Blog Hardway

Conceitos para implementar um Proxy ( Squid )

2012-03-29T08:05:00.000-03:00

Introdução

Implementar um proxy em nível de aplicação para servidores pode trazer resultados muito bons. Contudo, alguns pontos podem ser afetados, como a segurança por exemplo. (SOMMERLAND, 2003) A existência de Padrões para a configuração de proxy Reverso pode ajudar o usuário a entender em quais ocasiões tais configurações devem ser usadas e como se aplicam ao Squid de modo a atender alguns requisitos.

O objetivo deste artigo é mostrar alguns destes padrões e apresentar formas de implementá-los dentro do Squid:

Protection Reverse proxy

O problema: Um firewall com filtro de pacotes simples não é o suficiente. Ataques frequentes costumam usar parâmetros grandes na requisição e a maioria dos firewalls trabalha apenas com pacotes em nível de rede, não dá para prever vulnerabilidades futuras e mudando o software do servidor Web é necessário adaptações nas extensões do sistema.

Figura 1: Esquema de rede da configuração padrão

O Padrão: O padrão do tipo Proteção propõe uma topologia de rede onde se tem servidores com as aplicações Web sendo colocadas atrás de um proxy reverso em conjunto com regras de entrada e saída de um firewall. Basta abrir a porta de entrada do firewall para escutar as requisições vindas da internet e abrir as portas de saídas do servidor proxy para comunicação com os servidores que possuam os serviços requisitados.

Figura 2: Diagrama de rede da configuração de Protection Reverse proxy

Implementação:

Planeje as configurações de rede e firewall.
Selecione uma plataforma de proxy Reverso.
Configure seu web server.
Configure a proteção do proxy Reverso (lista negra e branca).
Implementação (firewall, rede, IPs) .

Benefícios: Os servidores que possuam tais serviços não ficam abertos a ataques. Conhecendo as vulnerabilidades, o proxy pode ser alterado para filtrar estes “pontos fracos”. Apenas uma máquina necessita de monitoração e se comunica diretamente com a internet, porém, os servidores também devem possuir filtros restritivos.

Limitações: O filtro de lista negra só pode ser construído a partir de vulnerabilidades conhecidas. Quando um servidor é rearranjado com a adição de outros serviços, por exemplo, o filtro de lista branca pode tornar-se frágil o que pode gerar reconfigurações na lista ou até mesmo no próprio proxy. A latência pode ser afetada já que todo o fluxo de requisições deve passar pelo proxy. Toda a estrutura deve ser conhecida fazendo com que haja falta transparência. Se o proxy parar, todo acesso aos servidores torna-se impossível. E recomendável que haja um computador para o proxy e outro para o firewall.

Integration reverse proxy

O problema: A necessidade de implementar um website com vários servidores e plataformas, escondendo sua topologia dos usuários. Os links entre estes servidores devem funcionar independente da topologia de rede, a mudança de partes do website não podem quebrar os links, o uso de redundância e balanceamento de carga, além de um único certificado SSL .

Figura 3: Diagrama de rede da configuração

O Padrão : O padrão do tipo Integração propõe que o proxy reverso integre todos os webservers em um endereço comum, ou seja, o do próprio proxy. Neste caso, o proxy irá mapear os caminhos de cada Servidor específico, o que torna fácil a modificação de uma função já que a alteração no proxy é simples. Outra coisa interessante é que basta ter apenas um certificado SSL no proxy para o domínio Web.

O que mais atrai é a combinação integration protection reverse proxy: Aplicações de intranet podem ser facilmente implementadas depois do proxy, da mesma maneira, uma aplicação web externa pode ser integrada sem que os usuários saibam de sua natureza externa. Já na parte de segurança, os servidores podem operar em uma zona de rede separada da rede interna. É possível utilizar dois proxies reversos de integração sendo um para internet e outra para intranet, possibilitando que as funcionalidades dos servidores sejam disponibilizadas para ambas as redes.

