Prerequisiti della Sicurezza dei Sistemi Windows per il Corretto Funzionamento delle Installazioni Distribuite di WebSAT

Transcript

1 Prerequisiti della Sicurezza dei Sistemi Windows per il Corretto Funzionamento delle Installazioni Distribuite di WebSAT 1 Componenti Comunicazioni TCP/IP Comunicazioni COM I terminali devono essere riconosciuti ed autorizzati all interno della rete Soluzione Active Directory Soluzione Gruppo di Lavoro Il server deve essere riconosciuto e autorizzato all interno della rete Soluzione Active Directory Soluzione Gruppo di Lavoro Gli utenti devono avere diritti di accesso ai terminali ed alla rete Situazione Active Directory Situazione Gruppo di Lavoro Gli utenti devono avere diritti speciali di utilizzo dei terminali Gli utenti devono essere utenti riconosciuti ed autorizzati del server Il Server WebSAT è un Domain Controller Il Server WebSAT fa Parte del Dominio di Rete Il Server WebSAT fa Parte di un Gruppo di Lavoro Il sistema DCOM non deve essere disabilitato La configurazione del sistema DCOM sul server deve permettere ai componenti COM+ installati sui terminali di interagire con i servizi di centrale Disaster Recovery La configurazione del sistema DCOM sui terminali deve permettere ai servizi di centrale sul server di interagire con i componenti COM Microsoft SQL Server Configurazioni Testate Configurazioni non Testate /8

2 Il sistema WebSAT per comunicare con gli apparati AMA (WebSAT PRO ad esempio) utilizza protocolli proprietari e crittografati sviluppati dalla AMA S.p.A.. Nelle installazioni distribuite (quelle composte da un server e più terminali), le comunicazioni tra i servizi di centrale e le postazioni di lavoro sono basate invece sull infrastruttura Windows e sono dunque soggette alle impostazioni di sicurezza della rete su cui vengono configurate: è compito degli IT Manager assicurare che le impostazioni della rete assicurino il corretto funzionamento del software WebSAT. Questo documento è stato pensato per aiutare gli IT Manager a configurare correttamente la rete informatica, fornendo loro tutte le informazioni necessarie per comprendere l infrastruttura WebSAT. Il presente documento non è un corso su Windows Server e, data la complessità degli argomenti, dà per scontate le conoscenze tecniche per l installazione e configurazione di una rete Microsoft. 1 Componenti Gli attori principali che entrano in gioco nelle comunicazioni tra i sottosistemi WebSAT e il tipo di comunicazioni che utilizzano sono riassunti nella seguente tabella. Lato Terminale Protocollo Utilizzato Lato Server WebSAT Manager TCP/IP Microsoft SQL Server o Sybase SQL Anywhere WebSAT Explorer TCP/IP Microsoft SQL Server o Sybase SQL Anywhere WebSAT Plant Console TCP/IP Microsoft SQL Server o Sybase SQL Anywhere WebSAT Manager Microsoft COM+ WebSAT Plant WebSAT Plant Proxy Microsoft COM+ (WebSAT Explorer) WebSAT Plant Console Microsoft COM+ WebSAT Plant WebSAT Plant WebSAT Caretaker WebSAT Manager: è il programma installato sui terminali, utilizzato per la configurazione del sistema WebSAT. WebSAT Plant Proxy: è il componente installato sui terminali, utilizzato dai programmi client (WebSAT Explorer ad esempio) per interagire con i servizi di centrale. WebSAT Explorer: è il programma installato sui terminali, utilizzato per interagire con gli apparati remoti e per le funzioni di controllo della logistica/sicurezza. WebSAT Plant Console: è il programma utilizzato per monitorare le linee di comunicazione e per consultare la scatola nera di centrale. Microsoft SQL Server: è il motore del database installato sul server (dalla versione 5.0 in poi). Sybase SQL Anywhere: è il motore del database installato sul server (prima della versione 5.0). WebSAT Plant: è il servizio Windows installato sul server che espleta tutte le funzioni di comunicazione e controllo, è in pratica il nucleo centrale di tutto il sistema. WebSAT Caretaker: è il servizio Windows installato sul server che espleta tutte le funzioni di Disaster Recovery e diagnostica. WebSAT Caretaker Console: è il programma installato sul server per configurare i servizi di Disaster Recovery e diagnostica. 