Comunicazione protetta

Accedere al server di database come amministratore.

Avviare lo snap-in MMC (Microsoft Management Console) Criteri di protezione locali dal gruppo di programmi Strumenti di amministrazione.

Nel riquadro sinistro fare clic con il pulsante destro del mouse su Criteri di protezione IP su computer locale, quindi scegliere Gestisci elenchi filtri IP e azioni filtro. Sarà possibile osservare che sono stati già definiti due elenchi di filtri per tutto il traffico ICMP e per tutto il traffico IP.

Fare clic su Aggiungi.

Nella finestra di dialogo Elenco filtri IP digitare Porta SQL nel campo Nome.

Scegliere Aggiungi, quindi fare clic su Avanti nella finestra di dialogo iniziale della Creazione guidata filtro IP per proseguire.

Nella finestra di dialogo Origine traffico IP selezionare Indirizzo IP specifico dal menu a discesa Indirizzo origine, quindi immettere l'indirizzo IP del computer server applicazioni.

Fare clic su Avanti.

Nella finestra di dialogo Destinazione traffico IP selezionare Indirizzo IP specifico dal menu a discesa Indirizzo di destinazione, quindi immettere l'indirizzo IP del computer server di database.

Fare clic su Avanti.

Nella finestra di dialogo Tipo protocollo IP selezionare TCP come tipo di protocollo, quindi fare clic su Avanti.

Nella finestra di dialogo Porta protocollo IP selezionare Da qualsiasi porta, quindi selezionare A questa porta. Immettere 1433 come numero di porta.

Fare clic su Avanti, quindi fare clic su Fine per chiudere la procedura guidata.

Fare clic su Chiudi per chiudere la finestra di dialogo Elenco filtri IP.

Selezionare la scheda Gestione operazioni filtro.
Si noti che diverse operazioni predefinite sono già impostate.

Fare clic su Aggiungi per creare una nuova operazione filtro.
Nei passaggi successivi verrà creata un'operazione che può essere utilizzata per bloccare tutte le comunicazioni provenienti dai computer selezionati.

Nella finestra di dialogo iniziale dell'Impostazione guidata operazione filtro fare clic su Avanti per proseguire.

Nel campo Nome digitare Blocco, quindi fare clic su Avanti.

Nella finestra di dialogo Opzioni standard operazione filtro selezionare Blocca, quindi fare clic su Avanti.

Fare clic su Fine per chiudere la procedura guidata.

Fare clic su Aggiungi per avviare nuovamente l'Impostazione guidata operazione filtro.
Nei passaggi successivi verrà creata un'operazione filtro per forzare l'utilizzo della crittografia tra il server applicazioni e il server di database.

Nella finestra di dialogo iniziale dell'Impostazione guidata operazione filtro fare clic su Avanti per proseguire.

Nel campo Nome digitare Richiedi protezione alta, quindi fare clic su Avanti.

Selezionare Negozia protezione, quindi fare clic su Avanti.

Selezionare Non comunicare con computer che non supportano IPsec, quindi fare clic su Avanti.

Selezionare Personalizzata, quindi fare clic su Impostazioni.

Accertarsi che la casella di controllo Integrità dati con crittografia (ESP) sia selezionata.

Selezionare SHA1 dall'elenco a discesa Algoritmo di integrità.

Selezionare 3DES dall'elenco a discesa Algoritmo di integrità.

Selezionare le due caselle di controllo all'interno del gruppo Impostazioni chiave di sessione per generare una nuova chiave rispettivamente ogni 100000 KB e 3600 secondi.

Fare clic su OK per chiudere la finestra di dialogo Impostazioni personalizzate metodo di protezione, quindi fare clic su Avanti.

Selezionare la casella di controllo Modifica proprietà, quindi fare clic su Fine.

Deselezionare la casella di controllo Accetta comunicazioni non protette, ma rispondi sempre usando IPSec.

Selezionare la casella di controllo PFS (Perfect Forward Secrecy) chiave di sessione, quindi fare clic su OK.

Fare clic su Chiudi per chiudere la finestra di dialogo Gestisci elenchi filtri IP e operazioni filtro.

