Acesso remoto seguro em pequenas e médias empresas

Como é que este guia o pode ajudar? Este guia explica como pode permitir que os utilizadores acedam aos dados da empresa a partir de qualquer local, de forma fácil e segura, através de vários dispositivos ligados à Internet.

Este guia descreve uma solução prescritiva, de design testado e de implementação que o pode ajudar a fornecer acesso remoto seguro aos seus utilizadores de rede, através da centralização do armazenamento de dados, da configuração da sua rede para acesso remoto e da restrição das permissões de acesso a dados.

Neste guia de soluções:

• Cenário, declaração de problema e objetivos

• Qual é a estrutura recomendada desta solução?

• Por que motivo recomendamos esta estrutura?

• Quais são os passos de alto nível para implementar esta solução?

O diagrama seguinte ilustra o problema e o cenário abordados neste guia de soluções.

 Problemas associados ao serviço RDA (Remote Data Access)

Cenário, declaração de problema e objetivos

Esta secção descreve o cenário, o problema e os objetivos de uma organização de exemplo.

Cenário

Trata-se de uma empresa de pequenas ou médias dimensões, com um máximo de 100 utilizadores e 200 dispositivos, que procura uma forma de os utilizadores acederem de forma segura aos dados da empresa quando se encontram fora das instalações e utilizam um leque diversificado de dispositivos ligados à Internet. Os utilizadores não têm acesso consistente aos recursos da empresa dentro das instalações e fora delas. Os ficheiros não estão acessíveis quando um utilizador de rede se encontra fora do escritório. Por conseguinte, os utilizadores de rede guardam os dados da empresa nos respetivos dispositivos móveis ou enviam-nos por e-mail. Utilizam um PC para enviar dados do trabalho por e-mail e podem utilizar um portátil para enviar dados por e-mail para o escritório quando estão a trabalhar remotamente. Por vezes, após o horário de trabalho, os utilizadores necessitam de trabalhar em ficheiros ou de aceder a dados a partir de vários dispositivos, como tablets, pads ou computadores portáteis. No entanto, não podem utilizar as aplicações de linha de negócio quando se encontram fora das instalações da empresa.

Declaração de problema

A empresa pretende resolver os problemas seguintes:

• Os utilizadores não dispõem de uma forma segura para aceder aos dados da empresa e às aplicações de linha de negócio quando se encontram fora da rede do escritório.

• Os utilizadores não dispõem de uma forma segura para aceder aos recursos de rede em dispositivos móveis.

• Os utilizadores estão a guardar dados da empresa em vários dispositivos (por exemplo, num PC, quando se encontram no local de trabalho, e nos computadores portáteis, quando estão a trabalhar remotamente). Isto origina várias versões do mesmo ficheiro, que são difíceis de monitorizar e localizar.

• Verificam-se perdas financeiras quando os utilizadores não conseguem trabalhar por não disporem das aplicações de linha de negócio instaladas nos respetivos dispositivos pessoais ligados à rede.

Objetivos empresariais

A sua empresa está à procura de uma solução que lhe permita:

• Fornecer acesso seguro aos dados e recursos da empresa aos utilizadores que se encontram fora da rede do escritório.

• Permitir que os utilizadores acedam aos recursos de rede em dispositivos móveis.

• Eliminar conflitos de versão que surgem porque são criadas várias versões de um ficheiro quando os utilizadores trabalham em cópias locais por se encontrarem fora da rede. 

• Impedir perdas financeiras causadas por falta de acesso a aplicações de linha de negócio fora do escritório.

Qual é a estrutura recomendada desta solução?

O diagrama seguinte explica como armazenar, proteger e aceder remotamente a dados da empresa a partir de um servidor que execute o Windows Server 2012 R2 Essentials ou as edições Standard e Datacenter do Windows Server 2012 R2 com a função Windows Server Essentials Experience instalada (mencionada como Windows Server Essentials Experience no restante documento).