2 Comunicazioni TCP/IP Il protocollo TCP/IP è utilizzato dai terminali per interrogare il database server (Microsoft SQL Server o Sybase SQL Anywhere). Affinché le comunicazioni funzionino correttamente devono essere garantite le seguenti condizioni: Non ci deve essere nessun firewall installato sul terminale che blocchi le comunicazioni provenienti dal database server. Nel caso ci fosse un firewall installato sul terminale, questo va disabilitato o configurato affinché non blocchi il database server. Esempi di firewall lato terminale sono il Microsoft Personal Firewall installato automaticamente con il Windows XP Service Pack 2 oppure il Norton Internet Security della Symantec. Non ci deve essere nessun firewall installato sul server che blocchi le comunicazioni provenienti dai terminali. Nel caso ci fosse un firewall installato sul server, questo va disabilitato o configurato affinché non blocchi i terminali WebSAT. Un esempio di firewall lato server è il Microsoft ISA Server. 2/8

3 3 Comunicazioni COM+ La configurazione COM+ è invece sicuramente più complessa della precedente e richiede una buona conoscenza delle reti Microsoft; devono essere infatti garantite le seguenti condizioni: Il protocollo TCP/IP deve poter funzionare correttamente anche per i servizi di centrale (WebSAT Plant), seguendo le direttive del paragrafo precedente. I terminali devono essere riconosciuti ed autorizzati all interno della rete. Il server deve essere riconosciuto ed autorizzato all interno della rete. Gli utenti devono avere diritti di accesso ai terminali ed alla rete. Gli utenti devono avere diritti speciali di utilizzo dei terminali (non della rete). Gli utenti devono essere utenti riconosciuti ed autorizzati del server. Il sistema DCOM non deve essere disabilitato. La configurazione del sistema DCOM deve permettere ai componenti COM+ installati sui terminali di interagire con i servizi di centrale sul server (WebSAT Plant). La configurazione del sistema DCOM deve permettere ai servizi di centrale sul server (WebSAT Plant) di interagire con i componenti COM+ installati sui terminali. Vediamo ora punto per punto come mettere in atto i requisiti richiesti. 3.1 I terminali devono essere riconosciuti ed autorizzati all interno della rete Ci sono due configurazioni differenti a seconda se la rete è installata con Active Directory o con un Gruppo di Lavoro Soluzione Active Directory Questa è la soluzione raccomandata per motivi di sicurezza e manutenibilità. I terminali WebSAT devono essere presenti nella stessa Active Directory del server terminali, devono cioè far parte dello stesso. Se esiste già una rete Windows aziendale, è sufficiente inserire i PC nel preesistente, altrimenti va installato da zero il servizio DNS e l Active Directory sul server WebSAT. Consultare il manuale di Windows per vedere come fare a inserire un PC in un o per crearne uno nuovo Soluzione Gruppo di Lavoro Questa è la soluzione sconsigliata poiché offre alti rischi per la sicurezza ed una complicata gestione. I terminali WebSAT devono essere presenti nello stesso Gruppo di Lavoro del server. Se esiste già una rete Windows aziendale, è sufficiente inserire i PC nel gruppo di lavoro preesistente, altrimenti ne va creato uno nuovo. Consultare il manuale di Windows per vedere come fare a inserire un PC in un gruppo di lavoro o per crearne uno nuovo. 