronizadas automaticamente com o servidor na próxima vez que você se conectar.

Recomendação: Instale o aplicativo My Server em qualquer dispositivo que está executando o sistema operacional Windows 8.1, Windows 8 ou Windows RT e use o My Server para acessar documentos no servidor.

Quais são as etapas de alto nível para implementar essa solução?

Você pode seguir as etapas nesta seção para implementar esta solução. Verifique a implantação correta de cada etapa antes de prosseguir para a próxima.

1. Ativar o Acesso em Qualquer Local.

   Com o Acesso em Qualquer Local, você pode gerenciar as funcionalidades de Acesso via Web Remoto e VPN. Para ativar o Acesso via Web Remoto e VPN, execute o Assistente de Configuração de Acesso em Qualquer Local da guia Acesso em Qualquer Local da página Configurações do Painel. Para ativar o Acesso Remoto via Web, siga as instruções em Gerenciar Acesso Remoto via Web. Para ativar uma VPN, siga as instruções em Gerenciar VPN no Windows Server Essentials [blue].

2. Configurar um nome de domínio.

   Para configurar um nome de domínio, execute o Assistente de Configuração do Nome de Domínio e siga as instruções em Gerenciar Acesso Remoto via Web. Se você não tiver um nome de domínio existente, você pode obter um nome de domínio personalizado gratuito da Microsoft (por exemplo, seunomedehost.remotewebaccess.com) durante o Assistente de Configuração de Nome de Domínio.

3. Criar um espaço de armazenamento no servidor. 

   Para criar um espaço de armazenamento, siga as instruções na seção Criar um espaço de armazenamento em Gerenciar o armazenamento de servidor no Windows Server Essentials.

   Você também pode criar um novo espaço de armazenamento espelhado bidirecional usando cmdlet New-WssStorageSpace do Windows PowerShell.

   Depois de criar o espaço de armazenamento, verifique se ele está listado na guia Discos Rígidos do Painel.

4. Crie pastas do servidor para vários departamentos ou tipos de dados conforme necessário.

   Para criar pastas do servidor, siga as instruções em Adicionar ou mover uma pasta do servidor.

   Observação

   Se sua organização tiver pastas compartilhadas que já estão sendo usadas, mova também os dados armazenados em vários dispositivos para as pastas do servidor que você criar nessa etapa.

   Quando você cria uma nova pasta no servidor usando o Assistente Adicionar Pasta, na página Digite um nome e descrição para a pasta, no campo Local, armazene a pasta em seu local padrão, que é o espaço de armazenamento que você criou na etapa 1, para garantir a alta disponibilidade dos dados. Verifique se todas as pastas do servidor que você criou estão listadas na guia Armazenamento do Painel.

   Você também pode adicionar uma pasta do servidor usando o cmdlet Add-WssFolder do Windows PowerShell. Para obter mais informações, consulte Add-WssFolder.

5. Criar contas de usuários e grupos de usuários.

   Crie contas de usuário para todos os usuários na rede e crie grupos de usuários com base nos departamentos e projetos na sua empresa. Você também pode criar grupos de usuários de acordo com o método de acesso remoto, tal como os usuários que acessam os dados por meio de VPN ou os usuários que acessam os dados por meio do Acesso via Web Remoto.

   Em seguida, adicione as contas de usuário aos grupos de usuários relevantes com base nos departamentos, projetos ou métodos de acesso remoto aos quais os usuários estão associados. Para obter instruções passo a passo para criar contas de usuário, consulte Adicionar uma conta de usuário. Para obter mais informações sobre grupos de usuários, consulte Gerenciar contas de usuário no Windows Server Essentials [H2].

   Verifique se todas as contas de usuário e grupos de usuários são listados nas guias Usuários e Grupos de Usuários do Painel.

6. Atribuir permissões de acesso do usuário às pastas do servidor.

   Para atribuir permissões a contas de usuário para que os usuários possam acessar as pastas do servidor, siga as instruções em Gerenciar o acesso a pastas do servidor.

   Depois que você tiver concedido permissões de acesso de usuário, poderá confirmar, exibir ou modificar as permissões para recursos de rede para qualquer conta de usuário exibindo as propriedades da conta do usuário no Painel. Para obter mais informações, consulte Gerenciar contas de usuário no Windows Server Essentials [H2].

7. Conecte todos os computadores cliente na rede ao servidor.

   Todos os clientes precisam estar conectados a um servidor que esteja executando Windows Server 2012 R2 Essentials ou Experiência do Windows Server Essentials. Antes de conectar um cliente a um servidor que esteja executando o Windows Server Essentials, avalie o seguinte:

   • Sistemas operacionais compatíveis para computadores cliente

   • Pré-requisitos para conectar um computador ao servidor

   Execute o Assistente para Conectar o Computador ao Servidor em todos os computadores na sua rede, sejam eles locais ou remotos. Para obter instruções passo a passo para conectar computadores cliente a um servidor executando o Experiência do Windows Server Essentials, consulte Conectar computadores ao servidor.

   Depois de conectar um computador cliente ao servidor, verifique se o nome do computador está listado na guia Dispositivos do Painel. Você pode gerenciar todos os computadores que estão conectados ao servidor por meio de tarefas administrativas que são listadas no painel de tarefas do Painel. Para obter mais informações, consulte Gerenciar dispositivos usando o Painel.

8. Configure permissões de acesso remoto para contas de usuários e dispositivos de rede.

   Atribua permissões de acesso remoto a contas de usuário e aos dispositivos de rede que os usuários podem usar para se conectar remotamente. Essa conexão pode ser por meio de uma conexão VPN ou por meio de uma sessão de Área de Trabalho Remota usando o Acesso via Web Remoto. Para obter instruções passo a passo, consulte as seguintes seções em Gerenciar contas de usuário no Windows Server Essentials [H2]:

   • Conceder permissões de Área de Trabalho Remota de contas de usuário

   • Permitir que os usuários estabeleçam uma sessão de Área de Trabalho Remota com seu computador

   • Alterar as permissões de acesso remoto para uma conta de usuário

   • Alterar as permissões de rede virtual para uma conta de usuário

9. Implementar as configurações de Política de Grupo.

   Para implementar configurações de Política de Grupo no Windows Server Essentials, ative o configurações de Redirecionamento de pasta, o Windows Defender, o Firewall do Windows e o Windows Update, conforme discutido em Definir configurações de Política de Grupo para redirecionamento e segurança de pasta.

   Depois de implementar as configurações de Política de Grupo, verifique se a tarefa Definir configurações de política de grupo aparece na guia Dispositivos.

10. Instalar o aplicativo My Server 2012 R2.

    Instale o aplicativo My Server 2012 R2 no Windows Phone e nos dispositivos que executam o Windows 8.1 e Windows 8. Você pode instalar o aplicativo My Server 2012 R2 para dispositivos executando Windows na Windows Store. Para obter informações sobre esse aplicativo, consulte Usar o aplicativo My Server para se conectar ao Windows Server Essentials [SBS8].

    Você pode instalar o aplicativo My Server 2012 R2 no seu Windows Phone na Windows Phone Store. Verificar se o aplicativo My Server está instalado no dispositivo. Para obter informações sobre o aplicativo de telefone My Server 2012 R2, consulte o postagem de blog Aplicativos My Server 2012 R2 de Windows e Windows Phone.

    Para poder usar o aplicativo My Server 2012 R2 para Windows Phone e dispositivos que executam o Windows 8.1 ou Windows 8 no Windows Server Essentials, instale primeiro o certificado do servidor no seu dispositivo. O certificado permite que você conecte o dispositivo ao servidor que executa o Windows Server Essentials na sua rede local. Para obter instruções passo a passo para instalar o certificado do servidor, consulte a seção "Como se conectar ao servidor por meio da rede local” em Usar o aplicativo My Server para se conectar ao Windows Server Essentials [SBS8].

Depois de concluir as etapas anteriores, os objetivos da organização listados neste documento foram atendidos da seguinte maneira:

• Os usuários da rede podem usar o Acesso via Web Remoto ou uma VPN de fora da rede do escritório para acessar com segurança os recursos e dados da empresa.

• Os usuários são capazes de acessar recursos da rede de uma ampla variedade de dispositivos móveis usando o Acesso via Web Remoto, uma VPN ou o aplicativo My Server 2012 R2.

• Os usuários podem trabalhar de fora da rede, não precisando mais usar cópias locais quando estiverem trabalhando externamente. Conflitos de versão que podem surgir de várias versões de arquivo foram eliminados.

• A perda comercial é evitada porque os usuários da rede podem acessar seus aplicativos de linha de negócios fora do horário de trabalho usando uma VPN ou por meio do Acesso via Web Remoto para criar uma sessão de Área de Trabalho Remota com seus computadores cliente locais.

Consulte também