Realizzazione di una rete dati IT

Transcript

1 Realizzazione di una rete dati IT Questo documento vuole semplicemente fornire al lettore un infarinatura di base riguardo la realizzazione di una rete dati. Con il tempo le soluzioni si evolvono ma questo documento rimane comunque valido anche se vengono prese in esame prodotti obsoleti. Una struttura IT è tipicamente formata da una LAN aziendale a cablaggio condiviso sia per la trasmissione e lo scambio dei dati tra host che per la fonia. Per una rete formata da un numero di host limitato (tipicamente inferiore a 10 unità), può essere presa in considerazione la soluzione wireless che con un investimento contenuto consente lo sviluppo di una rete flessibile e performante, tuttavia la soluzione su cavo e comunque una soluzione più affidabile. Rete Dati La LAN è una rete dati Ethernet 10/100 Mbit con protocollo TCP/IP, basata sul sistema operativo Microsoft Windows 2003 Server (ver.inglese) con servizi Active Directory. Per il buon funzionamento, affidabilità delle apparecchiature elettroniche e per questioni di sicurezza, e consigliabile definire un locale specifico per la collocazione dei server e degli armadi contenenti le apparecchiature (Switch, Router ecc). Il sistema di alimentazione di tali apparecchiature viene regolato da UPS con software Power Chute che in caso di black out ne eseguono l eventuale shut down automatico. Per razionalizzare gli spazi, switch, router, server e UPS vengono cablati all interno di un Rack Cabinet 19 42U (2,5 mt).

2 Internet L interconnessione alla rete Internet attraverso un Router e un collegamento di tipo ADSL, permettera la navigazione e/o lo scambio della posta elettronica col mondo esterno. Per questione di sicurezza, viene installato un sistema di anti intrusione per impedire l accesso alla propria rete da parte di estranei. Considerando il numero ridotto di host e server installati sulla LAN, la soluzione piu razionale e quella di installare un firewall entry level. Tuttavia in previsione di una rapida espansione dell azienda, si potrebbe valutare l opportunità di installare un buon firewall tipo Microsoft ISA server o altri. Alcune soluzioni: - Symantec velociraptor, 500 circa - Smoothwall di linux, o IPCop, gratuito il software, 1500 (il costo del server) - ISA server di Microsoft, 5500 (licenze e server) Di seguito alcune considerazioni tecniche sul firewall multifunzione di Microsoft Microsoft ISA Server e la sicurezza Internet Un buon metodo per proteggere la propria rete da potenziali intrusi è quello di applicare un numero sempre piu elevato di barriere o ostacoli tra Internet e la rete interna. Il Server Internet Security & Acceleration (ISA) di Microsoft, e un eccellente gateway tra la rete interna e Internet. Esso permette di nascondere le risorse interne e gli indirizzi IP e al tempo stesso di aumentare la velocita complessiva di accesso internet riducendo la richiesta totale di banda. Il processo e analogo all effetto di uno specchio che consente di vedere all esterno dall interno e non viceversa. ISA Server permette di connettere la rete interna a Internet in modo indetto : alla richiesta di un client di accedere ad una risorsa, ISA si collega al server Web remoto, scarica la risorsa e la invia al client mantenendone una copia in cache. Il modo piu efficace per ridurre i rischi e utilizzare ISA Server come unico gateway su Internet. TUTTI gli altri server vengono posti SOTTO ISA Server e sara lui stesso a impersonare i server di servizio. Di seguito vengono elencate i servizi di ISA Server. Server proxying. Proxy ISA Server tiene sotto controllo e inoltra verso il Server più appropriato i pacchetti in arrivo. Per esempio, è possibile configurare il pacchetto in modo che venga usato protocollo SMTP (Simple Mail Transfer Protocol) al fine di dirigere verso il mail server i pacchetti in arrivo della posta elettronica. L impostazione relativa allo schema di server proxyng puo tuttavia richiedere un notevole lavoro di impostazione. Reverse proxying. Quando gestisce il traffico verso l interno, Proxy ISA Server impersona il server Web. In altre parole, il pacchetto risponde alle richieste provenienti da Internet e le inoltra al server IIS (Internet Information Server) oppure a un altro server Web. Gli utenti di Internet non sono a conoscenza del fatto che è Proxy ISA Server e non IIS a passare e vagliare le loro richieste.