O design da solução para fornecer acesso seguro a dados quando os utilizadores se encontram fora da rede

Windows Server 2012 R2 Essentials (adequado para utilização por um máximo de 25 utilizadores e 50 dispositivos) e as edições Standard e Datacenter do Windows Server 2012 R2 com a função Windows Server Essentials Experience instalada (adequado para utilização por um máximo de 100 utilizadores e 200 dispositivos) fornecem uma solução para pequenas e médias empresas que permite o acesso seguro e fácil dos utilizadores aos dados da empresa através de vários dispositivos ligados à Internet.

A tabela seguinte lista as tecnologias que estão incluídas no Windows Server 2012 R2 Essentials e no Windows Server Essentials Experience e que fazem parte do design desta solução, além de descrever o motivo das escolhas de design.

Por que motivo recomendamos esta estrutura?

Esta secção explica os detalhes das considerações de design e das decisões que foram tomadas e que conduziram ao design da solução final. Indica igualmente a configuração ou a utilização recomendadas de cada funcionalidade utilizada nesta solução.

Dashboard do Windows Server Essentials

O Dashboard do Windows Server Essentials no Windows Server 2012 R2 Essentials e no Windows Server Essentials Experience ajuda-o a aceder rapidamente a informações essenciais e às funcionalidades de gestão do servidor, em vez de ter de utilizar várias ferramentas de administração nativas do Windows Server. Por exemplo, através do Dashboard, pode criar e gerir contas de utilizador e dados em pastas do servidor.

Recomendação: Utilize o Dashboard do Windows Server Essentials para executar a maioria das tarefas administrativas da sua rede. Pode executar tarefas e assistentes a partir do Dashboard para configurar de forma otimizada as funcionalidades no seu servidor. Através do Dashboard, também é possível configurar permissões de acesso remoto aos recursos de rede (como pastas partilhadas, computadores cliente e a VPN) por utilizador.

Espaços de Armazenamento

As opções para garantir elevada disponibilidade e armazenamento resiliente para os dados da sua empresa incluem a utilização do controlador RAID incorporado que é fornecido com o hardware de servidor comum. Com esta opção de armazenamento, é possível garantir a disponibilidade de armazenamento e a resiliência de que necessita, embora também possa ser relativamente complexo e dispendioso.

Por outro lado, pode utilizar a funcionalidade Espaços de Armazenamento para criar volumes de dados de custo reduzido, resilientes e dinamicamente expansíveis para armazenar os dados da empresa, em vez de os armazenar em discos rígidos padrão. Os Espaços de Armazenamento incluem unidades de disco rígido virtuais (VHD) que são apresentadas no separador Discos Rígidos do Dashboard.

Os Espaços de Armazenamento ajudam-no a guardar ficheiros em duas ou mais unidades para que os seus ficheiros permanecem em segurança em caso de falha de uma unidade. Com os Espaços de Armazenamento, pode virtualizar o armazenamento do servidor através do agrupamento de discos rígidos padrão do setor em agrupamentos de armazenamento e, em seguida, criar VHDs (denominadas espaços de armazenamento) com base na capacidade disponível nos agrupamentos de armazenamento. Pode utilizar estes espaços de armazenamento para armazenar os dados da sua empresa numa única localização central, em vez de ter todos os utilizadores a guardar os dados nos respetivos PCs.

Recomendação: Para pequenas empresas com menos de 10 utilizadores, utilize pelo menos três unidades SAS ou SATA: uma unidade para efetuar uma cópia de segurança do sistema operativo e as outras duas para utilizar como espaços de armazenamento. Recomendamos que crie um espaço de armazenamento através de, pelo menos, duas unidades com resiliência espelhada.

Para pequenas empresas com mais de 10 utilizadores ou empresas de médias dimensões com um máximo de 100 utilizadores, configure pelo menos três unidades SAS com Espaços de Armazenamento: uma unidade para efetuar uma cópia de segurança do sistema operativo e as outras duas para utilizar como espaços de armazenamento. Também recomendamos que disponibilize um chassis de servidor que suporte a adição de mais unidades para expansão.

Pastas do Servidor

Através da utilização de pastas do servidor, é possível armazenar ficheiros que se encontrem em computadores cliente numa localização central, em vez de ter os utilizadores a armazenar os ficheiros nos respetivos PCs.