3.2 Il server deve essere riconosciuto e autorizzato all interno della rete Ci sono due configurazioni differenti a seconda se la rete è installata con Active Directory o con un Gruppo di Lavoro Soluzione Active Directory Questa è la soluzione raccomandata per motivi di sicurezza e manutenibilità. Il server WebSAT deve essere presente nella stessa Active Directory dei terminali, deve cioè far parte dello stesso. Se esiste già una rete Windows aziendale, è sufficiente inserire il server nel preesistente, altrimenti va installato da zero il servizio DNS e l Active Directory sul server WebSAT. Consultare il manuale di Windows per vedere come fare a inserire un server in un o per crearne uno nuovo Soluzione Gruppo di Lavoro Questa è la soluzione sconsigliata poiché offre alti rischi per la sicurezza ed una complicata gestione. Il server WebSAT deve essere presente nello stesso Gruppo di Lavoro dei terminali. Se esiste già una rete Windows aziendale, è sufficiente inserire il server nel gruppo di lavoro preesistente, altrimenti ne va creato uno nuovo. Consultare il manuale di Windows per vedere come fare a inserire un server in un gruppo di lavoro o per crearne uno nuovo. 3/8

4 3.3 Gli utenti devono avere diritti di accesso ai terminali ed alla rete Un utente per utilizzare WebSAT in una installazione distribuita, dovrà avere diritti di accesso non solo sul suo terminale, ma anche sul server WebSAT. Ci sono due possibili situazioni Situazione Active Directory Questa è la soluzione raccomandata per motivi di sicurezza e manutenibilità. Gli utenti che utilizzeranno WebSAT dovranno fare login al PC utilizzando un account di rete e non quello definito sul PC. I singoli utenti del autorizzati ad utilizzare WebSAT dovranno dunque essere inseriti nel gruppo Users di ogni PC oppure se si vuole semplicemente abilitare qualsiasi utente della rete ad utilizzare WebSAT, basta inserire il gruppo Domain Users del nel gruppo Users di ogni PC (normalmente è un operazione che si fa con il programma Gestione computer presente negli Strumenti di amministrazione). Consultare il manuale di Windows per vedere come abilitare gli utenti del all utilizzo del PC Situazione Gruppo di Lavoro Questa è la soluzione sconsigliata poiché offre alti rischi per la sicurezza ed una complicata gestione. Ogni utente che debba essere abilitato ad usare WebSAT deve essere creato su ogni terminale dal quale dovrà fare accesso. Si noti che la sua password dovrà essere uguale su ogni PC, altrimenti WebSAT non funzionerà. Se poi in seguito si decidesse di cambiare la password dell utente, questa andrà cambiata su ogni PC in cui è stato creato l utente. Consultare il manuale di Windows per vedere come fare a creare utenti in un PC. 3.4 Gli utenti devono avere diritti speciali di utilizzo dei terminali Per le versioni WebSAT precedenti alla 4, il programma WebSAT richiede che gli utenti che fanno accesso ai terminali abbiano diritti di amministrazione del PC. I singoli utenti del autorizzati ad utilizzare WebSAT dovranno dunque essere inseriti nel gruppo Administrators di ogni PC oppure se si vuole semplicemente abilitare qualsiasi utente della rete ad utilizzare WebSAT, basta inserire il gruppo Domain Users del nel gruppo Administrators di ogni PC (normalmente è un operazione che si fa con il programma Gestione computer presente negli Strumenti di amministrazione). Consultare il manuale di Windows per vedere come abilitare gli utenti del all amministrazione del PC. ATTENZIONE: i diritti di amministrazione vanno dati solo al PC, non certo al server o addirittura a tutta la rete! Per la versioni WebSAT 4 o successive, l unica cosa che è richiesta è che gli utenti abbiano diritti di scrittura della cartella del programma (normalmente C:\Programmi\WebSAT) e delle sottocartelle. 