Como: Usar o IPSec para fornecer comunicação segura entre dois servidores

Faça logon no servidor de banco de dados como administrador.

Inicie o snap-in MMC (Console de Gerenciamento Microsoft) da Diretiva de Segurança Local a partir do grupo de programas Ferramentas Administrativas.

No painel à esquerda, clique com o botão direito do mouse em Diretivas de Segurança IP na Máquina Local e clique em Gerenciar listas de filtros IP e ações de filtro.
Você verá que duas listas de filtros já estão definidas para todo o tráfego ICMP e todo o tráfego IP.

Clique em Adicionar.

Na caixa de diálogo Lista de Filtros IP, digite Porta SQL no campo Nome.

Clique em Adicionar e clique em Avançar para sair da caixa de diálogo de boas-vindas do Assistente de Filtro IP.

Na caixa de diálogo Origem do Tráfego IP, marque Um Endereço IP Específico na lista suspensa Endereço de origem e digite o endereço IP do computador do servidor de aplicativos.

Clique em Avançar.

Na caixa de diálogo Destino do Tráfego IP, marque Um Endereço IP Específico na lista suspensa Endereço de destino e digite o endereço IP do computador do servidor de banco de dados.

Clique em Avançar.

Na caixa de diálogo Tipo de Protocolo IP, marque TCP como o tipo do protocolo e clique em Avançar.

Na caixa de diálogo Porta do Protocolo IP, marque De qualquer porta e, em seguida, Para esta porta. Digite 1433 como o número da porta.

Clique em Avançar e, em seguida, em Concluir para fechar o assistente.

Clique em Fechar para fechar a caixa de diálogo Lista de Filtros IP.

Clique na guia Gerenciar Ações de Filtro.
Observe que já estão estabelecidas várias ações predefinidas.

Clique em Adicionar para criar uma nova ação de filtro.
Nas próximas etapas, você criará uma ação de bloqueio que poderá ser usada para bloquear todas as comunicações dos computadores selecionados.

Clique em Avançar para ir à caixa de diálogo inicial do Assistente de Ação de Filtro.

No campo Nome, digite Bloquear e clique em Avançar.

Na caixa de diálogo Opções Gerais da Ação de Filtro, marque Bloquear e clique em Avançar.

Clique em Concluir para fechar o assistente.

Clique em Adicionar para reiniciar o Assistente da Ação de Filtro.
Nas próximas etapas, você criará uma ação de filtro para forçar o uso de criptografia entre computadores do servidor de aplicativos e do servidor de banco de dados.

Clique em Avançar para ir para a caixa de diálogo inicial do Assistente de Ação de Filtro.

No campo Nome, digite Requer Alta Segurança e clique em Avançar.

Marque Negociar segurança e clique em Avançar.

Marque Não se comunicar com computadores que não dêem suporte para segurança IP e clique em Avançar.

Marque Personalizado e clique em Configurações.

Verifique se a caixa de seleção Integridade e criptografia de dados (ESP) está marcada.

Marque SHA1 na lista suspensa Algoritmo de integridade.

Marque 3DES na lista suspensa Algoritmo de criptografia.

Marque as duas caixas de seleção no grupo Configurações de Chave de Sessão para gerar uma nova chave a cada 100.000 Kb e 3.600 segundos respectivamente.

Clique em OK para fechar a caixa de diálogo Configurações Personalizadas do Método de Segurança e clique em Avançar.

Marque a caixa de seleção Editar Propriedades e clique em Concluir.

Desmarque a caixa de seleção Aceitar comunicação não protegida, mas sempre responder usando o IPSec.

Marque a caixa de seleção Sigilo Total na Transferência de Chave da Sessão e clique em OK.

Clique em Fechar para fechar a caixa de diálogo Gerenciar listas de filtros IP e ações de filtro.

No painel à esquerda, clique com o botão direito do mouse em Diretivas de Segurança IP na Máquina Local e clique em Criar Diretiva de Segurança IP.

