Mês: maio 2014

Relay (Roteamento) Google Apps para Office 365 com novo domínio

Neste post vou ensinar a usar o Google Apps como RELAY para Office365 ou outro servidor de e-mail utilizando um novo domínio, isso ajuda e muito em migrações do Google para o Office365.

Utilizei este procedimento para migrar do Google Apps o domínio mz-ir.com para attitude-global.com e mzgroup.com no Office365.

Para maiores informações consulte
https://support.google.com/a/answer/173534?hl=pt-BR

Vamos lá, utilizaremos o seguinte:

Domínio no Google Apps: charlessantana.com.br
Domínio no Office365: charlessantana.com

Você deve ser administrador do Google Apps para fazer estas configurações:

Acesso ao admin do Google Apps

Vamos ao cenário:

Migração do Google Apps para Office365 com domínio diferentes.
Depois de migrar a caixa postal do usuário para o Office365 (Não vamos abordar como fazer a migração, poderá utilizar a ferramenta MigrationWiz ou por IMAP), no Google Apps o usuário utilizava o domínio charlessantana.com.br e no Office365 o domínio charlessantana.com, mas você não terminou de migrar todas as caixas postais para o Office365 e por este motivo não adicionou o domínio charlessantana.com.br no Office365, mas seus novos usuário já estão utilizando o domínio charlessantana.com e os usuário migrados também, e você precisa garantir que todos os e-mail enviados para o domínio antigo que neste caso é charlessantana.com.br sejam entregues no novo domínio charlessantana.com para os usuários antigos do Google Apps.

Exemplo o usuário [email protected] quando este usuário receber um e-mail (O MX ainda está apontando para o Google Apps) o Google tem que redirecionar para o Office365.

Vamos as configurações

No painel do Google Apps acesse:

Google Apps

Gmail

Configurações avançadas

Roteamento de e-mail e clique em “adicionar outro destino”

Adicione o domínio do Office365 neste exemplo charlessantana.com, feito isso o Google Apps irá direcionar os e-mail para o MX do domínio informando, neste exemplo o MX do domínio charlessantana.com está sendo apontando para o Office365.

Habilite: “Alterar envelope SMTP”

Deixe habilitado a opção “Somente contas desconhecidas da caixa de correio”

Clique em “Salvar alterações”

Pronto, agora todos os e-mails enviados para o domínio charlessantana.com.br quando não houver um caixa postal criada serão direcionados para o Office365.

As configurações do sistema do Google pode levar até 1 hora para serem feitas.

Vamos ao teste, vamos enviar um e-mail de [email protected] para [email protected] este e-mail tem que ser roteado para o Office365 e ser entregue na caixa posta [email protected]

Vamos ver se os servidores do Google fizeram o ROTEAMENTO

Como podemos ver na imagem abaixo o e-mail enviado de [email protected] para [email protected] foi roteado corretamente para [email protected] que está no Office365.

Veja o cabeçalho

==================================================================

Received: from GRUPR80MB265.lamprd80.prod.outlook.com (25.160.1.25) by
CP1PR80MB261.lamprd80.prod.outlook.com (10.242.254.139) with Microsoft SMTP
Server (TLS) id 15.0.944.11 via Mailbox Transport; Sat, 31 May 2014 18:24:24
+0000
Received: from BLUPR80CA001.lamprd80.prod.outlook.com (10.255.252.11) by
GRUPR80MB265.lamprd80.prod.outlook.com (25.160.1.25) with Microsoft SMTP
Server (TLS) id 15.0.949.11; Sat, 31 May 2014 18:24:20 +0000
Received: from BN1BFFO11FD038.protection.gbl (2a01:111:f400:7c10::1:115) by
BLUPR80CA001.outlook.office365.com (2a01:111:e400:82b::11) with Microsoft
SMTP Server (TLS) id 15.0.954.9 via Frontend Transport; Sat, 31 May 2014
18:24:18 +0000
Received: from mail-pa0-f48.google.com (209.85.220.48) by
BN1BFFO11FD038.mail.protection.outlook.com (10.58.144.101) with Microsoft
SMTP Server (TLS) id 15.0.949.9 via Frontend Transport; Sat, 31 May 2014
18:24:18 +0000
Received: by mail-pa0-f48.google.com with SMTP id rd3so2811439pab.35
for <[email protected]>; Sat, 31 May 2014 11:24:17 -0700 (PDT)
X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=1e100.net; s=20130820;
h=x-original-authentication-results:x-gm-message-state:message-id
:from:to:subject:date:mime-version:content-type:thread-index
:content-language:delivered-to;
bh=IcrxS598hmUvhyc+uOB7vg+NHIcbYogdLurbTkCygUg=;
b=m3q5FgJN2p3eWFIzAikxwg5aUDrjfVfweOXEoInyDqd8lo27J0E7JGDI8DFuXXUGjS
Op9G+Epa0Q8BHlhXifqDdETI6sNfg9vvIp/SYTB08Vs9QRkHtUHw1ijU+VXFo4bbFr8l
80kRlsJoAEvY8YNZ4fBMwIxaubv+XOOYkjZGCf1AZDlBIhXEVTFzK95zPnGIr2rueZDV
j6aQuvcj2W02W0jXNaJ79YDB2rCgjOtshU8+5j7PypYjCq+Q4Vl2DDKUUtQD9+ZKgKKJ
oinKreCVpjIu6J754vBPCO/vW26VPhgEHvM5NOpeMOeBS1mAZRpEaaVR+1nZSHviyYR5
S2hw==
X-Original-Authentication-Results: mx.google.com; spf=pass (google.com: domain of [email protected] designates 65.55.116.77 as permitted sender) [email protected]

=================================================================

Agora vejamos um e-mail envido da organização charlessantana.com.br que está no Google Apps.

