4:20 p.m.
El 28/8/19 a las 15:53, Rommel Rodriguez Toirac escribió:
El miércoles, 28 de agosto de 2019 15:40:14 CDT Arian Molina Aguilera
escribieron:
> El 28/8/19 a las 12:03, Ulises Gonzalez Horta escribió:
>> On 2019-08-28 10:55, Rommel Rodriguez Toirac wrote:
>>> Mis saludos;
>>> utilizo dos contenedores de Proxmox 5.4 para los servicios de squid y
>>> samba4
>>> (como Controlador de dominio Directorio Activo con bind9_dlz para DNS).
>>> El contenedor donde está instalado squid pertenece a un Proxmox que
>>> está en
>>> una DMZ y el contenedor donde está instalado samba4 pertenece a un
>>> Proxmox de
>>> mi red interna. Los usuarios que utilizan squid pertenecen lo mismo
>>> que a la
>>> oficina provincial como a los municipios, es decir, mi red interna y
>>> a redes
>>> externas.
>>> Hasta ahora la autenticación que tengo en squid es utilizando el
>>> esquema
>>> Básico. Quisiera cambiar a otro tipo de autenticación; por ejemplo a
>>> NTLM.
>>> Esta autenticación sería utilizando el servicio samba4; que como ya
>>> digo, ese
>>> servidor está en mi red interna.
>>> Si uno de los propósitos de tener la red configurada con una DMZ es
>>> para
>>> independizar o aislar los servicios a los que cualquiera va a acceder
>>> de tu
>>> red interna; ¿como quedaría ahora que otros fuera de mi red interna (los
>>> usuarios de los municipios) van a acceder al servidor samba4?
>>> ¿será recomendable mover el servicio samba4 para la DMZ?
>>> ¿será recomendable filtrar los puerto utilizado por DNS y samba4 y
>>> dejarlos
>>> pasar a mi servidor samba4 en mi red interna cuando se haga el
>>> proceso de
>>> autenticación de squid?
>>> ¿qué recomendación me pueden dar al respecto?
>> Si tanto los usuarios tuyos como los de tus municipios necesitaran
>> Samba para autenticarse entonces SI, mueve samba4 para la DMZ y abre
>> en el firewall solo los puertos necesarios...
>>
>>
>> _______________________________________________
>> Gutl-l mailing list -- gutl-l(a)listas.jovenclub.cu
>> To unsubscribe send an email to gutl-l-leave(a)listas.jovenclub.cu
> aquí el tema esta en que todos los clientes deben estar unido y
> pertenecer al dominio, luego filtrar por el firewall solo los puertos
> necesarios para samba4 y dns, y por ultimo no usar ntlm en la
> autenticación, sino usar autenticación kerberos. y listo. Así lo tengo
> yo en todo el país, así sea una pc en santiago de cuba por adsl, esta
> unida y controlada por el dominio en Samba4, y la autenticación para los
> clientes unidos al dominio es kerberos, si no esta unido al dominio solo
> podrías usal basic con ldap por ejemplo.
Mas o menos a ver si entiendo... por que estoy un poco extraviado:
Los usuarios de la red de la oficina provincial, como es lógico, todos
pertenecen al dominio gtm.onat.gob.cu que es el dominio del servidor samba4
(con estos no tengo problemas ni dudas). Ahora con el cambio que se hará
(pasar el servidor samba4 para la DMZ y utilizar otro tipo de autenticación
para squid) los usuarios de los municipios (por ejemplo digamos Baracoa que
tiene dominio bca.gtm.onat.gob.cu) y van a autenticarse para utilizar el squid
para la navegación ¿deben pertenecer al dominio gtm.onat.gob.cu también?
¿Podrías explicarme un poco mas despacio a ver si entiendo mejor o bien
sugerirme alguna documentación?
Ahí si estas enredado completamente, por tener subdominios, para eso
tendrías que tener controladores de dominio hijos en el bosque del
directorio activo, es decir los subdominios estar unidos a tu
controlador de dominio principal. Porque todo eso es distinto y no
puedes mezclar las cosas, una es el dominio para que pueda fluir y
funcionar kerberos, y la otra distinta pero relacionada es emplear
autenticación kerberos o ntlm en el squid, el cual ese proxy solo estará
unido al dominio principal o padre, no en los subdominios de los
municipios. yo no hago eso a mi me da lo mismo que sean municipios o
provincias, solo creo un solo dominio a nivel nacional al que están
unidas todas las pc de mi lan sean por ethernet porque son locales, o
adsl por que están en guantanamo. Pero tener todo eso subdivididos en
subdominio, es complicarte la vida, para al finar darle servicio a 4
gatos. Ahí si el proxy es centralizado y solo tiene autenticación con el
dominio padre, debe existir un usuario para la autenticación de la
navegación de cada municipio, independientemente de en que dominio se
encuentre unida la estación de trabajo. Pero ahí estas embarcado para
utilizar kerberos o ntlm, el cual requiere que el cliente este unido al
dominio donde mismo esta unido el proxy. Tendrás que seguir usando
basic, aunque cambien o asegures tu controlador en una dmz.
--
Arian Molina Aguilera
Administrador de Redes y Servicios Telemáticos
Linux Usuario Registrado #392892
Telfs: +53(7)696-7510 ext 236
jabber: linuxcuba(a)teknik.io
Brascuba Cigarrillos S.A. La Habana. Cuba.
“Nunca consideres el estudio como una obligación,
sino como una oportunidad para penetrar en el bello
y maravilloso mundo del saber. Albert Einstein”