Figura 4: Diagrama de rede da configuração de Integration Reverse proxy

Implementação:

Projete os nomes dos websites. Vários prefixos podem ser mapeados para a mesma máquina, mas é melhor que o mapeamento seja simples. Uma alternativa é criar hosts virtuais possibilitando que os Servidores possuam seus nomes reais.
Configure os servidores web. Tenha em vista o interesse em criar relações entre os servidores, caso necessite, de modo que eles não se refiram aos seus endereços de host interno.
Implementação de redundância nos servidores. Se houver alguma falha de hardware, software ou mesmo a instalação de um novo servidor, é possível prover uma redundância para outra máquina que implementa a mesma funcionalidade.
Implementação do balanceamento de carga. Existem muitas estratégias, mas a mais simples é passar as requisições entre os vários servidores que implementam a mesma funcionalidade. Em outros casos é possível usar coleta de estatísticas e etc.

Benefícios: Apenas um host externo é conhecido (exceto quando se usa hosts virtuais, externamente é necessário conhecer apenas o nome e o IP do proxy). A topologia dos servidores finais é escondida o que possibilita mudanças sem invalidar sua URL externa. Mesmo quando um servidor é movido para outro host, os links continuam a funcionar. Balanceamento de carga de servidores pelo próprio proxy reverso. Logs centralizados. Apenas um host é visto na internet o que economiza IPs, nomes de hosts e certificados SSL.

Limitações: O próprio proxy é um ponto de falha, mas pode ter um risco minimizado por redundância. Número limitado de conexões concorrentes. Servidores que usam sessões pode ser um problema. Testar aplicações individualmente é difícil.

front door

O problema: Algumas aplicações web precisam de identificação de usuário para controle de sessão. Com múltiplos servidores para variados serviços que necessitem deste recurso, a autenticação em cada um deles não seria eficaz. A necessidade de apenas uma autenticação que libere acesso a todas as aplicações, implementar politicas de inatividade para requisitar uma nova autenticação, ter diferentes regras de acesso para diferentes tipos de usuários e que apenas uma solução controle essas diferenças e a necessidade de uma nova autenticação caso o usuário encerre sua sessão.

Figura 5: Diagrama de rede da configuração apenas com Integration Reverse proxy

O Padrão: O front door é uma especialização de segurança para o integration reverse proxy dando suporte a autenticação de usuários e uso de sessões passando as autenticações a todos os servidores finais mantendo um log de toda a atividade dos usuários em apenas um lugar. O pattern atua como proxy reverso de proteção para as partes públicas do website. É necessário consolidar a identidade dos usuários de todos os servidores finais e armazenar seus perfis contendo sua identidade e permissões de acesso em um diretório único além de se ter um sistema de gestão para manipular estas informações. Um diretório muito usado atualmente é o LDAP.

Figura 6: Diagrama de rede da configuração de front door

Implementação:

Unificação dos perfis de usuário em um banco de dados, um LDAP é suficiente para armazenar Ids, senhas e direitos de acesso.
Defina a mecânica de autenticação. Biometria, certificados, id e senha ou qualquer outro tipo de autenticação pode ser implementada a qualquer momento se alteração dos aplicativos.
Se necessário, defina os esquemas de acesso, mapeando os usuários aos seus direitos de acesso para permissão de uso de serviços específicos.
Projete como a representação do usuário e sua sessão para serem passados como cabeçalho aos servidores finais. Pode-se especificar um nome em um campo no cabeçalho ou utilizar uma mecânica básica de autenticação por HTTP usando a identificação do usuário.
Projete e implemente como o front door controla as sessões do usuário. Um método muito utilizado é a implementação por cookies.
Projete e implemente um contexto de sessão para o front door. Os cookies podem ser usados para armazenar as sessões, mas por limitações de tamanho e segurança, é bom que o contexto das sessões seja armazenado nos servidores. Outra boa alternativa é armazená-las em memória, mas uma falha pode causar perdas.
Implemente uma “jarra de cookies”. Se o servidor final usar seu próprio cookie de sessão, o front door pode guardar esses cookies em seu próprio contexto de sessão e não passa-lo para o browser do usuário garantindo um logoff único.
Projete e implemente a página do portal e o login. A página do portal pode ser implementada pelo front door Logo após a realização do login, o portal consistirá em todos os serviços permitidos ao usuário logado além do link de logoff.