Enviado de [email protected] para [email protected]

Veja a imagem, foi entregue com sucesso nos servidores do Office365

Veja o cabeçalho

==================================================================

Received: from GRUPR80MB265.lamprd80.prod.outlook.com (25.160.1.25) by
CP1PR80MB261.lamprd80.prod.outlook.com (10.242.254.139) with Microsoft SMTP
Server (TLS) id 15.0.944.11 via Mailbox Transport; Sat, 31 May 2014 18:25:21
+0000
Received: from GRXPR80CA008.lamprd80.prod.outlook.com (10.242.29.146) by
GRUPR80MB265.lamprd80.prod.outlook.com (25.160.1.25) with Microsoft SMTP
Server (TLS) id 15.0.949.11; Sat, 31 May 2014 18:25:19 +0000
Received: from BN1BFFO11FD021.protection.gbl (2a01:111:f400:7c10::1:121) by
GRXPR80CA008.outlook.office365.com (2801:80:1d0:2003::18) with Microsoft SMTP
Server (TLS) id 15.0.944.11 via Frontend Transport; Sat, 31 May 2014 18:25:18
+0000
Received: from mail-we0-f170.google.com (74.125.82.170) by
BN1BFFO11FD021.mail.protection.outlook.com (10.58.144.84) with Microsoft SMTP
Server (TLS) id 15.0.949.9 via Frontend Transport; Sat, 31 May 2014 18:25:17
+0000
Received: by mail-we0-f170.google.com with SMTP id u57so3442470wes.29
for <[email protected]>; Sat, 31 May 2014 11:25:16 -0700 (PDT)
X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=1e100.net; s=20130820;
h=x-original-authentication-results:x-gm-message-state:mime-version
:date:message-id:subject:from:to:content-type:delivered-to;
bh=JbhbByU4wjZ43xFQR5hThKAt/6jjXysWu3ED31zyBLs=;
b=lgorF30g+N73+HW8j79o2xp6bPQiNOslQYABOLYdRjlObIIOzj47u8Vp2OHa5LANVd
H/bJoqZNlUbV7H5keAtwS/YkHQe6MRRJsvjTp30k4zePvXRGL+rDX0QdbL1k5Ezd0i1o
w9XMSA00U0oBi/YE0ia4wq3jQTq31ESBjE6UKPnRGRBJasL3XX5e3P260K3HWJCLbGZp
uGyH3+e4Pk/aDUccOY3esRCCTDKUNST0EbPbbSNBL3/fxNUNZFFvvqeuot7RGG9VwUbL
mtMvkbGJU2yTpcDp4P/DjG2DbI4XgWTZV+w18AR2rYbAUlvXUlmx5XqGb1ZJkusd/+lz
Hw6w==
X-Original-Authentication-Results: mx.google.com; spf=neutral (google.com: [email protected] does not designate permitted sender hosts) [email protected]

==================================================================

Seja Feliz!!!!

Migrando Controlador de domínio 2003 para 2012 R2

Neste post vamos fazer a migração de um controlador de domínio Windows Server 2003 SP2 para Windows Server 2012 R2

Neste artigo nosso servidor SRV-DC01 possui as seguintes funções IP 10.174.1.3

Domain Controller
DHCP Server
DNS Server

Vamos migrar todas as funções para o novo servidor SRV-DC02

A primeira tarefa é elevar o nível do domínio para 2003
Para maiores informações consulte http://support.microsoft.com/kb/322692/pt-br

Abra o Active Directory and. Computers

Botão direito em seu domínio, escolha “Raise Domain Functional Level…”

Certifique-se que não possui servidores Windows Server 2000, pois depois de alterar não tem como voltar

Altere para Windows Server 2003

E clique em “Raise”

Clique em OK

Nível elevado, agora dependendo se sua topologia temos que esperar o prazo de replicação, mas neste exemplo só temos um controlador de domínio

Veja que temos uma maquina em nosso domínio

Onde temos o DHCP/DNS

Agora vamos aumentar o nível da flores para 2003

Em “Active Directory Domain and Trusts

Botão direito em Active Directory Domains and Trusts “Raise Domain Functional Level…”

Aumente para 2003

Agora vamos vamos adicionar o Windows Server 2012 R2 em nosso domínio

Servidor incluído com sucesso

Agora no Windows Server 2003

Insira o DVD do Windows Server 2008/2008 R2 (Isso mesmo não errei, pois no DVD do 2012 não existe adprep.exe32)

Abra a prompt de comando
Abra o DVD na pasta support/adprep
digite os seguintes comandos:

adprep32.exe /forestprep (enter)

Será exibida está mensagem

D:\support\adprep>adprep32.exe /forestprep

ADPREP WARNING:

Before running adprep, all Windows 2000 Active Directory Domain Controllers in t
he forest should be upgraded to Windows 2000 Service Pack 4 (SP4) or later.

[User Action]
If ALL your existing Windows 2000 Active Directory Domain Controllers meet this
requirement, type C and then press ENTER to continue. Otherwise, type any other
key and press ENTER to quit.

Digite “C” e enter

Após alguma tempo será exibida está mensagem

Adprep successfully updated the forest-wide information.

Vamos para o próximo comando

adprerp32.exe /domainprep (enter)
D:\support\adprep>adprep32.exe /domainprep
Running domainprep …

Adprep successfully updated the domain-wide information.

The new cross domain planning functionality for Group Policy, RSOP Planning
Mode, requires file system and Active Directory Domain Services permissions
to be updated for existing Group Policy Objects (GPOs). You can enable this
functionality at any time by running “adprep.exe /domainprep /gpprep” on the
Active Directory Domain Controller that holds the infrastructure operations
master role.
This operation will cause all GPOs located in the policies folder of the
SYSVOL to be replicated once between the AD DCs in this domain.
Microsoft recommends reading KB Q324392, particularly if you have a large
number of Group policy Objects.

