Pianificare una protezione avanzata per gli ambienti Extranet (Windows SharePoint Services)

Contenuto dell'articolo:

• Topologia di rete

• Relazioni di trust a livello di dominio

• Comunicazione con i ruoli della server farm

• Comunicazione con i ruoli del server dell'infrastruttura

• Comunicazione Active Directory tra i domini di rete

In questo articolo vengono illustrati i requisiti di protezione avanzata per un ambiente Extranet caratterizzato da una server farm di Microsoft Windows SharePoint Services 3.0 posta all'interno di una rete perimetrale e da siti disponibili da Internet o dalla rete aziendale.

Topologia di rete

Le indicazioni per la protezione avanzata contenute in questo articolo sono applicabili a molte configurazioni Extranet diverse. Nella figura che segue viene mostrata un'implementazione di esempio di una topologia di rete perimetrale back-to-back che illustra i ruoli del server e del client all'interno di un ambiente Extranet.

Lo scopo della figura è indicare tutti i possibili ruoli con la rispettiva relazione con l'ambiente generale. Il sito Amministrazione centrale può essere installato in un server Web o nel server di ricerca, mostrato in figura. I router illustrati possono essere sostituiti da firewall.

Relazioni di trust a livello di dominio

Il fatto che sia necessaria o meno una relazione di trust a livello di dominio dipende dalla configurazione della server farm. In questa sezione vengono illustrate due configurazioni possibili.

Server farm residente nella rete perimetrale

La rete perimetrale richiede un proprio dominio e una propria infrastruttura del servizio directory Active Directory. Il dominio perimetrale e il dominio aziendale in genere non sono configurati in modo da considerarsi reciprocamente attendibili. Per autenticare gli utenti Intranet e i dipendenti remoti che utilizzano le relative credenziali di dominio (autenticazione di Windows), è tuttavia necessario configurare una relazione di trust unidirezionale in cui il dominio perimetrale considera attendibile il dominio aziendale. L'autenticazione Forms e Web SSO non richiedono una relazione di trust a livello di dominio.

Server farm divisa tra la rete perimetrale e la rete aziendale

Se la server farm è divisa tra la rete perimetrale e la rete aziendale e i server database risiedono all'interno della rete aziendale, è necessaria una relazione di trust a livello di dominio in caso di utilizzo di account di Windows. In questo scenario la rete perimetrale deve considerare attendibile la rete aziendale. Se invece viene utilizzata l'autenticazione di SQL Server, non è necessaria una relazione di trust a livello di dominio. Nella tabella che segue sono riepilogate le differenze fra questi due approcci.

Per le informazioni contenute nella tabella precedente si presuppone che:

• Sia i server Web che i server applicazioni risiedano nella rete perimetrale.

• Tutti gli account vengano creati con i privilegi minimi necessari, incluse le raccomandazioni seguenti:

  • È necessario creare account separati per tutti gli account amministrativi e di servizio.

  • Nessun account deve essere membro del gruppo Administrators in qualsiasi computer, incluso il computer server che ospita SQL Server.

Per ulteriori informazioni sugli account di Microsoft Windows SharePoint Services 3.0, vedere Pianificare gli account amministrativi e di servizio (Windows SharePoint Services).

Per ulteriori informazioni sulla creazione di database mediante lo strumento da riga di comando Psconfig, vedere Informazioni di riferimento sulla riga di comando per la Configurazione guidata Prodotti e tecnologie SharePoint (Windows SharePoint Services).

Comunicazione con i ruoli della server farm

Quando si configura un ambiente Extranet, è importante comprendere come i diversi ruoli del server comunichino all'interno della server farm.

Comunicazione tra i ruoli del server

Nella figura che segue vengono illustrati i canali di comunicazione all'interno di una server farm. Nella tabella dopo la figura sono riportati i protocolli e le porte rappresentati nella figura stessa. Le frecce indicano il ruolo del server che avvia la comunicazione. Il server Web ad esempio avvia la comunicazione con il server database. Quest'ultimo invece non avvia la comunicazione con il server Web. Questo è un aspetto importante da considerare quando si configura la comunicazione in ingresso e in uscita in un router o in un firewall.