Benefícios: Único login e logoff, perfil único de usuário para todos os serviços possibilitando que os servidores fiquem livres para implementar autenticação ou não, login centralizado para monitoramento dos usuários.

Limitações: Utilizando aplicações que possuam seu próprio esquema de autenticação pode gerar inconsistência na sincronização com os dados presentes no esquema de autenticação do front door. Conflito de time-out entre o front door e a aplicação podem confundir o usuário. É necessário um aplicativo para gerar a centralização das identidades dos usuários. As senhas podem expirar nos servidores finais, o que pode levar a um conflito com os dados no front door (Você pode auto gerar novas senhas ou pedir que o usuário altere-a atualizando-a tanto no front door quanto no servidor)

Conclusões

Utilizar configurações de forma padronizada para o proxy reverso deve “economizar muita dor de cabeça”, pois traz a organização, em nível lógico, bem definida do papel de cada elemento da rede além de demonstrar as disposições destes elementos e como eles interagem.

Os padrões requerem estudo da topologia da rede e um planejamento bem feito da organização da topologia da rede, o que não é trivial, e sua implementação pode ser um pouco complicada, por exemplo, quando se tem muitos serviços integrados. Algumas empresas desconhecem até a própria configuração básica deste tipo de proxy.

DD-WRT e OpenWRT: Firmware alternativo

2011-08-30T19:18:00.000-03:00

Introdução

Diferente de muitos dos primeiros roteadores e pontos de acesso wireless (como o lendário Linksys WRT54G) que eram baseados em Linux, a grande maioria dos APs e roteadores atuais são baseados em sistemas proprietários como o VxWorks, desenvolvidos com o objetivo de cortar custos, permitindo que os fabricantes reduzam o volume de memória RAM e Flash e possam utilizar SoCs mais baratos.

Um bom exemplo dessa tendência é o que aconteceu com o próprio Linksys WRT54G. A primeira versão do roteador era baseada em um SoC Broadcom BCM4702 de 125 MHz, que foi atualizado para o BCM4712 operando a 200 MHz na versão 2.0. A sequência de upgrades continuou até o WRT54G v4.0, que manteve os 16 MB de memória RAM e 4 MB de memória Flash e rodava Linux, mas a partir do WRT54G v5.0 a Linksys estragou a linha, reduzindo para 8 MB de RAM e meros 2 MB de Flash e passando a usar o VxWorks. Não apenas estes modelos recentes eram mais fracos em relação ao hardware, mas também rodavam um sistema operacional menos robusto e ofereciam um desempenho inferior ao lidar com grandes volumes de tráfego. A versão com Linux foi posteriormente relançada na forma do WRT54GL, mas ele era consideravelmente mais caro devido ao pequeno volume de produção.

O lendário WRT54G

Ao mesmo tempo, surgiu uma grande segmentação dentro das linhas de produtos, com os aparelhos oferecendo apenas as funções relacionadas às funções às quais são destinados, muito embora o hardware suporte muito mais. Com isso, muitas vezes produtos dentro da mesma linha são diferenciados apenas pelo software, com o fabricante ativando ou desativando funções específicas dentro do firmware de acordo com o modelo.

É possível extrair bem mais funções do seu roteador usando um firmware alternativo, como oDD-WRT (www.dd-wrt.com), OpenWRT (http://www.openwrt.org/) ou o Tomato(www.polarcloud.com/tomato), que liberam este potencial oculto, fazendo com que mesmo modelos baratos e/ou antigos possam oferecer muitas funções encontradas apenas em modelos enterprise, como QoS e VPNs. Um bom exemplo é este velho Netgear WG602-v3:

Originalmente ele é um ponto de acesso bastante limitado, que se limita a oferecer as opções básicas e um suporte bem limitado à funções de bridge e repetidor baseadas no WDS, que funcionam apenas em conjunto com alguns modelos específicos da própria Netgear. Se você quiser usá-lo como um repetidor de um ponto de acesso de outra marca, ativar o QoS, firewall ou mesmo usar um mero servidor DHCP, vai ficar apenas na vontade. Como se não bastasse, o firmware possui um limite de 20 conexões simultâneas, uma pesada limitação até mesmo para algumas redes domésticas.