Próximo comando

adprep32.exe /rodcprep (enter)

D:\support\adprep>adprep32.exe /rodcprep
Adprep connected to the domain FSMO: SRV-DC01.glbx.local.

==============================================================================
Adprep found partition DC=DomainDnsZones,DC=glbx,DC=local, and is about to updat
e the permissions.

Adprep connected to a replica DC SRV-DC01.glbx.local that holds partition DC=Dom
ainDnsZones,DC=glbx,DC=local.

The operation on partition DC=DomainDnsZones,DC=glbx,DC=local was successful.
==============================================================================

==============================================================================
Adprep found partition DC=ForestDnsZones,DC=glbx,DC=local, and is about to updat
e the permissions.

Adprep connected to a replica DC SRV-DC01.glbx.local that holds partition DC=For
estDnsZones,DC=glbx,DC=local.

The operation on partition DC=ForestDnsZones,DC=glbx,DC=local was successful.
==============================================================================

==============================================================================
Adprep found partition DC=glbx,DC=local, and is about to update the permissions.

Adprep connected to the Infrastructure FSMO: SRV-DC01.glbx.local.

The operation on partition DC=glbx,DC=local was successful.
==============================================================================

Adprep completed without errors. All partitions are updated. See the ADPrep.log
in directory C:\WINDOWS\debug\adprep\logs\20140529153047 for more information.

Próximo comando

adprep32.exe /domainprep /gpprep (enter)

D:\support\adprep>adprep32.exe /domainprep /gpprep
Running domainprep …

Domain-wide information has already been updated.
[Status/Consequence]
Adprep did not attempt to rerun this operation.

Adprep successfully updated the Group Policy Object (GPO) information.

Agora vamos adicionar o Windows Server 2012 R2 como controlador de domínio secundario

Add Role, escolha a função ADDS

Instalando a função

Função instalada, clique em “Close”

Agora no lado superior direito, verá um ponto em amarelo, clique nele

Depois clique em “Promote this server to domain controller”

Veja que nosso server já trouxe as informações preenchidas para ser um controlador de domínio secundário

Clique em “Next”

Será exibida uma mensagem, informando que o controlador de domínio não está executando Windows Server 2008 por este motivo este novo server não poderá ser um controlador de domínio somente leitura, neste exemplo não vem ao caso

Insira a senha

E clique em “Next”

Não se preocupe com esta mensagem, para maiores informações

http://blogs.technet.com/b/activedirectoryua/archive/2011/07/07/a-delegation-for-this-dns-server-cannot-be-created-because-the-authoritative-parent-zone-cannot-be-found-or-it-does-not-run-windows-dns-server.aspx

Clique em “Next”

Não é o nosso caso, está opção é para vários controladores que domínios espalhados por varias filiais onde existem links lentos de comunicação, para maiores informações consulte:

http://technet.microsoft.com/en-us/library/cc770654(v=ws.10).aspx

Clique em “Next”

Vamos deixar no padrão, clique em “Next”

Clique em “Next”

Um resumo do que será feito, interessante que podemos fazer por powershell

#
# Windows PowerShell script for AD DS Deployment
#

Import-Module ADDSDeployment
Install-ADDSDomainController `
-NoGlobalCatalog:$false `
-CreateDnsDelegation:$false `
-CriticalReplicationOnly:$false `
-DatabasePath “C:\Windows\NTDS” `
-DomainName “glbx.local” `
-InstallDns:$true `
-LogPath “C:\Windows\NTDS” `
-NoRebootOnCompletion:$false `
-SiteName “Default-First-Site-Name” `
-SysvolPath “C:\Windows\SYSVOL” `
-Force:$true

Clique em “Next”

Verificação do pré-requisitos

Agora vamos a configuração

Clique em install

Após a instalação o servidor é reiniciado

Já conseguimos ver em nosso SRV-DC01 W2k3 que temos um segundo controlador de domínio

E no 2k12 vemos também

Agora vamos migrar todas as funções

Na prompt do 2k3

Vamos executar os comandos:

ntdsutil

ntdsutil: roles

fsmo maintenance: connections

server connections: connect to server srv-dc02

server connections: q

fsmo maintenance: transfer schema master (YES)

fsmo maintenance: transfer schema master
Server “srv-dc02” knows about 5 roles
Schema – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
Domain – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
PDC – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
RID – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
Infrastructure – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-N
ame,CN=Sites,CN=Configuration,DC=glbx,DC=local

fsmo maintenance: transfer PDC (YES)

fsmo maintenance: transfer PDC
Server “srv-dc02” knows about 5 roles
Schema – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
Domain – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
PDC – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
RID – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
Infrastructure – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-N
ame,CN=Sites,CN=Configuration,DC=glbx,DC=local

fsmo maintenance: transfer domain naming master (YES)

fsmo maintenance: transfer domain naming master
Server “srv-dc02” knows about 5 roles
Schema – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
Domain – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
PDC – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
RID – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
Infrastructure – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-N
ame,CN=Sites,CN=Configuration,DC=glbx,DC=local

fsmo maintenance: transfer RID master (YES)

fsmo maintenance: transfer RID master
Server “srv-dc02” knows about 5 roles
Schema – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
Domain – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
PDC – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
RID – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
Infrastructure – CN=NTDS Settings,CN=SRV-DC01,CN=Servers,CN=Default-First-Site-N
ame,CN=Sites,CN=Configuration,DC=glbx,DC=local

fsmo maintenance: transfer infrastructure master (YES)

fsmo maintenance: transfer infrastructure master
Server “srv-dc02” knows about 5 roles
Schema – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
Domain – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=S
ites,CN=Configuration,DC=glbx,DC=local
PDC – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
RID – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-Name,CN=Site
s,CN=Configuration,DC=glbx,DC=local
Infrastructure – CN=NTDS Settings,CN=SRV-DC02,CN=Servers,CN=Default-First-Site-N
ame,CN=Sites,CN=Configuration,DC=glbx,DC=local

Já podemos ver em Operations Master do 2k3

Reinicie o Windows Server 2003 SRV-DC01 e reinicie o Windows Server 2012 R2 SRV-DC02

Agora para ver se tudo está ok, vamos executar um DCPROMO no SRV-DC01 para remover a função de controlador de domínio do Windows Server 2003 SRV-DC01, após feito isso reinicie o servidor.