Clique em Avançar para ir para a caixa de diálogo inicial do Assistente de Diretiva de Segurança IP.

No campo Nome, digite Proteger SQL e clique em Avançar.

Desmarque a caixa de seleção Ativar a regra de resposta padrão e clique em Avançar.

Deixe a caixa de seleção Editar propriedades marcada e clique em Concluir.

Clique em Adicionar para iniciar o Assistente de Regra de Segurança.

Clique em Avançar para sair da caixa de diálogo inicial do Assistente de Regra de Segurança.

Clique em Esta regra não especifica um encapsulamento e clique em Avançar.

Clique em Todas as conexões de rede e clique em Avançar.

Clique em Usar esta seqüência para proteger a troca de chaves (chave pré-compartilhada).

Digite MySecret como uma chave "secreta" na caixa de texto.

Observação: Esta chave deve ser a mesma para os dois computadores para que eles se comuniquem com êxito. Você deve usar um número aleatório longo, mas para este módulo, "MySecret" é suficiente.

Clique em Avançar.

Marque a opção Porta SQL.

Observação: É necessário clicar no círculo (botão de opção) e não no texto da opção a ser selecionada.

Clique em Avançar.

Marque a opção Exigir Segurança e clique em Avançar.

Clique em Concluir para retornar à caixa de diálogo Proteger Propriedades do SQL.

Clique em Adicionar para reiniciar o Assistente de Regra de Segurança e clique em Avançar para sair da caixa de diálogo inicial.

Clique em Esta regra não especifica um encapsulamento e clique em Avançar.

Clique em Todas as conexões de rede e clique em Avançar.

Na caixa de diálogo Método de Autenticação, deixe a opção Padrão do Windows 2000 (protocolo V5 Kerberos) marcada e clique em Avançar.

Observação: Esta regra especificará a ação de filtro Bloquear, então nenhuma autenticação será necessária.

Na caixa de diálogo Lista de Filtros IP, clique em Todo Tráfego IP e clique em Avançar.

Na caixa de diálogo Ação de Filtro, marque a opção Bloquear e clique em Avançar.

Clique em Concluir.

Clique em Fechar para fechar a caixa de diálogo Propriedades de Proteger SQL.

No painel à esquerda, clique com o botão direito do mouse no nó Diretivas de Segurança IP na Máquina Local, aponte para Todas as Tarefas e clique em Exportar Diretivas.

No campo Nome, digite Proteger SQL e clique em Salvar para exportar o arquivo para o disco rígido local.

Copie o arquivo .ipsec para o servidor de aplicativos ou disponibilize-o usando um compartilhamento de arquivo.

Importante: Como o arquivo exportado da diretiva contém uma chave pré-compartilhada em texto não criptografado, o arquivo deve ser protegido apropriadamente. Ele não deve ser armazenado no disco rígido de nenhum computador.

Faça logon no servidor de aplicativos como administrador e inicie o snap-in MMC da Diretiva de Segurança Local.

Selecione e clique com o botão direito do mouse em Diretivas de Segurança IP na Máquina Local, aponte para Todas as Tarefas e clique em Importar Diretivas.

Procure o arquivo .ipsec exportado anteriormente e clique em Abrir para importar a diretiva.

No computador do servidor de aplicativos, clique com o botão direito do mouse na diretiva Proteger SQL importada recentemente e clique em Atribuir.

Repita a etapa anterior no computador do servidor de banco de dados.
A diretiva espelhada está, agora, atribuída nos dois computadores.

As diretivas asseguram que apenas o servidor de aplicativos possa se comunicar com o servidor de banco de dados. Além disso, apenas conexões TCP usando a porta 1433 são permitidas e todo o tráfego transmitido entre os dois computadores é criptografado.

No computador do servidor de aplicativos, use o Visual Studio .NET para criar um novo aplicativo de console C# chamado SQLIPSecClient.