Instalando o DD-WRT, por outro lado, ele passa a oferecer funções muito mais completas, oferecendo desde um servidor DHCP com possibilidade de definir endereços estáticos para os clientes, até funções avançadas de controle de banda. Ele passa também a poder ser configurado como um repetidor, bridge ou cliente wireless universal, capaz de conversar com produtos de diferentes fabricantes.

Tanto o DD-WRT quanto o OpenWRT são sistemas Linux descendentes do firmware open-source do Netgear WRT54G, que foi liberado em 2003 sob a GPL (o OpenWRT surgiu quase que imediatamente depois que o código foi liberado, enquanto o DD-WRT surgiu como um fork do Sveasoft, um firmware comercial). Em ambos os casos, o objetivo inicial era oferecer suporte apenas aos derivados do WRT54G, mas com o tempo eles passaram a oferecer suporte a um número cada vez maior de modelos e a incluírem nova funções.

O Tomato por sua vez é um firmware mais simples, com foco na facilidade de uso. Ele também oferece suporte a QoS, controle de acesso e WDS, além de oferecer gráficos de uso de banda, permitir aumentar o número de conexões simultâneas (útil ao baixar torrents) e assim por diante. A grande limitação é que ele é compatível apenas com um pequeno número de modelos baseados em chipsets Broadcom, como o as variantes do WRT54G (G, GL, GS, TM, com exceção dos G e GS de fabricação recente, que possuem apenas 2 MB de Flash), Buffalo WHR-G54 e o Asus WL500GE, o que faz com que o uso seja muito mais restrito.

Apesar das origens em comum, o DD-WRT e o OpenWRT se diferenciam em diversos aspectos. De uma forma geral, o DD-WRT é mais amigável, com uma interface web mais consistente, uma base de dispositivos suportados fácil de pesquisar e um bom suporte através dos fóruns. O OpenWRT é desenvolvido sob uma filosofia mais "power-user", com uma ênfase maior na configuração através da linha de comando e melhor acesso aos arquivos de configuração e às entranhas do sistema, complementando as funções disponíveis na interface web. Ambos suportam a instalação de pacotes adicionais, mas o OpenWRT leva vantagem em relação à variedade de pacotes disponíveis. Por outro lado, o DD-WRT (na versão "micro") oferece compatibilidade com muitos APs low-end, com apenas 2 MB de memória Flash que são incompatíveis com o OpenWRT.

Instalando

Em ambos os casos, existem basicamente três formas de instalar o firmware: através da própria interface de administração do roteador, onde você simplesmente grava a imagem do DD-WRT ou OpenWRT, no lugar do firmware do fabricante (em alguns casos a atualização é feita em duas etapas, com uma imagem preparatória sendo gravada primeiro), usando algum utilitário do fabricante para gravar a imagem, ou via TFTP que é o método mais robusto e menos propenso a falhas.

Em ambos os casos, é recomendável fazer a atualização via cabo, com um PC conectado diretamente à porta LAN do roteador usando um cabo cross-over. É fortemente recomendável também que você faça um hard-reset no roteador antes de começar, restaurando as configurações de fábrica.

O DD-WRT é uma boa opção para começar, já que a página inclui um bom localizador de dispositivos suportados, com as instruções para cada um. De uma forma geral, aparelhos baseados em SoCs Broadcom são os melhor suportados, mas o suporte a modelos baseados em SoCs de outros fabricantes vem melhorando a cada nova versão.