Agora acesse um maquina com seu usuário e senha do domínio

Pronto veja nosso novo controlador de domínio

Lembrando que ainda o SRV-DC01 é DNS e DHCP SERVER, removeremos e migraremos isso em outro post.

Seja Feliz!!!

Autenticação FSSO AGENT Fortinet

Vamos neste post como instalar e configurar FSSO AGENT do Fortinet.

Veja o desenho abaixo

Primeiro passo fazer download do FSSO AGENT pelo site da http://support.fortinet.com ou diretamente neste link http://migre.me/jr1kJ

Segundo passo a instalação em um servidor com Active Directory (AD)
Vamos a instalação

Duplo clique no instalador

Aceite os termos e clique em NEXT

Local de instalação, next

Usuário e senha do administrador do domínio

Deixe a tela de opção do jeito que está

Clique em Install

A instalação

Instalado com sucesso, vamos a configuração, habilite “Lanch DC Agente Install Wizard” depois Finish

Collector Agent IP address: IP do Servidor

Collector Agent listening port: 8002

Selecione o domínio a ser monitorado e clique em Next

Nesta tela vamos escolher as configurações padrões
Para maiores informações veja http://docs-legacy.fortinet.com/fos50hlp/50/index.html#page/FortiOS%205.0%20Help/FSAE.036.11.html

Clique em Next

Pronto, agente instalado clique em “Finish”

Vamos configurar o Agent

Acesse no menu iniciar, Fortinet, Fortinet Sing On Agent, Configure Fortinet Single On Agent

A primeira alteração a ser feita é a autenticação do agente com o fortinet, vamos configurar uma senha neste exemplo “123@mudar”

Depois vamos ver as opções, “Select Domains To Monitor”

Habilite seu domínio, neste exemplo “GLBX\glbx.local” clique em OK

O Agente está fazendo as configurações

Agora clique em “Set Group Filters”

Clique em “Add…”

Clique em “Advanced”

Escolha os grupos a serem monitorados, neste exemplo ACCESS_FULL_INTERNET e ACCESS_RESTRICT_INTERNET, clique em Add

Marque a opção “Default filter” e clique em OK

Aqui você verá os grupos monitorados, clique em OK

Agente sendo configurado

Agora vamos salvar

Clique em “Salve&Close”

Agente sendo configurado e salvo

Um detalhe muito importante as portas 8000 e 8002 devem estar liberados no firewall do servidor para comunicação em o firewall e o servidor.

Pronto nosso agente está instalado e configurado, agora vamos configura-lo em nosso firewall.

No Firewall clique em User & Device, Authentication, Single Sign-On, Create New

Type: Fortinet Single-Sign-On Agent
Name: SRV-DC01
Primary Agent IP/name: IP de nosso servidor 10.174.1.3
Password: lembra que configuramos a senha no agent no servidor, neste exemplo “123@mudar”
Neste exemplo vamos usar somente um Agent FSSO, mas é recomendável pelo menos dois, caso um falha teremos outro para autenticação, mas neste exemplo iremos utiliza somente um.

Clique em “Apply & Refresh”

Agora veja que nosso agente já trouxe as informações de nossos grupos com acesso a internet, neste exemplo “ACCESS_FULL_INTERNET e ACCESS_RESTRICT_INTERNET”

Clique em ok.

Pronto agente configurado no Firewall

Agora vamos criar os grupos de acesso no firewall

Clique em “User & Device” User Group, Creat New

Name: SRV-DC01-FULL-ACCESS
Type: Fortinet Single Sign-On (FSSO)
Available Members: Veja que trouxe nosso grupos, vamos selecionar “GLBX/ACCESS_FULL_INTERNET” e clicar na seta para adicionar em Members, clique ok

Grupo criado, agora vamos criar o grupo de acesso restrito, creat new

Name: SRV-DC01-RESTRICT-ACCESS
Type: Fortinet Single Sign-On (FSSO)
Available Members selecione o grupo GLBX/ACCESS_RESTRICT_INTERNET e clique na seta para adicionar em Members, clique ok

Pronto agora temos nossos dois grupos de acesso a internet FULL e RESTRICT criados em nosso firewall

Agora vamos criar a politica de acesso

Em POLICY, Policy,Creat New

Primeira Etapa

Policy Type: Firewall
Policy Subtype: User Identity
Incoming Interface: port1 (LAN)
Source Address: Objeto criado coma range de nossa rede interna
Outgoing Interface: port3 (WAN1)
Enable NAT: Habilite

Agora vamos a segunda etapa, em “Configure Authentication Rules” Creat New”

Destination Address: all
Group: SRV-DC01-FULL-ACCESS (Grupo que tem acesso FULL a internet)
User: Click to ad… não utilizamos usuários específicos
Schedule: always
Service: ALL
Action: ACCEPT
Log Allowed Traffic: Deixe habilitado
Generate Logs when Session Starts: Deixe habilitado

Clique em OK

Agora vamos criar o acesso para os usuário do grupo RESTRICT

Creat New

Destination: all
Group: ACCESS_RESTRICT_INTERNET
User: Click to add… não estamos utilizando usuário específicos
Schedule: always
Service: HTTP, por ser restrito, deixemos somente HTTP port 80
Action: ACCEPT
Log Allowed Traffic: Deixe habilitado
Generate Logs when Session Starts