O armazenamento de ficheiros em pastas do servidor assegura que será simples efetuar cópias de segurança dos mesmos e que serão de fácil acesso. Ficam armazenados num local acessível a todos os clientes. Os ficheiros estão em segurança porque o acesso aos mesmos requer credenciais de rede autenticadas.

Recomendação: Crie pastas do servidor numa unidade de Espaço de Armazenamento e pastas do servidor separadas para departamentos ou projetos. Por exemplo, se tiver um departamento de contabilidade, pode criar uma pasta denominada "Contabilidade". A criação da pasta do servidor numa unidade de Espaço de Armazenamento aumenta a disponibilidade dos dados (devido ao espelhamento).

Também recomendamos que defina uma quota para as pastas do servidor, para ser alertado quando uma pasta do servidor estiver prestes a atingir o limite da sua capacidade. Quando for alertado, pode eliminar ficheiros da pasta do servidor, de modo a aumentar o espaço disponível para armazenamento, ou pode adicionar mais espaço para a pasta do servidor e ajustar as suas definições de quota.

Gestão de utilizadores e grupos

As contas de utilizador e as contas de grupos de utilizadores ajudam a especificar permissões que permitem que os utilizadores acedam aos dados da empresa. Esta ação protege os dados da empresa do acesso de utilizadores não desejados. Pode gerir facilmente o acesso aos seus recursos de rede através da criação de contas de utilizador para todos os utilizadores da rede a partir do separador Utilizadores do Dashboard do Windows Server Essentials.

Além disso, pode criar contas de grupos de utilizadores e adicionar as contas de utilizador como membros. Todos os membros de uma conta de grupo de utilizadores partilham o mesmo nível de acesso de segurança aos recursos do servidor. A associação a um grupo simplifica a gestão de recursos, porque pode especificar permissões para um grupo de utilizadores numa página. Isto contrasta com a abertura de páginas de propriedades para cada utilizador na rede para atribuir permissões de pasta relevantes.

Recomendação: Crie contas de utilizador que incluam membros de vários grupos de utilizadores, com base nos departamentos que existam na sua empresa ou nos vários projetos em que as pessoas trabalham dentro da empresa. Quando cria grupos de utilizadores, pode atribuir um conjunto de permissões aos grupos de utilizadores que serão aplicáveis a todos os membros. Por exemplo, se tiver um grupo de utilizadores a trabalhar no Departamento de Contabilidade A, pode criar uma conta de grupo de utilizadores denominada "Grupo de Utilizadores do Departamento A" e, em seguida, adicionar as contas de utilizador relevantes a este grupo. Em seguida, pode atribuir as permissões do "Grupo de Utilizadores do Departamento A" para aceder à pasta do servidor denominada "Contabilidade".

Para cada conta de utilizador da sua rede, pode configurar permissões de acesso remoto, dependendo do método utilizado para acesso remoto (como Acesso Remoto através da Web ou uma VPN). Também pode configurar o acesso aos recursos de rede (como pastas do servidor e computadores cliente). Por exemplo, pode criar grupos de utilizadores para "Utilizadores de VPN" e "Utilizadores de RWA", configurar permissões de acesso remoto para estes grupos e, em seguida, adicionar as contas de utilizador que pretende que tenham privilégios de acesso remoto a esses grupos.

Gestão de dispositivos

Para permitir que os utilizadores acedam às pastas do servidor a partir de computadores na rede, tem de ligar os computadores dos utilizadores ao servidor. Ligar os computadores ao servidor tem as vantagens seguintes:

• Permite que os utilizadores da rede acedam de forma segura a dados armazenados no servidor através das respetivas contas de utilizador.

• Permite-lhe gerir os computadores clientes a partir do Dashboard.

• Protege os computadores clientes da rede através de definições de Política de Grupo.

• Efetua cópias de segurança com regularidade nos computadores clientes.

• Monitoriza o estado de funcionamento dos computadores clientes.