Nel riquadro sinistro fare clic con il pulsante destro del mouse su Criteri di protezione IP su computer locale, quindi scegliere Crea criterio di protezione IP.

Nella finestra di dialogo iniziale della Creazione guidata criteri di protezione IP fare clic su Avanti per proseguire.

Nel campo Nome digitare SQL protetto, quindi fare clic su Avanti.

Deselezionare la casella di controllo Attiva la regola di risposta predefinita, quindi fare clic su Avanti.

Lasciare selezionata la casella di controllo Modifica proprietà, quindi fare clic su Fine.

Fare clic su Aggiungi per avviare la Creazione guidata regola di protezione IP.

Nella finestra di dialogo iniziale della Creazione guidata regola di protezione IP fare clic su Avanti per proseguire.

Fare clic su Questa regola non specifica un tunnel, quindi su Avanti.

Fare clic su Tutte le connessioni di rete, quindi su Avanti.

Fare clic su Utilizza questa stringa per proteggere lo scambio di chiave (chiave già condivisa).

Immettere MySecret come chiave "segreta" nella casella di testo.

Nota: per consentire ai due computer di comunicare correttamente, è necessario che questa chiave sia la stessa per entrambi. È consigliabile utilizzare un numero esteso casuale, ma per questo modulo è sufficiente specificare "MySecret".

Fare clic su Avanti.

Selezionare l'opzione Porta SQL.

Nota: per selezionare l'opzione, è necessario fare clic sul cerchio del pulsante di opzione anziché sul testo.

Fare clic su Avanti.

Selezionare l'opzione Richiedi protezione alta, quindi fare clic su Avanti.

Fare clic su Fine per tornare alla finestra di dialogo Proprietà - SQL protetto.

Fare clic su Aggiungi per avviare nuovamente la Creazione guidata regola di protezione IP, quindi fare clic su Avanti nella finestra di dialogo iniziale per proseguire.

Fare clic su Questa regola non specifica un tunnel, quindi su Avanti.

Fare clic su Tutte le connessioni di rete, quindi su Avanti.

Nella finestra di dialogo Metodo di autenticazione lasciare selezionata l'opzione Impostazione predefinita di Windows 2000 (protocollo V5 Kerberos), quindi fare clic su Avanti.

Nota: poiché questa regola specificherà l'operazione filtro Blocca, non sarà necessaria alcuna autenticazione.

Nella finestra di dialogo Elenco filtri IP fare clic su Tutto il traffico IP, quindi su Avanti.

Nella finestra di dialogo Operazione filtro selezionare l'opzione Blocca, quindi fare clic su Avanti.

Fare clic su Fine.

Fare clic su Chiudi per chiudere la finestra di dialogo Proprietà - SQL protetto.

Nel riquadro sinistro fare clic con il pulsante destro del mouse sul nodo Criteri di protezione IP su computer locale, selezionare Tutte le attività, quindi scegliere Esporta criteri.

Nel campo Nome digitare SQL protetto, quindi fare clic su Salva per esportare il file nel disco rigido locale.

Copiare il file con estensione IPSEC nel server applicazioni o renderlo disponibile mediante una condivisione file.

Importante: poiché il file dei criteri contiene una chiave precondivisa in formato testo non crittografato, è necessario proteggere il file in modo adeguato. È sconsigliabile archiviarlo sui dischi rigidi dei computer.

Accedere al server applicazioni come amministratore e avviare lo snap-in MMC Criteri di protezione locali.

Selezionare e fare clic con il pulsante destro del mouse su Criteri di protezione IP su computer locale, scegliere Tutte le attività, quindi fare clic su Importa criteri.

Individuare il file IPSEC esportato in precedenza e fare clic su Apri per importare il criterio.

Nel computer server applicazioni fare clic con il pulsante destro del mouse sul criterio SQL protetto importato, quindi fare clic su Assegna.

Ripetere il passaggio precedente nel computer server di database.
A questo punto, il criterio con mirroring è assegnato a entrambi i computer.