EM UTM Security Profiles, vamos habilitar “Web Filter” onde temos alguns sites bloqueados

Clique ok

Agora vemos nossas regras de autenticação criadas

Clique ok

Regras criadas

Vamos ao teste utilizando o usuário “vpmonteiro” que está no grupo acesso restrito

Bloqueamos estes sites para o grupo restrito

Vamos acessar uma maquina no domínio com o usuário “vpmonteiro”

Veja que o usuário está conectado em nosso firewall

Ao abrir o navegador, conseguimos acesso a internet normalmente

Vamos ver se o usuário está logado mesmo, acessando o FSSO AGENT no AD e clicando em Show Logon Users

Veja que o usuário “vpmonteiro” está conectado

Vamos ver se ele consegue acessar aqueles sites que bloqueamos acima

Veja que o ao acessar um site restrito o acesso foi bloqueado

Vamos tentar via HTTPS

Veja que não é acessado.

Logs do Fortinet

Agora vamos ver com o usuário “csantana” que não possui restrições

Veja que o usuário está logado

Veja que conseguimos acessar qualquer site normalmente

Veja que ao tentar acessar uma maquina fora do domínio ela não consegue acessar nenhum site

Agora vou deixar a politica de acesso a internet habilitada por LDAP e com já configuramos tudo no POST anterior veja

E se tentarmos autenticar com o usuário restrito “vpmonteiro”

O acesso a sites restritos continua normalmente

E veja os dois usuário logados um por LDAP e outro por FSSO

Seja Feliz!!!

Autenticação LDAP Fortinet

Vamos ver neste POST como configurar autenticação com Fortinet utilizando LDAP.

Este tipo de autenticação é feita diretamente no navegador, eu recomendo usar este tipo de autenticação para rede de visitantes GUEST (Exemplo: Wireless), neste forma conseguimos garantir que somente pessoas autorizadas irão ter acesso a internet.

Vamos as configurações:

Devemos criar um nosso AD (Active Directory) um grupo GLOBAL de SEGURANÇA, neste exemplo temos dois grupos
ACCESS_FULL_INTERNET
ACCESS_RESTRITIC_INTERNET

Dentro de cada grupos respectivamente adicione os usuários, neste exemplo temos duas usuários “csantana” e “vpmonteiro”, “csantana” está no grupo “ACCESS_FULL_INTERNET” e “vpmonteiro” está no grupo “ACCESS_RESTRICT_INTERNET”

Com os grupos devidamente criados, e com os usuários adicionados, vamos as configurações no firewall fortinet

Acesse “User & Device” depois “Creat New”

Name: Nome amigável, neste exemplo o próprio nome do servidor, neste exemplo “SRV-DC01”
Server Name/IP: vamos utilizar o IP do servidor, neste exemplo 10.174.1.3
Common Name Identifier: sAMAccountName
Distinguished Name: vamos preencher mais a frente
Bind Type: Regular
User DN: domínio\user, neste exemplo “glbx\administrator”
Password: Senha do usuário

Vamos se tudo está ok, clique em “TEST”

SE tudo correu bem, receberá está mensagem:

Agora vamos ao preenchimento do campo “Distinguished Name”, clique no “explorer”

Você terá está tela

Vamos selecionar nossa OU BRAZIL

Clique OK

Agora temos preenchido o campo “Distinguished Name”

Pronto, nesta etapa temos nosso servidor LDAP configurado

Agora vamos criar os grupos dentro de nosso firewall Fortinet

Em “User & Device” “Creat New”

Name: Access_FULL_INTERNET
Type: Firewall
Remote authentication server, clique em “Add”
Veja na lista que aparecerá o servidor que configuramos em LDAP SERVER o “SRV-DC01”
Group Name: Vamos especificar o grupo que terá o acesso, para isso abra o “ADSIEDIT” em seu AD e navegue até o grupo “ACESS_FULL_INTERNET” que criamos no inicio.
Botão direito em cima do grupo/propriedades

Navegue até “distinguishedName”, copie o valor

CN=ACCESS_FULL_INTERNET,OU=GROUPS,OU=SAO_PAULO,OU=BRAZIL,DC=glbx,DC=local

E cole em “Specify”, clique ok

Grupo criado

Agora vamos fazer a mesma coisa para o grupo “ACCESS_RESTRICT_INTERNET”

Pronto, agora temos dois grupos criado

Agora vamos criar as regras no firewall

No firewall clique em “POLICY” “Creat New”

Vamos a 1º etapa

Policy Type: Firewall
Policy Subtype: User identity
Incoming Interface: port1 (LAN)
Source Address neste exemplo utilizamos nossa rede internet, com objeto no firewall devidamente criado
Outgoing Interface: port3 (WAN1)
Enable NAT: Habilite

Agora vamos a segunda etapa

Em “configure Authentication Rules” “Creat New”

Destination Address: all (pois este grupos tem acesso FULL a internet
Group: vamos escolher o grupo “Access_FULL_INTERNET”
User: como o acesso não será por usuário, vamos deixa em “Click to add…”
Schedule” always
Service: all
Action: ACCEPT
Log Allower Traffic: Habilite
Generate Logs when Session Starts: Deixe habilitado
Clique em ok

Temos o acesso do grupo “ACCESS_FULL_INTERNET” criado

Agora vamos a terceira etapa

Vamos criar o acesso para o grupo “ACCESS_RESTRICT_INTERNET”
Creat New

Destination Address: Como este Grupo possui acesso restrito a internet, para este exemplo criei um grupo de objetos chamado “Portais” onde somente possui acesso aos seguintes sites “www.uol.com.br” “www.terra.com.br” “www.ig.com.br”
Group: ACCESS_RESTRICT_INTERNET
User: Click to add…
Schedule: always
Service: Como este grupo possui acesso restrito a internet liberaremos apenas os protocolos “HTTP” e “HTTPS”
Action: ACCEPT
Log Allowed traffic: Deixe habilitado
Generate Logs when Session Starts: Deixe habilitado
Traffic Shapping: Como é um grupo restrito vamos habilitar e escolher o perfil 100kbps
Clique ok

Agora temos os dois grupos com acesso

Vamos deixar habilitado a opção “Disclaimer”

Com está opção habilitada será exibida na tela do navegador

Onde diz resumidamente que a internet é uma zona livre e que este provedor de internet não é responsável pelo conteúdo.