Para começar, basta acessar o http://www.dd-wrt.com/site/support/router-database e fazer uma busca pelos primeiros 3 ou 4 caracteres do modelo. Ele retorna a lista com as possibilidades e as instruções de instalação para cada um.

O WG602-v3 por exemplo possui apenas 8 MB de RAM e 2 MB de Flash, o que faz com que ele seja compatível apenas com a versão "micro" do DD-WRT. Apesar do nome, esta é na verdade uma versão bastante completa, carecendo apenas do suporte a VPNs, SSH, Asterisk, gerenciamento de hotspots e algumas poucas outras funções. A versão "Micro_OLSRD" inclui suporte ao OLSR, um protocolo para a criação de redes mesh (similar às usadas com o OLPC), que podem ser uma boa opção para criar redes comunitárias cobrindo grandes espaços. Para alguns modelos é necessário obter uma ativação, que é a parte comercial do projeto. Elas custam US$ 19 para dez usuários, mas é possível obter uma ativação gratuita para uso pessoal.

O processo recomendado de gravação no caso do WG602-v3 é a gravação via TFTP, que é na realidade a mais simples. Comece dando um hard-reset no AP, pressionando o reset por 30 segundos e, sem largá-lo, desconectando o cabo de energia (os mais paranoicos podem repetir isso 3 vezes, o que é chamado de "30/30/30 reset" e garante sem sombra de dúvidas que ele é realizado perfeitamente). Quando ele voltar à vida, verifique se ele voltou mesmo às configurações default (ele usa o IP 196.168.0.227, user "admin" senha "password") e faça a gravação usando o tftp2.exe disponível no http://dd-wrt.com/wiki/index.php/TFTP_flash.

O TFTP é um protocolo simples de transferência de arquivos que é tipicamente usado em APs e roteadores com pouca memória para permitir o carregamento de arquivos, envio de logs e assim por diante. Antes de ser configurado o AP até mesmo aceita a gravação de firmware através dele, bastando com isso usar um cliente de TFTP em qualquer um dos PCs da rede.

No Windows XP o cliente TFTP vem ativado por default, enquanto no Windows 7 e Vista você precisa ativá-lo no "Painel de controle > Programas e recursos > Recursos do Windows" e marque o "Cliente TFTP". Feito isso, abra o tftp2.exe, forneça o endereço IP do modem recém resetado (deixe a senha em branco, indique o arquivo do firmware , coloque o número de tentativas em 50 (ou outro valor alto) e clique no "Upgrade":

No Linux você pode utilizar o comando "tftp", que é instalado através do pacote de mesmo nome. Para usá-lo, use o comando "tftp endereço_IP" e use os comandos "binary" (transmissão binária), "rexmt 1" (tentar de novo a cada 1 segundo) e timeout 60 (por 60 segundos), seguido do comando "put" e o nome do arquivo a transferir, como em:

$ tftp 192.168.0.227
> binary
> rexmt 1
> timeout 60
> put dd-wrt.v24_micro_generic.bin

Em ambos os casos, o cliente ficará em loop tentado fazer a gravação. Neste momento, reinicie o modem e ao acordar ele pegará uma das tentativas e a gravação começará. Se não der certo pela primeira vez, tente novamente: existe uma "janela" de atualização, que fica ativa apenas por alguns segundos cada vez que o modem é iniciado.

Outra forma de fazer isso é abrir uma janela do terminal e usar o comando "ping -t 192.168.0.227 -t" (ou apenas "ping 192.168.0.227") no Linux, o que fará com que o ping fique rodando continuamente. Ao reiniciar o AP, ele vai dar um "Destination Host Unreachable" e em seguida voltar a responder. No exato momento em que você volta a receber respostas, clique no "Upgrade" e você pegará a janela de atualização.

A atualização em si é rápida, mas é bom deixar o AP quieto por uns 10 minutos por garantia. Depois de concluída, reinicie o AP novamente e ele ressuscitará com o novo cérebro. O IP default do DD-WRT é 192.168.1.1, user "root, password "admin". Basca reconfigurar o PC para usar um endereço dentro da mesma faixa e começar a se familiarizar com as opções.