Comunicazione tra le workstation di amministrazione e Amministrazione centrale

Il sito Amministrazione centrale può essere installato in qualsiasi server Web o nel server di ricerca. Le modifiche di configurazione apportate tramite il sito Amministrazione centrale vengono comunicate al database di configurazione. Gli altri ruoli del server della farm acquisiscono le modifiche di configurazione registrate nel database di configurazione durante i relativi cicli di polling. Il sito Amministrazione centrale pertanto non impone nuovi requisiti di comunicazione per gli altri ruoli del server della server farm. Tuttavia, a seconda del server in cui viene distribuito il sito Amministrazione centrale, ricordarsi di consentire l'accesso dalle workstation di amministrazione.

Nella figura che segue viene illustrata la comunicazione da una workstation di amministrazione al sito Amministrazione centrale e al database di configurazione.

Nella tabella che segue sono riportati i protocolli e le porte necessari per la comunicazione verso e dal sito Amministrazione centrale.

Comunicazione con i ruoli del server dell'infrastruttura

Quando si configura un ambiente Extranet, è importante comprendere come i diversi ruoli del server comunichino all'interno dei computer server dell'infrastruttura.

Controller di dominio di Active Directory

Nella tabella che segue sono riportate le porte necessarie per le connessioni in ingresso da ogni ruolo del server a un controller di dominio di Active Directory.

I server Web richiedono l'utilizzo di porte LDAP/LDAPS solo se è configurata l'autenticazione LDAP.

Server DNS

Nella tabella che segue sono riportate le porte necessarie per le connessioni in ingresso da ogni ruolo del server a un server DNS (Domain Name System). In molti ambienti Extranet uno stesso computer server ospita sia il controller di dominio di Active Directory che il server DNS.

Servizio SMTP

L'integrazione della posta elettronica richiede l'utilizzo del servizio SMTP (Simple Mail Transport Protocol) tramite la porta TCP 25 in almeno uno dei server Web front-end della server farm. Il servizio SMTP è necessario per la posta in arrivo (connessioni in ingresso). Per la posta in uscita, è possibile utilizzare il servizio SMTP oppure instradare la posta in uscita attraverso un server di posta elettronica dedicato nell'organizzazione, ad esempio un computer che esegue Microsoft Exchange Server.

Comunicazione Active Directory tra i domini di rete

La comunicazione Active Directory tra domini per supportare l'autenticazione su un controller di dominio all'interno della rete aziendale richiede almeno una relazione di trust unidirezionale in cui la rete perimetrale considera attendibile la rete aziendale.

Nell'esempio illustrato nella prima figura di questo articolo le porte seguenti sono necessarie come connessioni in ingresso su ISA Server B per supportare una relazione di trust unidirezionale:

• TCP/UDP 135 (RPC)

• TCP/UDP 389 per impostazione predefinita, personalizzabile (LDAP)

• TCP 636 per impostazione predefinita, personalizzabile (LDAP SSL)

• TCP 3268 (LDAP GC)

• TCP 3269 (LDAP GC SSL)

• TCP/UDP 53 (DNS)

• TCP/UDP 88 (Kerberos)

• TCP/UDP 445 (servizi directory)

• TCP/UDP 749 (Kerberos-Adm)

• Porta TCP 750 (Kerberos-IV)

Quando si configura ISA Server B o un dispositivo alternativo tra la rete perimetrale e la rete aziendale, la relazione di rete deve essere definita come instradata. Non definire la relazione di rete come NAT (Network Address Translation).

Per ulteriori informazioni sui requisiti di protezione avanzata correlati alle relazioni di trust, vedere le risorse seguenti:

• Come configurare un firewall per domini e trust (https://go.microsoft.com/fwlink/?linkid=83470&clcid=0x410).

• Active Directory in reti segmentate da firewall (informazioni in lingua inglese) (https://go.microsoft.com/fwlink/?linkid=76147&clcid=0x410) (informazioni in lingua inglese)

Scaricare il manuale

Questo argomento è incluso nel manuale seguente, che può essere scaricato per una lettura e una stampa più agevoli:

• Pianificazione e architettura per Windows SharePoint Services 3.0, parte 2 (informazioni in lingua inglese)

• Pianificazione di un ambiente Extranet per Windows SharePoint Services (informazioni in lingua inglese)

• Protezione per Windows SharePoint Services 3.0 (informazioni in lingua inglese)

Vedere l'elenco completo dei manuali disponibili visitando la pagina Web Manuali scaricabili per Windows SharePoint Services (informazioni in lingua inglese).