Pronto nossa politica está criada

Agora vamos ver se está funcionando.
Vamos abrir o navegador e ver o que acontece

Veja a mensagem na tela

Se clicarmos em “No, I decline”

Teremos está mensagem

Agora vamos aceitar e clicar em “Yes, I agree

Agora vemos a tela de autenticação

Vamos acessar com o usuário “csantana”

Será exibida um tela de redirecionamento

Agora vemos o site normalmente

E temos acesso a qualquer site

E olhando em nosso firewall em User & Device, Monitor, Firewall vemos nosso usuário “csantana” conectado

Agora vamos testar com o usuário “vpmonteiro”

A tela de redirecionamento é exibida após a autenticação

Porém só temos acesso as seguintes sites “www.uol.com.br” “www.ig.com.br” “www.terra.com.br”

Ao tentar acessar www.folha.com.br

Nosso usuário “vpmonteiro” está autenticado

Vamos acessar um site permitido

Lembrando que neste site só é permitido o conteúdo dentro de “www.uol.com.br

Seja Feliz!!!

Limitando banda de internet Fortinet Traffic Shaper Bandwidth Fortinet

Vamos diminuir o limite de banda para acesso a internet

Neste exemplo vamos aplicar o limite de banda para todo o trafego de internet

No Fortinet vamos em “Firewall Objects”, “traffic shaper”, “Shared”

“Creat new”

Name: Limite de Banda 200kbps
Apply Shaper: Per Policy
Traffic Priority: Low
Maximum bandwidth: 200 (O Maximo que pode chegar)
Guaranteed Bandwidth: 100 (O Mínimo que possui)

O limite foi criado

Mais ainda não está funcionando pois não vinculamos a nenhuma regra de acesso a internet, veja que testamos fazendo download do WordPress que conseguimos um velocidade de 981 KB/Sec

Vamos ver agora o mesmo download com a regra aplicada.

Vamos vincular o limite de banda a regra de acesso a internet

Em “Policy”, Policy, vamos editar a regra de acesso a internet

Em “UTM Security Profiles”, habilite:

Traffic Shaping
Shared traffic Shaper e escolhe o perfil que criamos “Limite de banda 200kbps”

A regra de limite de banda está criada, vamos ver o resultado fazendo o mesmo download do WordPress.

Bloqueando arquivos executáveis para download e execução pelo navegador utilizando fortinet

Vamos bloquear o download de arquivos “.exe” pelo navegador

Acesso o Fortinet

Data Leak Prevention, File Filter

New File Filter Table

Name: Bloqueio .exe

Agora em “Creat New”

Filter Type: Escolha “File Type”
File Type: Escolha “Executable (exe)

APPLY

Filtro criado

Agora vamos em Sensor, em UTM Security Profiles, Sensor

Vamos criar um novo Perfil

Clique no sinal de “+”

Name: vamos dar um nome para o perfil, neste exemplo “Bloqueio .exe”

Agora em “Creat New”

Filter: Escolha “Files”
Filter Type included in “Bloqueio .exe” o que criamos em File Filter”
Examine the following Services: Vamos deixar somente “HTTP”
Action: Block
OK

APPLY

Teremos este:

O Perfil para bloquear arquivos .exe está criado, porém ainda não está funcionando pois não vinculamos ele a uma regra de acesso a internet em policy.

Ao acessar a URL “http://download.skype.com/bf94b0508d33d968c9200839f080e127/partner/59/SkypeSetupFull.exe”

Conseguimos fazer o download do Skype normalmente

Agora vamos aplicar o filtro de bloqueio .exe na regra de acesso a internet

Vamos em “Policy” – Policy

EM “UTM Security Profiles” vamos habilitar “DLP Sensor” e escolher o perfil que criamos “Bloqueio .exe”

OK, pronto agora qualquer download ou execução de arquivos .exe pelo navegador será bloqueada.

Podemos em Monitor

Bloqueando acesso ao aplicativo Skype com Fortinet

Vamos bloquear o Skype utilizando o Fortinet em nossa organização.

Acesse o firewall, UTM Security Profiles

Vamos criar um novo profile, clique no sinal de + do lado esquerdo

New Application Control List

Name: Skype Blocked

“Creat New”

Deixe somente marcado “Category” – “P2P” – “Popilarity” – “Technology” – “Browser-based” – “Peer-to-Peer” – “Risk” – “Excessiver-Bandwaidth”

Na caixa de pesquisa digite “Skype”

Seleciona “Skype”, em “Action” e clique em “Block”

Veja que foi criar a regra de bloqueio de aplicação

APPLY

Ainda não está funcionando pois não vinculamos o perfil a regra de acesso a internet, o Skype ainda está funcionando.

Agora vamos vincular o perfil de bloqueio do skype a regra de acesso a internet

Em “Policy”, Policy

Vamos na regra de acesso a internet

Em “UTM Security Profiles” habilite “Application Control” e escolha o perfil que criamos “Skype Blocked”

A regra já está funcionando.