3.5 Gli utenti devono essere utenti riconosciuti ed autorizzati del server Creare e autorizzare gli utenti sui terminali non è sufficiente, infatti essi devono essere anche conosciuti dal server WebSAT Il Server WebSAT è un Domain Controller Se il server WebSAT è anche un Domain Controller per l Active Directory della rete, allora non c è bisogno di fare nulla Il Server WebSAT fa Parte del Dominio di Rete Se il server fa parte del della rete, allora i singoli utenti del autorizzati ad utilizzare WebSAT dovranno dunque essere inseriti nel gruppo Users del server oppure se si vuole semplicemente abilitare qualsiasi utente della rete ad utilizzare WebSAT, basta inserire il gruppo Domain Users del nel gruppo Users del server (normalmente è un operazione che si fa con il programma Gestione computer presente negli Strumenti di amministrazione). Consultare il manuale di Windows per vedere come abilitare gli utenti del all utilizzo del server Il Server WebSAT fa Parte di un Gruppo di Lavoro Se infine il server fa parte di un gruppo di lavoro (questa situazione è sconsigliata per motivi di sicurezza), allora gli utenti abiliati all utilizzo di WebSAT dovranno essere crerati sul server con la stessa password che hanno sui terminali. Se in seguito si decidesse di cambiare la password ad un utente, questa andrà cambiata oltre che sui terminali anche sul server. 4/8

5 3.6 Il sistema DCOM non deve essere disabilitato Il sistema Microsoft DCOM (Distributed COM) è il protocollo ad alto livello utilizzato per la maggior parte delle comunicazioni tra i sottosistemi WebSAT. Il protocollo viene utilizzato bidirezionalmente, cioè viene utilizzato dai terminali per interrogare il server, ma anche dal server per comunicare con i terminali. E necessario dunque abilitare il servizio DCOM sia sul server che su tutti i terminali WebSAT (normalmente è un operazione che si fa con il programma Servizi componenti presente negli Strumenti di amministrazione). Consultare il manuale di Windows per vedere come abilitare il servizio DCOM sui terminali e sul server. 3.7 La configurazione del sistema DCOM sul server deve permettere ai componenti COM+ installati sui terminali di interagire con i servizi di centrale Le impostazioni predefinite della sicurezza per DCOM (soprattutto nelle ultime versioni di Windows Server) impediscono ai terminali WebSAT di utilizzare correttamente i servizi di centrale WebSAT (normalmente è un operazione che si fa con il programma Servizi componenti presente negli Strumenti di amministrazione). Non è possibile in questo documento analizzare tutte le possibili configurazioni che gli IT Manager adottano per le loro reti, ma sostanzialmente va garantito che il sistema DCOM sia in grado di dialogare bidirezionalmente con i terminali. Sostanzialmente è possibile agire a due livelli, cioè modificare le impostazioni predefinite per tutti i componenti DCOM del sistema, oppure modificare solo quelle dei servizi di centrale. Vediamo come modificare quelle predefinite: Le Autorizzazioni di accesso devono consentire agli utenti di accedere ai componenti distribuiti sul server: gli utenti del che utilizzeranno WebSAT devono avere diritti di Accesso remoto; devono avere anche diritti di Accesso locale, nell ipotesi (di solito remota) di utilizzare gli applicativi WebSAT (ad esempio il WebSAT Explorer) direttamente sulla consolle del server. Per fare ciò bisogna modificare sia i diritti predefiniti che i limiti. Le Autorizzazioni di esecuzione e attivazione devono inoltre consentire agli utenti di attivare i componenti distribuiti sul server: gli utenti del che utilizzeranno WebSAT devono avere diritti di attivazione remota; devono avere anche diritti di Attivazione locale, nell ipotesi (di solito remota) di utilizzare gli applicativi WebSAT (ad esempio il WebSAT Explorer) direttamente sulla consolle del server. Per fare ciò bisogna modificare sia i diritti predefiniti che i limiti. Dopo aver modificato le impostazioni di sicurezza predefinite, bisogna assicurarsi che il componente DCOM WebSAT Plant 1 le utilizzi o in alternativa bisogna configurarlo specificatamente (un componente può basarsi sulle configurazioni di sicurezza predefinite o definirne di specifiche per se stesso). Consultare il manuale di Windows per vedere come modificare la configurazione dei servizi DCOM sul server. Dalla versione Windows 2003 Server