3 Reverse hosting. Questo schema porta un passo più in là quello del reverse proxying, consentendo di compiere la pubblicazione su Internet ai Server Web posti dietro a Proxy ISA Server. Quest ultimo ascolta e risponde alle richieste per conto dei Server Web. Lo schema del reverse hosting consente quindi di compiere la pubblicazione sul Web senza compromettere la sicurezza. Gestione degli avvertimenti e dei log. È possibile configurare Proxy ISA Server in modo che avverta immediatamente l amministratore della presenza di attività sospette come le violazioni di protocollo e di alcuni attacchi sulla rete tipo Ping of death, bombe UDP, WinNuke e quelli di tipo SYN. Per esempio, in un normale scambio di messaggi tra un client e un Server, il primo invia un messaggio SYN. Il Server risponde quindi con un altro messaggio SYN ACK e quindi attende di ricevere dal client un messaggio ACK di risposta. Se un indirizzo IP non corretto sta inviando un SYN, il server invia a sua volta un messaggio SYN ACK e quindi attende l arrivo di un ACK, che tuttavia non riceverà mai. Se la sorgente invia ulteriori messaggi, i pacchetti rifiutati possono impegnare le porte TCP del server e legittimare alcuni utenti che non potrebbero usare i servizi. Questo tipo di attacchi SYN può preoccupare seriamente gli ISP (Internet Service Provider) e le aziende che si basano pesantemente sull accesso a Internet. È possibile configurare Proxy ISA Server in modo che il programma avverta l operatore nel caso in cui il server rifiuti un numero prefissato di pacchetti. Proxy ISA Server può essere regolato in modo da i inviare una notifica in corrispondenza di varie soglie di avvertimento. Firewall. ISA Server filtra tutti pacchetti diretti verso l interno e verso l esterno della rete. Il controllo sul questo tipo di traffico viene offerto senza dover definire manualmente certe porte per applicazioni specifiche: ciò significa meno lavoro amministrativo da compiere per l utente. ISA Server gestisce i filtri aprendo la porta quando viene avviata la comunicazione e quindi chiudendola non appena la comunicazione ha termine. Dal momento che il pacchetto apre la porta soltanto quando è necessario, premette in questo modo di ottenere una rete più sicura. Per default, la selezione del filtraggio dei pacchetti abilita anche il filtraggio dinamico dei pacchetti. Tale caratteristica è un componente intelligente che abilita e disabilita filtri basati sullo stato corrente di una sequenza di un protocollo. Per esempio, un client Telnet può richiedere al Proxy Server di stabilire una connessione ad un Server su Internet. Il proxy sceglie una porta di origine, diciamo la 1500, crea un filtro per consentire il traffico Telnet da e verso la porta 1500 e poi stabilisce una connessione TCP al server. Quando la sessione Telnet è completa, il proxy disabilita il filtro e rifiuta altri accessi provenienti dall interfaccia esterna verso la porta Sicurezza multistrato. Il servizio Web Proxy rende sicuro lo strato delle applicazioni, mentre i servizi WinSock Proxy e a SOCKS Proxy rendono sicuro quello relativo al circuito. Con questi tre servizi, è possibile rifiutare oppure consentire l accesso a Internet e alla intranet a qualsiasi livello dell organizzazione, compreso anche il livello utente. È possibile rifiutare oppure consentire le richieste relative a un dominio di computer, a un indirizzo IP, oppure a una combinazione tra indirizzo IP e subnet mask. Supporto per le reti VPN. Attraverso il servizio nativo RRAS (Routing and Remote Access Service), ISA diventa un server VPN. E possibile usare Internet quale backbone per inviare alla rete aziendale delle comunicazioni crittografate. Questo soluzione utilizza il protocollo PPTP (Point To Point Tunneling Protocol) per creare una rete VPN sicura.

4 Caching Il caching e il processo mediante il quale viene temporaneamente mantenuta in locale una copia di una risorsa per accelerare le richieste. Dato che ISA conserva in cache una copia della risorsa richiesta, ogni volta che un client locale chiede quella risorsa viene immediatamente soddisfatto anziche collegarlo al server Web remoto. Il caching su ISA è attivo o passivo. Il cache attivo costituisce la modalita di base di ISA. Il servizio Web Proxy riceve la richiesta dal client, controlla se la pagina risiede nella cache e se non c è la richiede dal Web. Tramite la cache passiva ad ogni risorsa viene assegnata un Time to Live. Scaduto tale tempo la risorsa scade e verra aggiornata dal Web. Organizzazione software Ipotizzando uno scenario iniziale formato da un gruppo di 10 client, si potrebbe analizzare la seguente soluzione: Installazione di un dominio Active Directory per meglio sfruttare tutte le risorse di rete Per servizi Active Directory è consigliato l utilizzo di 2 server che eseguono Windows server 2003 come Controllori di Dominio (DC) multi master. I 2 server autenticano i client, gestiscono le risorse di rete e replicano i dati tra loro. Oltre ad Active Directory eseguono servizi di File server, Print server. La soluzione di 2 server è utile per aumentare la disponibilità dei dati (High Availability) e per frazionare gli impieghi. Attivazione di un contratto ADSL flat o su fibra ottica e relativa installazione di un router. Installazione di un firewall per la sicurezza Internet (Symantec velociraptor, Linux Smoothwall, Microsoft Isa server) Se si utilizza ISA server, le procedure di un eventuale pubblicazione di un server WEB o FTP interno risulta estremamente più semplificata e sicura Per questione di affidabilità è consigliabile far gestire la posta elettronica direttamente dal provider che fornisce la connessione Internet. Per limitare spam, virus o mail indesiderate, installare un server di posta interno (Server Merak, oppure IBM Lotus Domino o Mail Cleaner che è una distribuzione gratuita ) su uno dei due server utilizzati. Il server di posta contatta a cicli regolari il server POP del provider, scarica le mail e le distribuisce secondo i criteri impostati ai client di posta interni Installazione di almeno 2 stampanti laser in rete

5 Installazione di un Antivirus di tipo Corporate. Un server che esegue un software antivirus Corporate Ed. si occupa di scaricare gli aggiornamenti a cicli programmati e distribuisce gli aggiornamenti ai client interni Installazione dei server, switch, router, modem, UPS ecc. in un armadio rack Cabinet 19 42U Programmazione del backup notturno schedulato dei dati su un NAS.