Agora o Skype não conecta

Vamos ver os LOGS do fortinet

Em “UTM Security Profiles”, Monitor, Application Monitor

O site do Skype conecta normalmente, pois não bloqueamos a URL nem a categoria.

Alterando mensagem de bloqueio de sites específicos Fortinet

Vamos alterar a mensagem de bloqueio de sites específicos do Fortinet, neste exemplo vamos colocar uma mensagem mais amigável para o usuário.

No fortinet, System, Config, Replace Message:

Escolha do lado direito “URL Block Page”

Ao selecionar a mensagem acima, você verá esta mensagem padrão:

Vamos editar o código fonte (você poderá usar qualquer editor de HTML ou editor de texto)

Está é a mensagem padrão

Este é o código fonte

==================================================================

<!DOCTYPE html PUBLIC “-//W3C//DTD HTML 4.01//EN”>
<html>
<head>
<meta http-equiv=”Content-Type” content=”text/html; charset=UTF-8″>
<style type=”text/css”>
html,body{
height:100%;
padding:0;
margin:0;
}.oc{
display:table;
width:100%;
height:100%;
}.ic{
display:table-cell;
vertical-align:middle;
height:100%;
}div.msg{
display:block;
border:1px solid #30c;
padding:0;
width:500px;
font-family:helvetica,sans-serif;
margin:10px auto;
}h1{
font-weight:bold;
color:#fff;
font-size:14px;
margin:0;
padding:2px;
text-align:center;
background: #30c;
}p{
font-size:12px;
margin:15px auto;
width:75%;
font-family:helvetica,sans-serif;
text-align:left;
}
</style>
<title>
The URL you requested has been blocked
</title>
</head>
<body>
<div class=”oc”>
<div class=”ic”>
<div class=”msg”>
<h1>
The URL you requested has been blocked
</h1>
<p>
The page you have requested has been blocked, because the URL is banned.
<br />
<br />
URL = %%URL%%
<br />
%%OVERRIDE%%
</p>
</div>
</div>
</div>
</body>
</html>

===================================================================

Vamos editar agora

Alterei o titulo para:

<title>
Acesso a este site foi negado devido a politica de acesso a internet da organização SupportBrazil
</title>

===================================================================

Agora alteramos o titulo da mensagem que é exibida no navegador

<h1>
A página que tentou acessar está bloqueada de acordo com as politicas da organização SupportBrazil
</h1>
<p>

Agora vamos alterar a mensagem exibida

</h1>
<p>
A página que tentou acessar tem seu acesso bloqueado de acordo com a politica da organização SupportBrazil, se a página que está tentando acessar por favor crie um Ticket para equipe de TI informando a URL e motivo que ela deve ser desbloqueada para a organização ou entre em contato com o ramal 55555.<br />
<br />

Pronto veja como ficou o novo código fonte

==================================================================

<!DOCTYPE html PUBLIC “-//W3C//DTD HTML 4.01//EN”>
<html>
<head>
<meta http-equiv=”Content-Type” content=”text/html; charset=UTF-8″>
<style type=”text/css”>
html,body{
height:100%;
padding:0;
margin:0;
}.oc{
display:table;
width:100%;
height:100%;
}.ic{
display:table-cell;
vertical-align:middle;
height:100%;
}div.msg{
display:block;
border:1px solid #30c;
padding:0;
width:500px;
font-family:helvetica,sans-serif;
margin:10px auto;
}h1{
font-weight:bold;
color:#fff;
font-size:14px;
margin:0;
padding:2px;
text-align:center;
background: #30c;
}p{
font-size:12px;
margin:15px auto;
width:75%;
font-family:helvetica,sans-serif;
text-align:left;
}
</style>
<title>
Acesso a este site foi negado devido a politica de acesso a internet da organização SupportBrazil
</title>
</head>
<body>
<div class=”oc”>
<div class=”ic”>
<div class=”msg”>
<h1>
A página que tentou acessar está bloqueada de acordo com as politicas da organização SupportBrazil
</h1>
<p>
A página que tentou acessar tem seu acesso bloqueado de acordo com a politica da organização SupportBrazil, se a página que está tentando acessar por favor crie um Ticket para equipe de TI informando a URL e motivo que ela deve ser desbloqueada para a organização ou entre em contato com o ramal 55555.<br />
<br />
URL = %%URL%%
<br />
%%OVERRIDE%%
</p>
</div>
</div>
</div>
</body>
</html>

==================================================================

Agora copie este novo código fonte e cole no fortinet em:

Veja como ficou

Clique em “Salve”

Agora vamos ver como ficou a nova mensagem de bloqueio

Está era a mensagem antiga

Agora a nova mensagem

Bloqueando sites específicos Fortinet

Vamos bloquear alguns sites específicos manualmente, neste exemplo não iremos utilizar categorização WEB na Fortinet.

Vamos lá, em UTM Security Profiles

Web Filter, URL Filter, Creat New

Name: neste exemplo vamos utilizar “RESTRICT”

Agora em dentro de “RESTRICT” “Creat New”

URL: Neste exemplo vamos bloquear qualquer coisa .uol.com.br “*.uol.com.br”
Type: Wildcard (Utilizando esta opção, conseguimos bloquear *.domínio
Action: Block
Enable: Deixe habilitado.

Agora vamos vincular ao profile em web filter, neste exemplo iremos bloquear para toda empresa *.uol.com.br

Em Web Filter, Profile, Default, Advanced Filter, habilite a opção “Web URL Filter” “RESTRICT”

Apply

Agora vamos criar um regra de acesso a internet

Em “Policy”, Police, Creat New

Policy Type: Firewall
Policy Subtype: Address
Incoming Interface: port1 (LAN)
Source Address: all
Outgoing Interface: port3 (WAN2)
Destination Address: all
Schedule: always
Service: ALL
Action: ACCEPT
Enable NAT: Deixe habilitada
Log Allowed Traffic: Deixe habilitada esta opção

Em UTM Security Profiles, habilite “Web Filter”, deixe no modo “ON” selecione o “Default” em profile

Regra criada

Vamos fazer o teste e verificar se realmente está sendo bloqueado a URL que informamos.