Para outros modems, o processo pode ser um pouco diferente, como no caso do Asus WL500G Premium V2. Ele é um roteador high-end, que possui 32 MB de RAM e 8 MB de Flash, abrindo diversas possibilidades em relação às versões do DD-WRT. Em vez de ficar restrito à versão micro, você pode ir direto para a versão Mega, que inclui todos os recursos suportados, além de, claro poder usar alguma das versões menores caso assim deseje:

O processo de instalação no WL500G é também um pouco diferente. Em vez de gravar diretamente o firmware via TFTP (o que também pode ser feito, mas é mais problemático nesse modelo) o procedimento recomendável é usar uma ferramenta da própria Asus, o "Asus Recovery Tool", para fazer a gravação, gravando primeiro uma imagem de preparação, a "dd-wrt.v24_mini_asus.trx" e gravar a imagem principal a partir dela.

Mais dicas

O DD-WRT, bem como o OpenWRT não estão restritos a roteadores antigos. Eles são também uma boa opção para estender os recursos de roteadores 802.11n recentes, principalmente para os casos em que o sistema oferecido pelo fabricante não oferece alguma opção importante para você.

Uma boa opção é o Netgear WNDR3700, que além de oferecer um hardware bastante poderoso, com um SoC de 680 MHz, 64 MB de RAM, 8 MB de Flash e transmissor wireless dual-band (2.4 e 5 GHz), ele é bem compatível com o DD-WRT:

A instalação é simples, consistindo apenas em gravar uma imagem de preparação e em seguida a imagem do DD-WRT usando a interface web, a partir de um PC conectado ao roteador através de uma das portas LAN.

O principal é sempre dar uma olhada nas instruções do localizador, que fornece as informações disponíveis sobre cada modelo, e fazer uma busca no fórum do projeto caso ele não inclua instruções para o modelo que estiver em mãos. Em caso de problemas, você pode quase sempre regravar a imagem do firmware do fabricante (ou o próprio DD-WRT) via TFTP, seja usando o tftp2.exe ou uma ferramenta do fabricante (como no caso dos modelos da Asus). Similar ao que temos no caso de um PC configurado para dar boot via rede (que depende apenas do BIOS para a função), o sistema de boot via TFTP funciona mesmo que o firmware principal esteja corrompido ou incompleto.

Caso a instalação seja bem-sucedida mas você não consiga se entender com o firmware alternativo, você pode sempre voltar para o firmware original, baixando a versão mais atual a partir do site do fabricante e regravando-a através da própria interface de administração do DD-WRT, no "Administration > Firmware Upgrade".

Concluindo, o DD-WRT possui também uma versão x86, que permite converter PCs com placas de rede compatíveis em roteadores bastante poderosos. Via de regra, roteadores de consumo possuem quantidades muito limitadas de memória e acabam ficando logo sobrecarregados ao receberem muitas requisições simultâneas, mesmo que rodando um sistema mais robusto como no caso do DD-WRT. Um PC por outro lado possui não apenas muito mais memória, mas também mais processamento, o que permite que mesmo um PC com 5 anos de idade ou mais possa substituir um roteador enterprise muito mais caro. Esta versão é fornecida na forma de uma imagem de disco e pode ser instalada rapidamente a partir de uma distribuição Linux live-CD.

Windows Server 2008 - Parte II - Domínio, DNS e DHCP

2011-06-02T10:53:00.000-03:00

Introdução

O Microsoft Active Directory fornece a estrutura para centralizar a administração de rede e armazenar informações sobre recursos de rede em todo o domínio. Controladores de Domínio do Active Directory são usados para manter esse armazenamento centralizado disponível para os usuários da rede. O Windows 2008 Server traz algumas diferenças no modo de configuração, agora instalamos Roles (Função) no servidor, este artigo irá demonstrar como instalar a Função AD DS (Serviço de Domínio do Active Directory) junto com as Funções de DNS e DHCP, para atender as necessidades uma rede pequeno porte.