Copie o código a seguir para o arquivo class1.cs substituindo todo o código existente.

Observação: Substitua o endereço IP na seqüência de conexões pelo endereço IP do servidor de banco de dados.

using System; 
using System.Data; 
using System.Data.SqlClient; 
namespace SQLIPSecClient 
{ 
  class Class1 
  { 
    [STAThread] 
    static void Main(string[] args) 
    { 
      // Replace the IP address in the following connection string with   
      the IP 
      // address of your database server 
      SqlConnection conn = new SqlConnection( 
        "server=192.168.12.11;database=NorthWind;Integrated Security= 
        'SSPI'"); 
      SqlCommand cmd = new SqlCommand( 
                              "SELECT ProductID, ProductName FROM  
                              Products"); 
      try 
      { 
        conn.Open(); 
        cmd.Connection = conn; 
        SqlDataReader reader = cmd.ExecuteReader(); 
        while (reader.Read()) 
        { 
         Console.WriteLine("{0} {1}",  
                     reader.GetInt32(0).ToString(),  
                     reader.GetString(1) ); 
        } 
        reader.Close(); 
      } 
      catch( Exception ex) 
      { 
      } 
      finally 
      { 
        conn.Close(); 
      } 
    } 
  } 
} 

No menu Build, clique em Build Solution.

Para que a autenticação do Windows seja bem-sucedida entre os dois computadores, é necessário duplicar a conta com a qual você fez logon interativamente no computador do aplicativo, no computador do servidor de banco de dados. Verifique se o nome do usuário e a senha correspondem.

Também é necessário usar o SQL Server Enterprise Manager para criar um logon para a conta criada recentemente e adicionar um novo usuário para este logon ao banco de dados Northwind.

Cancele temporariamente a atribuição da diretiva IPSec do SQL Seguro em ambos os computadores:

No computador do servidor de banco de dados, clique em Monitor de Rede no grupo de programas Ferramentas Administrativas.

Observação: Uma versão limitada do Monitor de Rede está disponível com o Windows 2000 Server. Uma versão completa está disponível com o Microsoft SMS.

Se o Monitor de Rede não estiver instalado, vá para Adicionar ou Remover Programas no Painel de controle, clique em Adicionar ou Remover Componentes do Windows, marque Ferramentas de Gerenciamento e Monitoramento na lista Componentes do Windows, clique em Detalhes e marque Ferramentas de Monitoria de Rede. Clique em OK e, em seguida, em Avançar para instalar a versão limitada do Monitor de Rede. Um CD do Windows 2000 Server poderá ser solicitado.

No menu Capturar, clique em Filtro para criar um novo filtro configurado para exibir o tráfego de rede TCP/IP transmitido entre o servidor de aplicativos e o servidor de banco de dados.

Clique no botão Iniciar Captura.

Retorne ao computador do servidor de aplicativos e execute o aplicativo do console de teste. Uma lista de produtos do banco de dados Northwind deve ser exibida na janela do console.

Retorne ao servidor de banco de dados e clique no botão Parar e Visualizar a Captura no Monitor de Rede.

Clique duas vezes no primeiro quadro capturado para exibir os dados capturados.

Role pelos quadros capturados. Você deve ver a instrução SELECT em texto não criptografado seguida por uma lista de produtos recuperados do banco de dados.

Atribua a diretiva IPSec de Proteger SQL a ambos os computadores:

No Monitor de Rede, feche a janela de captura.

Clique no botão Iniciar Captura e, em seguida, clique em Não na caixa de mensagem Salvar Arquivo.

Retorne ao computador do servidor de aplicativo e execute o aplicativo do console de teste mais uma vez.

Retorne ao computador de servidor de banco de dados e clique em Parar e Visualizar a Captura no Monitor de Rede.

Confirme se os dados agora estão ininteligíveis (porque estão criptografados).

Feche o Monitor de Rede.