Recomendação: Ligue todos os computadores (locais ou remotos) que pretende administrar ao servidor para poder geri-los a partir do separador Dispositivos do Dashboard do Windows Server Essentials, em vez de utilizar a ferramenta nativa do servidor, Utilizadores e Computadores do Active Directory.

Definições da Política de Grupo do Windows Server Essentials

Pode utilizar o Assistente Implementar Política de Grupo do Windows Server 2012 R2 Essentials ou do Windows Server Essentials Experience para centralizar os seus dados, através da ativação do Redirecionamento de Pastas. Além disso, utilize este assistente para o ajudar a manter a rede em segurança, garantindo que o Windows Update, o Windows Defender e a Firewall do Windows se mantêm ativados para todos os computadores cliente da rede. Isto evita que tenha de confiar nos utilizadores finais para que ativem estas definições nos respetivos PCs.

Recomendação: Recomendamos que não desative as definições de Política de Grupo no Windows Server Essentials.

Acesso em Qualquer Local

Quando configura as funcionalidades de Acesso em Qualquer Local (Acesso Remoto através da Web e a VPN), permite que os utilizadores de rede acedam a recursos do servidor a partir de qualquer local que tenha uma ligação à Internet, a qualquer momento e em praticamente qualquer dispositivo.

Recomendação: Execute o Assistente Configuração do Acesso em Qualquer Local para configurar o Acesso Remoto através da Web e uma rede privada virtual. Corrija os problemas comunicados pelo assistente quando a configuração estiver concluída.

Acesso Web Remoto

O Acesso Remoto através da Web fornece um browser simplificado e de fácil utilização para aceder a aplicações e a dados em praticamente qualquer local que tenha uma ligação à Internet, bem como através de praticamente qualquer dispositivo.

Recomendação: Configure as permissões de utilizadores e de grupos de utilizadores para Acesso Remoto através da Web para que os utilizadores remotos possam aceder com segurança a dados a partir de localizações fora das instalações.

Rede privada virtual

As ligações de rede privada virtual (VPN) permitem que os utilizadores que se encontrem a trabalhar em casa ou em viagem acedam a um servidor de uma rede privada através da infraestrutura fornecida por uma rede pública, como a Internet.

Recomendação: Configure as permissões dos utilizadores e dos grupos de utilizadores para a VPN, para que os utilizadores remotos possam ligar-se ao seu servidor através de uma ligação VPN segura.

Aplicação My Server 2012 R2

A aplicação My Server permite-lhe estabelecer ligação a recursos e executar tarefas administrativas leves no seu servidor do Windows Server Essentials a partir de um dispositivo que execute o sistema operativo Windows 8.1, Windows 8 ou Windows RT. Na aplicação My Server, pode gerir utilizadores, dispositivos e alertas e trabalhar com ficheiros partilhados no servidor. Quando estiver offline, pode continuar a trabalhar nos ficheiros aos quais tenha acedido recentemente no My Server, sendo que as alterações que efetuar offline serão sincronizadas automaticamente com o servidor na próxima vez que se ligar.

Recomendação: Instale a aplicação My Server em qualquer dispositivo que execute o sistema operativo Windows 8.1, Windows 8 ou Windows RT e utilize o My Server para aceder a documentos no seu servidor.

Quais são os passos de alto nível para implementar esta solução?

Pode seguir os passos desta secção para implementar esta solução. Confirme a implementação correta de cada passo antes de continuar para o passo seguinte.

1. Ative o Acesso em Qualquer Local.

   Com o Acesso em Qualquer Local, pode gerir as funcionalidades de Acesso Remoto através da Web e da VPN. Para ativar o Acesso Remoto através da Web e uma VPN, execute o Assistente de Configuração do Acesso em Qualquer Local, a partir do separador Acesso em Qualquer Local, na página de Definições do Dashboard. Para ativar o Acesso Web Remoto, siga as instruções em Gerir o Acesso Web Remoto. Para ativar uma VPN, siga as instruções em Gerir VPN no Windows Server Essentials [blue].