Antes de começar vamos definir alguns itens:

O FQDN do nosso domínio será: babooforum.local

Nome do Servidor: Server2008

IP do Servidor: 192.168.0.1

Subnet: 192.168.0.1 255.255.255.0

Default Gateway: 192.168.0.254

DNS Primário: 192.168.0.1

Sufixo DNS da conexão: babooforum.local

Configurando a Função AD DS

Clique em Iniciar e selecione Ferramentas Administrativas e clique em Gerenciador de Servidores.

Em Funções, clique em Adicionar Funções.

Se necessário, revise as informações da página Antes de Começar e clique em Próximo.

Na página Selecionar Funções do Servidor, clique na caixa de seleção Serviços de Domínio Active Directory e clique em Próximo.

Se necessário, revise as informações da página Serviços de Domínio Active Directory e clique em Próximo.

Na página Confirme as Seleções de Instalação, clique em Instalar.

A primeira etapa da instalação será iniciada.

Na página Resultados da Instalação, clique em “Feche este assistente e inicie o Assistente de Instalação de Serviços de Domínio Active Directory (dcpromo.exe).”

Na página Assistente de Instalação dos Serviços de Domínio Active Directory, clique em Avançar.

“Se você marcar a caixa de seleção Usar a instalação em modo avançado, o assistente exibirá a página Nome NetBIOS do Domínio, onde você poderá alterar o nome NetBIOS gerado, por padrão, pelo assistente. Vamos marcar essa opção somente para demonstração, pois iremos utilizar o NetBios gerado pelo sistema.“

Se necessário, revise as informações da página Compatibilidade de Sistema Operacional e clique em Avançar.

Na página Escolher uma Configuração de Implantação, clique em Criar um novo domínio em uma nova floresta e clique em Avançar.

Na página Nomear o Domínio Raiz da Floresta, digite o nome DNS completo do domínio raiz da floresta, no nosso caso é hardway.local, e clique em Avançar.

Nesta pagina podemos definir um NetBios diferente do gerado pelo sistema para o nosso domínio, mas vamos utilizar o padrão.

Na página Definir Nível Funcional da Floresta, selecione o nível funcional de floresta que acomoda os controladores de domínio a serem instalados em qualquer lugar da Floresta; em seguida, clique em Avançar. Como teremos somente controladores de domínio Windows 2008 Server, utilizaremos o nivel funcional Windows 2008 Server, após selecionar clique em Avançar.

Na página Opções Adicionais de Controlador de Domínio, a opção Servidor DNS está selecionada por padrão, portanto, a infra-estrutura DNS da sua floresta pode ser criada durante a instalação do AD DS. Se quiser usar o DNS integrado ao Active Directory, clique em Avançar. Se tiver uma infraestrutura DNS existente e não quiser que este controlador de domínio seja um servidor DNS, desmarque a caixa de seleção Servidor DNS e clique em Avançar.

Na tela tela de alerta selecione Não. “Esta tela aperece porque o Windows 2008 Server atribui automaticamente um endereço IPv6 à uma interface de rede”

Se o assistente não puder criar uma delegação para o servidor DNS, uma mensagem será exibida para indicar que você pode criar a delegação manualmente. Para continuar, clique em Sim.

Na página Local de Banco de Dados, Arquivos de Log e SYSVOL, digite ou procure as localizações de volume e pasta do arquivo de banco de dados, dos arquivos de log do serviço de diretório e dos arquivos SYSVOL; em seguida, clique em Avançar.

“O Windows Server Backup faz o backup do serviço de diretório por volume. Para backups e recuperações eficientes, armazene esses arquivos em volumes separados e que não contenham aplicativos nem outros arquivos que não sejam de diretório.”

Na página Senha do Administrador do Modo de Restauração dos Serviços de Diretório, digite e confirme a senha do modo de restauração; em seguida, clique em Avançar. Esta senha deve ser usada para iniciar o modo de restauração de serviços de diretório do AD DS para as tarefas que precisam ser executadas em modo offline.

