Mini-Projecto · Configurar a rede de uma nova filial
Contexto
A empresa "Norteinfo, Lda." vai abrir uma nova filial, com um escritório de 15 postos de trabalho, um servidor local e ligação à Internet por fibra. A filial precisa de ficar com uma rede completamente configurada antes da mudança: protocolos corretamente atribuídos em cada posto de trabalho, um domínio próprio com utilizadores e grupos, encaminhamento entre a rede de postos de trabalho e a rede de servidores, e os serviços da Internet que a filial vai expor (um pequeno site interno de apoio e um servidor de correio eletrónico ligado ao domínio da empresa).
Foste destacado/a como técnico/a de redes responsável por preparar esta filial do zero: da atribuição do endereçamento IP à publicação do site interno em HTTPS, passando pela instalação do domínio, pela criação de utilizadores e grupos, e pelo cumprimento do RGPD e das normas de instalação.
Trabalhas individualmente ou a pares, com acesso a máquinas virtuais ou equipamento de laboratório (um servidor com Windows Server, postos de trabalho clientes, um router/switch configurável), e entregas a configuração completa mais um pequeno dossiê técnico (mapa lógico da rede, decisões de configuração e registo de testes).
Nota sobre o nome de domínio. O domínio interno do Active Directory da filial (por exemplo, norteinfo.local) é um espaço de nomes que nunca sai da rede da empresa, e é diferente do domínio público da empresa (norteinfo.pt), usado no site institucional e no correio eletrónico. O sufixo .local funciona bem num laboratório, mas está reservado para a resolução de nomes mDNS (RFC 6762) e a Microsoft desaconselha o seu uso; em produção, usa-se antes um subdomínio de um domínio que a organização realmente possua, por exemplo ad.norteinfo.pt, ou o sufixo .internal.
Requisitos
Funcionais
- Dividir o bloco
192.168.50.0/24, atribuído à filial, em duas sub-redes: uma para os postos de trabalho e outra para os servidores. - Configurar os parâmetros dos protocolos de rede em, pelo menos, três postos de trabalho (endereço, máscara, gateway e DNS), de forma estática ou por DHCP.
- Configurar o encaminhamento entre as duas sub-redes, com o encaminhamento IPv4 ativado.
- Instalar o AD DS e criar o domínio da filial, com pelo menos duas unidades organizacionais, os respetivos grupos e no mínimo seis utilizadores.
- Instalar e configurar um servidor DHCP para a sub-rede dos postos de trabalho.
- Configurar um servidor Web interno, com um certificado SSL/TLS e um registo DNS próprio.
- Configurar um servidor de correio eletrónico (ou um relay SMTP) associado ao domínio, com o registo MX correspondente e o relay corretamente restringido.
- Publicar o servidor Web e o servidor de correio para a Internet, com regras de DNAT (port forwarding) no router/firewall e as respetivas permissões de encaminhamento.
Não-funcionais
- Documentação: mapa lógico da rede com as duas sub-redes, endereços atribuídos e nomes de domínio.
- Aplicação dos princípios do RGPD na criação e gestão das contas de utilizador.
- Cumprimento das normas e regulamentos de instalação e segurança na configuração do laboratório.
- Testes registados de cada serviço configurado (comandos usados e resultado obtido).
Fases
Fase 1 · Planeamento do endereçamento (2h)
Dividir o bloco 192.168.50.0/24 em duas sub-redes (postos de trabalho e servidores), calculando endereço de rede, gama de anfitriões e difusão de cada uma; desenhar o mapa lógico da filial.
Fase 2 · Configurar os parâmetros dos protocolos de rede (3h)
Atribuir, a pelo menos três postos de trabalho, os quatro parâmetros essenciais (endereço, máscara, gateway, DNS), de forma estática nos servidores e por DHCP nos restantes postos; verificar com ipconfig, ping e nslookup.
Fase 3 · Configurar o encaminhamento (2h)
Definir as rotas entre a sub-rede de postos de trabalho e a sub-rede de servidores; ativar o encaminhamento IPv4 no router ou servidor com várias interfaces; confirmar com ping e tracert entre as duas sub-redes.