Service Pack 1, se questo non ha installato l Active Directory, la configurazione è un po più semplice, infatti esiste un gruppo di utenti chiamato Distributed COM Users che specifica esattamente quali utenti della rete abbiano il diritto di utilizzare il sistema DCOM. In questo caso i singoli utenti del autorizzati ad utilizzare WebSAT dovranno dunque essere inseriti nel gruppo Distributed COM Users del server WebSAT oppure se si vuole semplicemente abilitare qualsiasi utente della rete ad utilizzare WebSAT, basta inserire il gruppo Domain Users del nel gruppo Distributed COM Users del server WebSAT (normalmente è un operazione che si fa con il programma Gestione computer presente negli Strumenti di amministrazione). Consultare il manuale di Windows per vedere come modificare l appartenenza di un utente ad un gruppo Disaster Recovery Dalla versione 5.3 di WebSAT bisogna configurare anche il servizio WebSAT Caretaker 2 con le stesse impostazioni che sono state utilizzate per il servizio WebSAT Plant. Inoltre, affinché i servizi di Disaster Recovery funzionino correttamente, bisogna a maggior ragione impedire ai client di lanciare da remoto il servizio WebSAT Plant, ma lasciare questo compito solamente al servizio WebSAT Caretaker, che oltre all esecuzione è preposto anche alla diagnostica e al ripristino delle funzionalità del sistema. Per ottenere ciò bisogna accertarsi che le Autorizzazioni di esecuzione e attivazione vietino a tutti gli utenti l Avvio remoto dei servizi WebSAT Plant e WebSAT Caretaker. 1 Se non si dovesse trovare il componente WebSAT Plant, cercare ID dell applicazione {D9850A1B-F4AF- 427E-BAA7-F307C84C0D32} 2 Se non si dovesse trovare il componente WebSAT Caretaker, cercare ID dell applicazione {4AAA E-4C04-8EFE-08006D2BD56E} 5/8

6 3.8 La configurazione del sistema DCOM sui terminali deve permettere ai servizi di centrale sul server di interagire con i componenti COM+ Le impostazioni di sicurezza del servizio DCOM del PC terminale devono seguire la stessa logica del server, ma normalmente quelle predefinite funzionano nella maggior parte dei casi. In alcuni casi, soprattutto su terminali Windows XP Service Pack 2 collegati a Domini NT4 o a Gruppo di Lavoro, si è reso necessario abilitare l utilizzo di DCOM all utente anonimo. Anche in questo caso si può agire su due livelli, cioè modificare le impostazioni predefinite per tutti i componenti DCOM del sistema, oppure modificare solo quelle dei servizi di centrale. Per modificare quelle predefinite basta assicurarsi che le Autorizzazioni di accesso consentano agli utenti anonimi di accedere localmente e remotamente ai componenti distribuiti sul server. Per fare ciò bisogna modificare sia i diritti predefiniti che i limiti. 4 Microsoft SQL Server Dalla versione 5 di WebSAT, il database utilizzato è Microsoft SQL Server. L'accesso al database è integrato completamente con il sistema di gestione degli utenti Windows ed è responsabilità dell'amministratore del database stabilire chi può accedere al database e chi no. Negare ad un utente Windows l'accesso al database equivale ad impedirgli l'utilizzo dei programmi WebSAT. Nonostante ciò non è necessario che l'utente abbia diritti di scrittura, anzi non è nemmeno necessario abbia diritti di lettura dei dati, infatti WebSAT utilizza l'utente Windows solo per accedere momentaneamente al database server e poi lo "trasforma" in un Application Role (con diritti di accesso totalmente differenti dall'utente originario). Gli utenti Windows hanno bisogno SOLAMENTE dei diritti di connessione al database. Nulla vieta all'amministratore del database di dare diritti di lettura a dati specifici a particolari utenti (o gruppi), in modo che questi possano consultare i dati con strumenti di terze parti o produrre reportistica. Si raccomanda (per i motivi sopracitati) di NON DARE DIRITTI DI MODIFICA ad alcuna tabella agli utenti Windows, anzi per sicurezza sarebbe meglio che l'amministratore li togliesse a se stesso per evitare modifiche involontarie. Una metodo drastico per dare diritti di lettura a tutti gli utenti del server è quello di l'utility WSATSVCS con il parametro GRANTALLUSERS (consultare il manuale di WebSAT per maggiori informazioni). Se invece non si vuole dare indiscriminatamente diritti di accesso a tutti, bisognerà procedere manualmente con gli Strumenti di amministrazione di Microsoft SQL Server. 