Na página Resumo, revise suas seleções. Clique em Voltar para alterar qualquer seleção, se necessário. Para salvar as configurações selecionadas para um arquivo de resposta a ser usado para automatizar operações subseqüentes do AD DS, clique em Exportar configurações. Digite o nome do arquivo de resposta e clique em Salvar.Quando tiver certeza de que suas seleções são precisas, clique em Avançar para instalar o AD DS.

A instalação das Funções AD DS e DNS será iniciada.

Você pode marcar a caixa de seleção Reinicializar ao concluir, para que o servidor seja reiniciado automaticamente, ou pode reiniciar o servidor para concluir a instalação do AD DS quando for solicitado a fazer isso.

A instalação será concluída e o sistema reiniciado

Configurando a Função DNS

Após o reinicio do sistema abra o Gerenciador DNS, clique em iniciar e clique em DNS.

Verifique se as Zonas de pesquisa direta _msdcs.hardway.local e hardway.local foram criadas, essas zonas são essenciais para o bom funcionamento do Active Directory.

O conteúdo da zona _msdcs.hardway.local deve ser semelhante a este.

O conteúdo da zona hardway.local deve ser semelhante a este.

Agora clique com o botão direito do mouse em Zonas de pesquisa inversa e clique em Nova zona.

Na pagina Bem-vindo ao ‘Assistente de nova zona’ clique em avançar.

Na pagina tipo de zona selecione zona primaria e clique em Avançar.

Na pagina escopo da replicação de zona do active directory selecione para todos os servidores DNS neste domínio.

Na pagina nome da zona de pesquisa inversa selecione zona de pesquisa inversa IPv4.

Informe o endereço IP 192.168.0 para a zona e clique em avançar.

Na pagina atualização dinâmica selecione permitir apenas atualizações dinâmica seguras e clique em Avançar.

Na pagina concluindo o assisnte de nova zona clique em Concluir.

O conteúdo da zona de pesquisa inversa 192.168.0 deve ser semelhante e este.

Clique com o botão direito no servidor Server2008 e selecione propriedades.

Selecione a aba Encaminhadores e clique em Editar.

Forneça o IP do servidor DNS do seu ISP ou um que preferir, uma lista de servidores DNS do Brasil pode ser vista aqui. Após inserir o Encaminhador clique em OK.

Adicionando e Configurando a Função DHCP

Clique em Iniciar e selecione Ferramentas Administrativas e clique em Gerenciador de Servidores.

Em Funções, clique em Adicionar Funções.

Se necessário, revise as informações da página Antes de Começar e clique em Próximo.

Na tela selecionar funções do servidor clique em Servidor DHCP.

Se necessário, revise as informações da página Servidor DHCP e clique em Próximo.

Se necessário, revise as informações da página Selecionar Ligações de Conexão de Rede e clique em Próximo.

Se necessário, revise as informações da página Especificar Configurações de Servidor DNS IPv4 e clique em Próximo.

Na pagina Especificar Configurações de Servidor IPv4 WINS, aqui você encontra informações sobre quando utilizar o WINS, clique em Próximo.

Na pagina Adicionar ou Editar Escopos DHCP clique em Adicionar…

Na tela Adicionar escopos forneça os dados necessários e clique em OK.

De volta a pagina Adicionar ou Editar Escopos DHCP clique em Próximo.

Na pagina Configurar o Modo Sem Monitoração do Estado do DHCPv6 selecione Desabilitar o modo sem monitoração do estado DHCPv6 para este servidor e clique em Próximo.

Se necessário, revise as informações da página Autorizar Servidor DHCP e clique em Próximo.

Se necessário, revise as informações da página Confirmar Seleção da Instalação e clique em Instalar.

A instalação será iniciada.

Se necessário, revise as informações da página Resultados da Instalação e clique em Fechar.

Agora clique em Iniciar Ferramentas Administrativas e repare que as principais ferramentas para administração do Active Directory já estão disponíveis.

Para iniciar os trabalho abra Usuarios e computadores do Active Directory e comece a criar as contas de usuários do seu domínio.