2. Configure um nome de domínio.

   Para configurar um nome de domínio, execute o Assistente para Configurar o Seu Nome de Domínio e siga as instruções em Gerir o Acesso Web Remoto. Se não tiver um nome de domínio existente, pode obter um nome de domínio personalizado da Microsoft gratuito (por exemplo, oseunomedeanfitrião.remotewebaccess.com) durante a execução do Assistente Configurar o Seu Nome de Domínio.

3. Crie um espaço de armazenamento no servidor. 

   Para criar um espaço de armazenamento, siga as instruções apresentadas na secção Criar um espaço de armazenamento, em Gerir Armazenamento de Servidor no Windows Server Essentials.

   Também pode criar um novo espaço de armazenamento espelhado bidirecional através do cmdlet New-WssStorageSpace do Windows PowerShell.

   Depois de criar o espaço de armazenamento, certifique-se de que este se encontra listado no separador Discos Rígidos do Dashboard.

4. Crie pastas do servidor para vários departamentos ou tipos de dados, conforme necessário.

   Para criar pastas de servidor, siga as instruções em Adicionar ou mover uma pasta de servidor.

   Nota

   Se a sua empresa partilhou pastas que já estão a ser utilizadas, mova também os dados armazenados em vários dispositivos para as pastas do servidor que criar neste passo.

   Quando cria uma nova pasta do servidor através do Assistente Adicionar Pasta, na página Escreva um nome e uma descrição para a pasta, no campo Localização, armazene a pasta na localização predefinida, que é o espaço de armazenamento que criou no Passo 1, para garantir a elevada disponibilidade dos dados. Certifique-se de que todas as pastas do servidor que criou estão listadas no separador Armazenamento do Dashboard.

   Também pode adicionar uma pasta do servidor através do cmdlet Add-WssFolder do Windows PowerShell. Para obter mais informações, consulte Add-WssFolder.

5. Crie contas de utilizador e grupos de utilizadores.

   Crie contas de utilizador para todos os utilizadores da rede e, em seguida, crie grupos de utilizadores com base nos departamentos e nos projetos da sua empresa. Também pode criar grupos de utilizadores de acordo com o método de acesso remoto, como os utilizadores que acedem aos dados através de VPN ou os utilizadores que acedem aos dados via Acesso Remoto através da Web.

   Em seguida, adicione as contas de utilizador aos grupos de utilizadores relevantes, com base nos departamentos, projetos ou métodos de acesso remoto aos quais os utilizadores estejam associados. Para obter instruções passo a passo para criar contas de utilizador, consulte Adicionar uma conta de utilizador. Para obter mais informações sobre grupos de utilizadores, consulte Gerir Contas de Utilizador no Windows Server Essentials [H2].

   Certifique-se de que todas as contas de utilizador e grupos de utilizadores estão listados nos separadores Utilizadores e Grupos de Utilizadores do Dashboard.

6. Atribua permissões de acesso de utilizador às pastas de servidor.

   Para atribuir permissões a contas de utilizador para que os utilizadores possam aceder às pastas de servidor, siga as instruções em Gerir o acesso a pastas de servidor.

   Depois de conceder permissões de acesso do utilizador, pode verificar, ver ou modificar permissões para recursos de rede de qualquer conta de utilizador através da visualização das propriedades da conta do utilizador a partir do Dashboard. Para obter mais informações, consulte Gerir Contas de Utilizador no Windows Server Essentials [H2].

7. Ligue todos os computadores cliente da rede ao servidor.

   Todos os clientes têm de estar ligados a um servidor que execute o Windows Server 2012 R2 Essentials ou o Windows Server Essentials Experience. Antes de ligar um cliente a um servidor que esteja a executar o Windows Server Essentials, reveja o seguinte:

   • Sistemas operativos suportados para computadores cliente

   • Pré-requisitos para ligar um computador ao servidor

   Execute o Assistente Ligar o Computador ao Servidor em todos os computadores da rede, quer sejam locais ou remotos. Para obter instruções passo a passo para ligar computadores cliente a um servidor com o Windows Server Essentials Experience, consulte Ligar computadores ao servidor.

   Depois de ter ligado um computador cliente ao servidor, verifique se o nome do computador está listado no separador Dispositivos do Dashboard. Pode gerir todos os computadores que estão ligados ao servidor através das tarefas administrativas que estão listadas no painel de tarefas do Dashboard. Para obter mais informações, consulte Gerir dispositivos através do Dashboard.

8. Configure permissões de acesso remoto para contas de utilizador e dispositivos de rede.

   Atribua permissões de acesso remoto às contas de utilizador e aos dispositivos de rede que os utilizadores podem utilizar para se ligar remotamente. Esta ligação pode ser efetuada através de uma ligação VPN ou de uma Sessão de Ambiente de Trabalho Remoto via Acesso Remoto através da Web. Para obter instruções passo a passo, consulte as seguintes secções em Gerir Contas de Utilizador no Windows Server Essentials [H2]:

   • Fornecer permissões de Ambiente de Trabalho Remoto a contas de utilizador

   • Permitir que os utilizadores estabeleçam uma sessão de Ambiente de Trabalho Remoto no computador

   • Alterar permissões de acesso remoto para uma conta de utilizador

   • Alterar permissões de rede virtual para uma conta de utilizador

9. Implemente definições de Política de Grupo.

   Para implementar definições de Política de Grupo no Windows Server Essentials, ative as definições relativas a Redirecionamento de Pastas, Windows Defender, Firewall do Windows e Windows Update, como explicado em Configurar definições de Política de Grupo para redirecionamento de pastas e segurança.

   Depois de implementar as definições da Política de Grupo, verifique se a tarefa Configurar definições da política de grupo aparece no separador Dispositivos.

10. Instale a aplicação My Server 2012 R2.

    Instale a aplicação My Server 2012 R2 no seu Windows Phone e nos dispositivos que executem o Windows 8.1 e o Windows 8. Pode instalar a aplicação My Server 2012 R2 em dispositivos que executem o Windows a partir da Loja Windows. Para obter informações sobre a utilização desta aplicação, consulte Utilizar a Aplicação My Server para Ligar ao Windows Server Essentials [SBS8].

    Pode instalar a aplicação My Server 2012 R2 no seu Windows Phone a partir da Loja do Windows Phone. Certifique-se de que a aplicação My Server está instalada no seu dispositivo. Para obter informações sobre a aplicação My Server 2012 R2 para Windows Phone, consulte a mensagem de blogue My Server 2012 R2 Windows and Windows Phone apps (Aplicações My Server 2012 R2 para Windows e Windows Phone).

    Para utilizar a aplicação My Server 2012 R2 para Windows Phone e para dispositivos que executem o Windows 8.1 ou o Windows 8 no Windows Server Essentials, primeiro tem de instalar o certificado de servidor no seu dispositivo. O certificado permite-lhe ligar o dispositivo ao servidor que está a executar o Windows Server Essentials a partir da sua rede local. Para obter instruções passo a passo para instalar o certificado de servidor, consulte a secção "Como ligar ao meu servidor a partir da minha rede local" em Utilizar a aplicação My Server para ligar ao Windows Server Essentials [SBS8].

Depois de concluir os passos anteriores, os objetivos da sua empresa, conforme listados neste documento, são atingidos da forma seguinte:

• Os utilizadores de rede podem utilizar o Acesso Remoto através da Web ou uma VPN a partir de fora da rede do escritório para acederem de forma segura aos dados e recursos da empresa.

• Os utilizadores podem aceder aos recursos da rede a partir de um vasto leque de dispositivos móveis via Acesso Remoto através da Web, uma VPN ou a aplicação My Server 2012 R2.

• Os utilizadores podem trabalhar a partir de fora da rede, pelo que deixam de ter de utilizar cópias locais quando estiverem a trabalhar fora das instalações. Os conflitos de versão decorrentes das várias versões de ficheiros são eliminados.

• A perda de negócios é evitada porque os utilizadores de rede podem aceder às respetivas aplicações de linha de negócio, fora do horário de trabalho, via uma VPN ou Acesso Remoto através da Web, para criar uma sessão de Ambiente de Trabalho Remoto com os computadores cliente no local.

Consulte também