I criteri assicurano che solo il server applicazioni possa comunicare con il server di database. Inoltre, sono consentite solo connessioni TCP tramite la porta 1433 e tutto il traffico inviato tra i due computer è crittografato.

Nel computer server applicazioni utilizzare Visual Studio .NET per creare una nuova applicazione console C# denominata SQLIPSecClient.

Copiare il codice riportato di seguito in class1.cs sostituendo il codice esistente.

Nota: sostituire l'indirizzo IP nella stringa di connessione con l'indirizzo IP del server di database.

using System; 
using System.Data; 
using System.Data.SqlClient; 
namespace SQLIPSecClient 
{ 
  class Class1 
  { 
    [STAThread] 
    static void Main(string[] args) 
    { 
      // Replace the IP address in the following connection string with  
      the IP 
      // address of your database server 
      SqlConnection conn = new SqlConnection( 
        "server=192.168.12.11;database=NorthWind;Integrated Security= 
        'SSPI'"); 
      SqlCommand cmd = new SqlCommand( 
                              "SELECT ProductID, ProductName FROM  
                              Products"); 
      try 
      { 
        conn.Open(); 
        cmd.Connection = conn; 
        SqlDataReader reader = cmd.ExecuteReader(); 
        while (reader.Read()) 
        { 
          Console.WriteLine("{0} {1}",  
                     reader.GetInt32(0).ToString(),  
                     reader.GetString(1) ); 
        } 
        reader.Close(); 
      } 
      catch( Exception ex) 
      { 
      } 
      finally 
      { 
        conn.Close(); 
      } 
    } 
  } 
} 

Scegliere Genera soluzione dal menu Genera.

Per eseguire correttamente l'autenticazione di Windows tra i due computer, è necessario duplicare nel computer server di database l'account di accesso interattivo con cui si è collegati attualmente al computer server applicazioni. Accertarsi che il nome utente e la password corrispondano.

È inoltre necessario utilizzare SQL Server Enterprise Manager per creare un account di accesso al database per l'account appena generato e aggiungere un nuovo utente del database per questo accesso al database Northwind.

Annullare temporaneamente l'assegnazione del criterio IPSec SQL protetto in entrambi i computer:

Nel computer server di database scegliere Network Monitor dal gruppo di programmi Strumenti di amministrazione.

Nota: una versione limitata di Network Monitor è disponibile in Windows 2000 Server. La versione completa è inclusa in Microsoft SMS.

Se non è stato installato Network Monitor, passare a Installazione applicazioni nel Pannello di controllo, fare clic su Installazione componenti di Windows, selezionare Strumenti di gestione e controllo dall'elenco Componenti di Windows, scegliere Dettagli, quindi fare clic su Strumenti per il monitoraggio della rete. Fare clic su OK, quindi su Avanti per installare la versione limitata di Network Monitor. È possibile che venga richiesto il CD di Windows 2000 Server.

Scegliere Filtro dal menu Acquisizione per creare un nuovo filtro configurato per visualizzare il traffico di rete TCP/IP inviato tra il server applicazioni e il server di database.

Fare clic sul pulsante Avvia acquisizione.

Tornare al computer server applicazioni ed eseguire l'applicazione console di prova. Nella finestra della console verrà visualizzato un elenco dei prodotti proveniente dal database Northwind.

Tornare al server di database e fare clic sul pulsante Termina e visualizza acquisizione all'interno di Network Monitor.

Fare doppio clic sul primo frame acquisito per visualizzare i dati acquisiti.

Scorrere verso il basso i frame acquisiti. Viene visualizzata l'istruzione SELECT in formato testo non crittografato seguita dall'elenco dei prodotti recuperato dal database.

Assegnare il criterio IPSec SQL protetto in entrambi i computer:

In Network Monitor chiudere la finestra di acquisizione.

Scegliere il pulsante Avvia acquisizione, quindi fare clic su No nella finestra di messaggio Salva file.

Tornare al computer server applicazioni ed eseguire ancora una volta l'applicazione console di prova.

Tornare al computer server di database e fare clic su Termina e visualizza acquisizione all'interno di Network Monitor.

Verificare che i dati non siano leggibili in quanto crittografati.

Chiudere Network Monitor.