5 Configurazioni Testate Resta inteso che le combinazioni di configurazione di una rete informatica sono praticamente infinite, dunque non è possibile produrre un documento che analizzi tutti i possibili casi e che proponga una soluzione per ciascuno di essi. Non è comunque una cosa impossibile trovare la soluzione ad-hoc per ogni infrastruttura, è solo necessaria la giusta competenza e formazione nella gestione delle reti Microsoft. Il team di sviluppo della AMA S.p.A. ha testato le seguenti configurazioni e per esse è in grado di garantire il corretto funzionamento del sistema: Active Directory preesistente installata su Windows 2000 Server Service Pack 4 WebSAT Plant installato su Windows 2000 Server Service Pack 4 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2003 Server WebSAT Plant installato su Windows 2000 Server Service Pack 4 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto 6/8

7 Active Directory preesistente installata su Windows 2003 Server Service Pack 1 WebSAT Plant installato su Windows 2000 Server Service Pack 4 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2000 Server Service Pack 4 WebSAT Plant installato su Windows 2003 Server appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2003 Server WebSAT Plant installato su Windows 2003 Server appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2003 Server Service Pack 1 WebSAT Plant installato su Windows 2003 Server appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2000 Server Service Pack 4 WebSAT Plant installato su Windows 2003 Server Service Pack 1 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2003 Server WebSAT Plant installato su Windows 2003 Server Service Pack 1 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Active Directory preesistente installata su Windows 2003 Server Service Pack 1 WebSAT Plant installato su Windows 2003 Server Service Pack 1 appartenente al suddetto Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto 7/8

8 WebSAT Plant e Active Directory installati su Windows 2000 Server Service Pack 4 Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto WebSAT Plant e Active Directory installati su Windows 2003 Server Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto WebSAT Plant e Active Directory installati su Windows 2003 Server Service Pack 1 Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto Terminali WebSAT installati su Windows XP Professional e appartenenti al suddetto Gruppo di lavoro preesistente creato nella rete WebSAT Plant installato su Windows 2003 Server appartenente al suddetto gruppo di lavoro Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto gruppo di lavoro Gruppo di lavoro preesistente creato nella rete WebSAT Plant installato su Windows 2003 Server Service Pack 1 appartenente al suddetto gruppo di lavoro Terminali WebSAT installati su Windows 2000 Service Pack 4 e appartenenti al suddetto gruppo di lavoro gruppo di lavoro gruppo di lavoro 6 Configurazioni non Testate Tutte le configurazioni non citate nella precedente tabella non significa che non possano funzionare, anzi è molto probabile che un capace amministratore di rete sia in grado di renderle operative. Il team di sviluppo comunque non è in grado di supportarle e/o fornire assistenza tecnica su di esse. Alcuni esempi di configurazioni non testate sono: Terminali WebSAT installati su Windows XP Home Edition, Reti miste in cui la sicurezza è gestita da Linux ecc 8/8