Fase 4 · Configurar os serviços de rede: domínio, grupos e utilizadores (4h) Instalar o AD DS e promover o servidor a controlador de domínio; criar as unidades organizacionais, os grupos e os utilizadores; instalar e configurar o servidor DHCP para a sub-rede de postos de trabalho.
Fase 5 · Aplicar o RGPD à gestão de utilizadores (2h) Definir e documentar a política de contas (criação, permissões por grupo, desativação na saída), aplicando os princípios de minimização e de limitação da conservação estudados na UC.
Fase 6 · Configurar os serviços da Internet (5h) Instalar e configurar o servidor Web, com o respetivo registo DNS e certificado SSL/TLS; configurar o servidor ou relay de correio eletrónico, com o registo MX e o relay restringido; publicar os dois serviços com regras de DNAT (port forwarding) no router/firewall; testar ambos os serviços a partir de um posto de trabalho da filial e, se possível, a partir de fora da rede.
Fase 7 · Testes finais e dossiê (2h) Rever a checklist final de instalação; reunir o mapa lógico, os registos de teste e as decisões de configuração no dossiê técnico; apresentar o trabalho à turma.
Critérios de avaliação
| Critério | Peso |
|---|---|
| Planeamento do endereçamento e divisão em sub-redes | 15% |
| Configuração dos parâmetros dos protocolos de rede | 15% |
| Encaminhamento entre sub-redes | 10% |
| Serviços de rede: domínio, grupos e utilizadores | 20% |
| RGPD e política de gestão de utilizadores | 10% |
| Serviços da Internet: Web, DNS, correio e SSL/TLS | 20% |
| Dossiê técnico e apresentação | 10% |
Erros comuns
- Dividir mal o bloco de endereços, sobrepondo a gama dos postos de trabalho com a dos servidores.
- Esquecer o gateway ou os servidores DNS ao configurar um posto de trabalho, deixando-o sem acesso à Internet ou sem resolução de nomes.
- Configurar as rotas mas esquecer de ativar o encaminhamento IPv4.
- Atribuir permissões diretamente a utilizadores em vez de a grupos.
- Não desativar as contas de teste criadas durante o projeto no final do trabalho.
- Publicar os serviços da Internet sem regras de DNAT nem as correspondentes permissões de encaminhamento na firewall, deixando-os inacessíveis a partir de fora da rede da filial.
- Deixar o servidor de correio sem restrição de relay, arriscando um relay aberto.
- Publicar o site interno com um certificado autoassinado sem o registar como confiável nos postos de trabalho, gerando avisos desnecessários.
- Esquecer o registo MX, impedindo que o correio chegue ao domínio da filial.
- Não testar cada serviço configurado, entregando o trabalho "por acreditar que funciona".
Bónus (opcional)
- Configurar uma VLAN dedicada e uma segunda sub-rede /25 adicional para uma rede de visitantes, com uma porta de acesso própria no switch para o ponto de acesso Wi-Fi dos visitantes, uma porta trunk com etiquetagem 802.1Q até ao router (ou switch de camada 3), e uma regra de firewall que bloqueie explicitamente o tráfego dessa VLAN para as restantes redes da filial, permitindo apenas a saída para a Internet.
- Aplicar uma política de grupo (GPO) que force o bloqueio automático do ecrã ao fim de alguns minutos de inatividade.
- Configurar um servidor FTP interno com isolamento de utilizador para partilha de ficheiros com um fornecedor.
- Documentar um procedimento de resposta a uma eventual violação de dados, incluindo o prazo de notificação à CNPD.
Reflexão
No dossiê final, responde: porque é que a divisão em duas sub-redes (postos de trabalho e servidores), em vez de uma única rede plana, torna esta filial mais fácil de gerir e mais segura? E descreve um problema que tenhas encontrado durante a configuração (de endereçamento, de encaminhamento ou de um serviço) e como o resolveste, ligando a solução ao parâmetro ou à configuração concreta que estava em falta.