Veja que o acesso a internet está normal

Agora vamos acessar o site www.uol.com.br

Agora vamos tentar acessar um site dentro do domínio uol.com.br, neste exemplo http://email.uol.com.br

O bloqueio ocorreu com sucesso.

Publicando SSH de forma segura com Fortinet (NAT)

Vamos fazer a publicação da porta 22 SSH para acessar a uma maquina Linux de forma segura passando pelo nosso Firewall Fortinet.

Temos este cenário: Maquina Debian 7 e Fortinet e uma range /25 de IP públicos (172.16.0.0/25) e uma range interna PRIVADA 10.10.10.0/24.
Em post anterior mostrei como publicar um WEB SERVER na porta 80 TCP, vamos utilizar a mesma linha e a mesma range de IP Públicos 172.16.0.1 – 172.16.0.126

Vamos acessar nosso firewall e começar a criação de objetos e regras.

Em Firewall Objects, clique em Address, Address, Creat New.

Name: Escolha um nome amigável ou o nome do servidor, neste exemplo DEBIAN-SSH
Color: A sua escolha
Subnet / IP Range: o IP do servidor DEBIAN 10.10.10.150
Interface: Porta1 (LAN) interface privada da rede
Show in Address Lits: deixe habilitada

Agora vamos criar o IP Pool, em Virtual IP, IP Pool

Create New

Name: PUBLIC_172_16_0_6
Type: Overload
External IP Range/Subnet
ARP Reply: Deixe habilitado
OK

Agora vamos criar o Virtual IP, em Virtual IP, Virtual IP, Creat New

Name: Port_22_SSH
Comments: Porta de acesso SSH
Color: a sua escolha
External Interface: neste exemplo “port3 (WAN2), pois nesta porta que está de cara na internet
Type: Static NAT
External IP Address/Range: 172.16.0.6 – 172.16.0.6 (Nosso IP Público)
Mapped IP Address/Range: 10.10.10.150 – 10.10.10.150
Port Forwarding: Deixe habilitada esta opção
Protocol: Vamos habilitar TCP
External Service Port: 22 – 22
Map to Port: 22 – 22

Agora vamos criar a regra de NAT de saída (OUT) para o servidor

Em policy

Creat New

Policy Type: Firewall
Policy Subtype: Address
Incoming Interface: port1 (LAN)
Source Address: DEBIAN-SSH (Nosso servidor já criado)
Outgoing Interface: port3 (WAN) nossa porta que está ligada na internet
Destination Address: All
Schedule: always
Service: SSH_Port_22 (neste exemplo escolhi somente a porta 22 para deixar mais seguro)
Action: ACCEPT
Enable Nat: Vamos deixar habilitada
Use Dynamic Pool: Public_172_16_0_6 (Nosso IP público)
Log Alloweb Traffic: vamos habilitar para LOGAR todo o trafico

Agora vamos criar a regra de NAT (IN) para acessar externo ao nosso servidor DEBIAN

Em policy, creat new

Policy Typer: Firewall
Policy Address: Address
Incoming Interface: port3(WAN) nossa porta ligada na internet
Source Address ALL, podemos também determinar que somente algumas redes ou somete um IP pode acessar, eu recomendo deixar especificado um RANGE ou IP para acessar, por exemplo se tem um parceiro que cuida deste servidor em sua empresa, peça ao parceiro fornecer seu IP Público de acesso a internet, ai podemos especificar que somente este IP pode acessar, lembrando que seu parceiro forneceu um IP Público Dinâmico (aquele que muda sempre que há um nova conexão) será necessário sempre alterar este IP em objetos>
Outgoing Interface: port1 (LAN)
Destination Address: Port_22_SSH (Criamos este objeto com o IP do Servidor DEBIAN e já com a porta SSH 22 configurada)
Schedule: always (podemos definir também um dia e horário com inicio e fim para acesso
Service: SSH_Port_22 (para deixar ainda mais seguro o acesso)
Action: ACCEPT
Log Allowed Traffic: Deixe habilitada para vermos os Trafico

Agora vamos testar a conexão com o PUTTY com o IP interno 10.10.10.150

Acessado com sucesso

Agora vamos acessar pelo IP Público 172.16.0.6

Agora conseguimos o acesso, veja a mensagem do certificado

Clicamos em “SIM”

Acessado com sucesso

	AVD (Azure Virtual D… em Autenticação FSS…
	Charles Aureliano Sa… em VPN IPSEC AWS e FORTIGATE…
	Alison Duarte em VPN IPSEC AWS e FORTIGATE…
	Charles Aureliano Sa… em VPN IPSEC AWS e FORTIGATE…
	Alison Duarte em VPN IPSEC AWS e FORTIGATE…

Charles Aureliano Santana

Cloud Computing | On Premises | Infraestrutura híbrida

Mês: maio 2014

Relay (Roteamento) Google Apps para Office 365 com novo domínio

Migrando Controlador de domínio 2003 para 2012 R2

Autenticação FSSO AGENT Fortinet

Autenticação LDAP Fortinet

Limitando banda de internet Fortinet Traffic Shaper Bandwidth Fortinet

Bloqueando arquivos executáveis para download e execução pelo navegador utilizando fortinet

Bloqueando acesso ao aplicativo Skype com Fortinet

Alterando mensagem de bloqueio de sites específicos Fortinet

Bloqueando sites específicos Fortinet

Publicando SSH de forma segura com Fortinet (NAT)

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso:

Compartilhe isso: