Planejar proteção da segurança para ambientes de extranet

Atualizado em: 2009-04-23

Neste artigo:

• Ferramenta de planejamento de proteção de extranet

• Topologia de rede

• Relações de confiança de domínios

• Comunicação com funções de farm de servidores

• Comunicação com funções de servidor de infraestrutura

• Requisitos para oferecer suporte a conversões de documentos

• Comunicação entre domínios de rede

• Conexões com servidores externos

Este artigo detalha os requisitos de proteção para um ambiente de extranet no qual um farm de servidores do Microsoft Office SharePoint Server 2007 é colocado dentro de uma rede de perímetro e o conteúdo está disponível pela Internet ou pela rede corporativa.

Para obter mais informações sobre topologias de extranet com suporte, consulte Projetar uma topologia de farm de extranet (Office SharePoint Server).

Ferramenta de planejamento de proteção de extranet

A seguinte ferramenta de planejamento está disponível para uso com este artigo: Ferramenta de planejamento de proteção de extranet: perímetro back-to-back (https://go.microsoft.com/fwlink/?linkid=85533\&clcid=0x416). Com base na topologia de perímetro back-to-back, essa ferramenta articula os requisitos de porta para cada um dos computadores que executam o Microsoft Internet Security and Acceleration (ISA) Server e cada um dos roteadores ou firewalls. Essa ferramenta é um arquivo editável do Microsoft Office Visio que você pode analisar em seu ambiente. Por exemplo, você pode:

• Adicionar números de porta personalizados, onde aplicável.

• Onde uma opção de protocolos ou portas for fornecida, indicar quais portas você usará.

• Indicar as portas específicas que são usadas para comunicação de banco de dados no seu ambiente.

• Adicionar ou remover requisitos de portas com base nas seguintes condições:

  • Se você está configurando a integração de email.

  • Em qual camada você implantará a função de consulta.

  • Se você está configurando uma relação de confiança de domínios entre o domínio de perímetro e o domínio corporativo.

Se você deseja ver ferramentas adicionais de planejamento para outras topologias de extranet com suporte, envie um comentário sobre este artigo para nos informar.

Topologia de rede

As orientações de proteção neste artigo podem ser aplicadas para muitas configurações diferentes de extranet. O seguinte diagrama de topologia de rede de perímetro back-to-back mostra uma implementação de exemplo e ilustra as funções de servidor e cliente em um ambiente de extranet. A finalidade do diagrama é articular cada uma das funções possíveis e sua relação com o ambiente em geral. Consequentemente, a função de consulta aparece duas vezes. Em uma implementação real, a função de consulta é implantada nos servidores Web ou como um servidor de aplicativos, mas não os dois. E, se a função de consulta for implantada nos servidores Web, ela será implantada em todos os servidores Web de um farm. Com a finalidade de comunicar os requisitos de segurança reforçada, o diagrama ilustra todas as opções. Os roteadores ilustrados podem ser trocados por firewalls.

Relações de confiança de domínios

O requisito de uma relação de confiança de domínios depende de como o farm de servidores é configurado. Esta seção discute duas configurações possíveis.

O farm de servidores reside na rede de perímetro

A rede de perímetro requer sua própria infraestrutura e domínio de serviço de diretório do Active Directory. Geralmente, o domínio do perímetro e o domínio corporativo não são configurados para confiarem um no outro. No entanto, para autenticar usuários da intranet e funcionários remotos que estão usando suas credenciais de domínio (autenticação do Windows), você deve configurar uma relação de confiança unidirecional em que o domínio de perímetro confia no domínio corporativo. A autenticação de formulários e o SSO da Web não exigem uma relação de confiança de domínio.

O farm de servidores é dividido entre a rede de perímetro e a rede corporativa

Se o farm de servidores estiver dividido entre a rede de perímetro e a rede corporativa com os servidores de banco de dados residindo na rede corporativa, uma relação de confiança de domínio será exigida se as contas do Windows forem usadas. Neste cenário, a rede de perímetro deve confiar na rede corporativa. Se a autenticação SQL for usada, uma relação de confiança de domínio não será necessária. A tabela a seguir resume as diferenças entre essas duas abordagens.

	Autenticação do Windows	Autenticação SQL
Descrição	As contas de domínio corporativas são usadas em todas as contas de serviço e administração do Office SharePoint Server 2007, inclusive contas de pool de aplicativos. É necessária uma relação de confiança unidirecional, na qual a rede de perímetro confia na rede corporativa.	As contas do Office SharePoint Server 2007 são configuradas da seguinte forma: A autenticação SQL é usada para cada banco de dados criado. Todas as outras contas de administração e serviço são criadas como contas de domínio na rede de perímetro. Os servidores Web e os servidores de aplicativos são reunidos na rede de perímetro. Uma relação de confiança não é exigida, mas pode ser configurada para aceitar a autenticação de clientes em um controlador de domínio interno. Observação: Se os servidores de aplicativos residirem no domínio corporativo, será exigida uma relação de confiança unidirecional, na qual a rede de perímetro confia na rede corporativa.
Configuração	A configuração inclui: As contas de administração e serviço do Office SharePoint Server 2007 são criadas no domínio corporativo. Os servidores Web e os servidores de aplicativos são reunidos na rede de perímetro. É estabelecida uma relação de confiança, em que o domínio de perímetro confia no domínio corporativo.	A configuração inclui: Todas as contas de banco de dados devem ser criadas como contas de logon do SQL no SQL Server 2000 Enterprise Manager ou no SQL Server 2005 Management Studio. Essas contas precisam ser criadas antes da criação de bancos de dados do Office SharePoint Server 2007, incluindo o banco de dados de configuração e o banco de dados AdminContent. Você deve usar a ferramenta de linha de comando Psconfig para criar o banco de dados de configuração e o banco de dados SharePoint_AdminContent. Você não pode usar o Assistente de Configuração de Produtos e Tecnologias do SharePoint para criar esses bancos de dados. Além de usar os parâmetros -user e -password para especificar a conta do farm de servidores, você deve usar os parâmetros -dbuser e -dbpassword para especificar contas de autenticação SQL. Você pode criar bancos de dados de conteúdo adicionais na Administração Central selecionando a opção Autenticação do SQL. No entanto, primeiro você deve criar as contas de logon do SQL no SQL Server 2000 Enterprise Manager ou no SQL Server 2005 Management Studio. Proteja todas as comunicações com os servidores de banco de dados usando SSL. Verifique se as portas usadas para comunicação com o SQL Server permanecem abertas entre a rede de perímetro e a rede corporativa
Informações adicionais	A relação de confiança unidirecional permite que servidores Web e servidores de aplicativos reunidos no domínio da extranet resolvam contas que estão no domínio corporativo.	As contas de logon do SQL são criptografadas no Registro dos servidores Web e dos servidores de aplicativos. A conta de farm de servidores não é usada para acessar o banco de dados de configuração e o banco de dados SharePoint_AdminContent. Em vez disso, são usadas as contas de logon do SQL correspondentes.

As informações da tabela anterior pressupõem o seguinte:

• Os servidores Web e de aplicativos residem na rede de perímetro.

• Todas as contas são criadas com os privilégios mínimos necessários, incluindo as seguintes recomendações:

  • Contas separadas são criadas para todas as contas administrativas e de serviço.

  • Nenhuma conta é membro do grupo Administradores de nenhum computador, inclusive do computador servidor que hospeda o SQL Server.

Se você estiver usando a autenticação SQL, os seguintes logons do SQL devem ser criados com as seguintes permissões:

• Logon do SQL para a conta usada para executar a ferramenta de linha de comando Psconfig A conta deve ser membro das seguintes funções do SQL: dbcreator e securityadmin. A conta deve ser membro do grupo Administradores em cada servidor no qual a Instalação seja executada (não no servidor de banco de dados).

• Logon do SQL para a conta do farm de servidores Este logon é usado para criar o banco de dados de configuração e o banco de dados SharePoint_AdminContent. O logon deve incluir a função dbcreator. O logon não precisa ser um membro da função securityadmin. O logon deve ser criado usando a autenticação SQL. Configure a conta do farm de servidores para usar a autenticação SQL com a senha que é especificada quando você cria o logon do SQL.

• Logon do SQL para todos os outros bancos de dados O logon deve ser criado usando a autenticação SQL. O logon deve ser um membro das seguintes funções do SQL: dbcreator e securityadmin.

Para obter mais informações sobre as contas do Office SharePoint Server 2007, consulte Planejar contas administrativas e de serviço (Office SharePoint Server).

Para obter mais informações sobre a criação de bancos de dados com a ferramenta de linha de comando Psconfig, consulte Referência de linha de comando para o Assistente de Configuração de Produtos e Tecnologias do SharePoint (Office SharePoint Server).

Comunicação com funções de farm de servidores

Ao configurar um ambiente de extranet, é importante compreender como as várias funções de servidor comunicam-se dentro do farm de servidores.

Comunicação entre funções de servidor

A figura a seguir ilustra os canais de comunicação em um farm de servidores. A tabela logo após a figura indica as portas e os protocolos que são representados na figura. As setas sólidas em preto indicam qual função de servidor inicia a comunicação. Por exemplo, a função de Serviços de Cálculo do Excel inicia a comunicação com o servidor de banco de dados. O servidor de banco de dados não inicia a comunicação com a função de Serviços de Cálculo do Excel. Uma seta pontilhada em vermelho indica que um dos servidores inicia a comunicação. Isso é importante saber ao configurar a comunicação de entrada e de saída em um firewall.

Os servidores Web fazem, automaticamente, o balanceamento de carga das solicitações de consulta nos servidores de consulta disponíveis. Consequentemente, se a função de consulta for implantada em servidores Web, esses servidores se comunicarão entre eles usando os serviços Compartilhamento de Arquivo e Impressora e Web do Office Server. A figura a seguir ilustra os canais de comunicação entre esses servidores.

Comunicação entre sites administrativos e funções de servidor

Os sites administrativos incluem:

• Site da Administração Central Esse site pode ser instalado em um servidor de aplicativos ou um servidor Web.

• Sites de Administração de Serviços Compartilhados Esses sites são espelhados nos servidores Web.

Esta seção fornece detalhes sobre os requisitos de porta e protocolo para comunicação entre uma estação de trabalho de administrador e as funções de servidor no farm. O site da Administração Central pode ser instalado em qualquer servidor Web ou servidor de aplicativos. As alterações na configuração feitas através do site da Administração Central são comunicadas ao banco de dados de configuração. Outras funções de servidor no farm selecionam as alterações da configuração registradas no banco de dados de configuração durante seus ciclos de sondagem. Consequentemente, o site da Administração Central não apresenta quaisquer novos requisitos de comunicação às outras funções de servidor no farm de servidores.

A figura a seguir ilustra os canais de comunicação de uma estação de trabalho de administrador com os sites administrativos e o banco de dados de configuração.

A seguinte tabela descreve as portas e os protocolos que são ilustrados na figura anterior.

Comunicação com funções de servidor de infraestrutura

Ao configurar um ambiente de extranet, é importante compreender como as várias funções de servidor comunicam-se dentro dos computadores do servidor de infraestrutura.

Controlador de domínio do Active Directory

A tabela a seguir lista os requisitos de porta para conexões de entrada de cada função de servidor com um controlador de domínio do Active Directory.

As portas LDAP/LDAPS são exigidas para funções de servidor com base nas seguintes condições:

• Servidores Web   Usar portas LDAP/LDAPS se a autenticação LDAP estiver configurada.

• Servidor de indexação   A função exige portas LDAP/LDAPS para importar perfis dos controladores de domínio que estão configurados como fontes de importação de perfil, onde quer que estejam.

• Serviços de Cálculo do Excel   Usa portas LDAP/LDAPS somente se as conexões de fonte de dados estiverem configuradas para autenticar usando LDAP.

Servidor DNS

A tabela a seguir lista os requisitos de porta para conexões de entrada de cada função de servidor com um servidor DNS. Em vários ambientes de extranet, um computador servidor hospeda o controlador de domínio do Active Directory e o servidor DNS.

Serviço SMTP

A integração de email requer o uso do serviço SMTP (Simple Mail Transport Protocol) com porta TCP 25 em pelo menos um dos servidores Web front-end do farm. O serviço SMTP é necessário para o recebimento de emails (conexões de entrada). Para o envio de emails, você pode usar o serviço SMTP ou encaminhar os emails por meio de um servidor de email dedicado da sua organização, como um computador que executa o Microsoft Exchange Server.

Requisitos para oferecer suporte a conversões de documentos

Se você estiver usando conversores de documentos no servidor, os seguintes serviços deverão ser instalados e iniciados em um servidor de aplicativos:

• Serviço Iniciador de Conversões de Documento

• Serviço de Balanceador de Carga de Conversões de Documento

Normalmente, esses serviços são instalados no mesmo servidor de aplicativos ou em servidores de aplicativos separados, dependendo da topologia que melhor atenda às suas necessidades. Esses serviços também podem ser instalados em um ou mais servidores Web, se necessário. Se esses serviços forem instalados em servidores separados, a comunicação entre esses servidores separados deverá habilitar esses serviços para se comunicarem entre si.

A seguinte tabela lista os requisitos de porta e protocolo para esses serviços. Estes requisitos não se aplicam às funções de servidor no farm sem esses serviços instalados.

Para obter informações sobre como configurar esses serviços em um farm de servidores, consulte Criar topologia de conversões de documentos.

Comunicação entre domínios de rede

Comunicação do Active Directory

A comunicação do Active Directory entre domínios para aceitar autenticação com um controlador de domínio dentro da rede corporativa requer pelo menos uma relação de confiança unidirecional, na qual a rede de perímetro confie na rede corporativa.

No exemplo ilustrado na primeira figura deste artigo, as seguintes portas são necessárias como conexões de entrada para que o Servidor ISA B suporte uma relação de confiança unidirecional:

• TCP/UDP 135 (RPC)

• TCP/UDP 389 por padrão, personalizável (LDAP)

• TCP 636 por padrão, personalizável (LDAP SSL)

• TCP 3268 (LDAP GC)

• TCP 3269 (LDAP GC SSL)

• TCP/UDP 53 (DNS)

• TCP/UDP 88 (Kerberos)

• TCP/UDP 445 (Serviços de Diretório)

• TCP/UDP 749 (Kerberos-Adm)

• Porta TCP 750 (Kerberos-IV)

Ao configurar o Servidor ISA B (ou um dispositivo alternativo entre a rede de perímetro e a rede corporativa), a relação de rede deve ser definida como roteada. Não defina a relação de rede como Conversão de Endereço de Rede (NAT).

Para obter mais informações sobre os requisitos de segurança reforçada referentes a relações de confiança, consulte os seguintes recursos:

• Como configurar um firewall para domínios e confianças (https://go.microsoft.com/fwlink/?linkid=83470\&clcid=0x416).

• Active Directory em redes segmentadas por firewalls (em inglês) (https://go.microsoft.com/fwlink/?linkid=76147\&clcid=0x416) (em inglês)

Reforço de segurança na publicação de conteúdo

A publicação de conteúdo requer uma comunicação unidirecional entre o site da Administração Central no farm de servidores de origem e o site da Administração Central no farm de servidores de destino. Os requisitos para reforço da segurança são:

• O número de porta que é usado para o site da Administração Central no farm de servidores de destino.

• TCP 80 ou 443 de saída do farm de origem (para protocolo SOAP e HTTP Post).

Quando você configura a implantação de conteúdo no farm de origem, especifica a conta a ser usada para autenticar com o farm de destino. Uma relação de confiança entre domínios não é exigida para publicar conteúdo de um domínio para outro. No entanto, há duas opções de conta para a implantação de conteúdo; sendo que uma delas requer uma relação de confiança de domínios:

• Se a conta do pool de aplicativos do farm de origem tiver permissões para a Administração Central no farm de destino, selecione a opção Usar conta do pool de aplicativos. Isso requer uma relação de confiança unidirecional, na qual o domínio do farm de destino confia no domínio do farm de origem.

• Você pode especificar uma conta manualmente em vez de usar a conta do pool de aplicativos de origem. Nesse caso, a conta não precisa existir no domínio de rede do farm de origem. Normalmente, a conta é exclusiva no farm destino. A conta pode autenticar usando a Autenticação integrada do Windows ou a autenticação básica.

Conexões com servidores externos

Vários recursos do Office SharePoint Server 2007 podem ser configurados para acessar dados que residam em computadores do servidor fora do farm de servidores. Se você configurar o acesso a dados em servidores externos, assegure-se de habilitar a comunicação entre os computadores apropriados. Na maioria dos casos, as portas, os protocolos e os serviços usados dependem do recurso externo. Por exemplo:

• Conexões com compartilhamentos de arquivos usam o serviço Compartilhamento de Arquivo e Impressora.

• Conexões com bancos de dados SQL Server externos usam as portas padrão ou personalizadas para comunicação com o SQL Server.

• Conexões com Oracle geralmente usam OLE DB.

• Conexões com serviços Web usam HTTP e HTTPS.

A tabela a seguir lista os recursos que podem ser configurados para acessar dados que residam em computadores do servidor fora do farm de servidores.

Baixar este manual

Este tópico está incluído no seguinte manual baixável para facilitar a leitura e a impressão:

• Planejamento e arquitetura para o Office SharePoint Server 2007, parte 2

• Planejamento de um ambiente de Extranet para o Office SharePoint Server (em inglês)

Consulte a lista completa de manuais disponíveis na página de download de conteúdo do Office SharePoint Server 2007.