Como evitar que computadores que não são de domínio acessem os recursos de compartilhamento de domínio?

Question

Minha empresa está usando o Windows Server 2008 R2 para controlador de domínio e compartilhamento de arquivos, e todos os computadores clientes têm o Windows 7 Professional instalado. Alguns dos computadores clientes são adicionados ao domínio, destinados a acessar os recursos do compartilhamento para cooperar, enquanto outros computadores clientes não são adicionados ao domínio para outros usos. E os computadores de domínio são restritos da Internet pelo software de firewall. Cada um dos funcionários tem sua própria conta de usuário de domínio + senha, e quando ele faz logon em um computador cliente de domínio, ele pode acessar os arquivos compartilhados (por exemplo, \ endereço_ip_do_domínio \ nome_da_arquivo_da_pasta) por "unidade de rede do mapa" ou "adicionar um local de rede". com suas próprias permissões especificadas no servidor.

Quanto às configurações de permissões, tanto quanto eu entendo, as permissões de compartilhamento e as permissões NTFS trabalham juntas para determinar as permissões de resultado: as mais restritivas produzem efeitos. Então eu, assim como o conselho comum, deu à pasta as permissões de compartilhamento Everyone: Full Control e respectivas permissões NTFS para cada conta de usuário de domínio.

Tudo parecia correr muito bem. E pensei erroneamente que, se um computador não fosse adicionado ao domínio, não poderia acessar os recursos de compartilhamento de domínio.

Vários dias atrás, em um computador sem domínio , tentei "mapear unidade de rede" e "adicionar um local de rede", fui solicitado a inserir credenciais e forneci um dos domínios as contas de usuário no formato "nome_do_domínio \ usuário_do_dominio_conta" + "senha", e acessei a pasta de compartilhamento com êxito e fiquei chocado.

Meu objetivo é permitir que apenas computadores adicionados ao domínio acessem recursos de compartilhamento de domínio. Em seguida, na configuração de permissões de compartilhamento da pasta, excluímos Todos: Controle total e adicionou Domain Computers: Full Control . Mas o resultado é: mesmo em computadores de domínio, as contas de usuário de domínio não podem acessá-lo, mesmo as contas de usuário de domínio que têm controle total de permissões NTFS.

Minhas perguntas:

1. Alguém poderia me dizer por que eu recebi esse resultado inesperado (pelo menos para mim)? Por exemplo, as permissões de compartilhamento Domain Computers: Full Control impedem que até mesmo usuários de domínio com controle total de permissões NTFS usando computadores de domínio acessem os recursos de compartilhamento? Alguém já usou Domain Computers nas permissões de compartilhamento ou NTFS com êxito?

2.Como posso melhorar? Eu não espero uma grande cirurgia na configuração atual do meu servidor.

--------------------- update 2015-10-28 -------------------- -----------------------

Deixe-me fornecer mais detalhes sobre a configuração dos meus dois servidores. Francamente falando, eu não sou um especialista em TI, e os dois servidores foram construídos pelo meu amigo. Ambos foram instalados com o Windows Server 2008 R2.

O primeiro, digamos server_A, atua como controlador de domínio, servidor DHCP e armazena os arquivos para compartilhamento.

O segundo, digamos servidor_B, atua como servidor DNS e é instalado com o Threat Management Gateway 2010 (TMG2010) principalmente para controlar qual dispositivo cliente pode acessar a Internet.

    

Answer 1

O compartilhamento de arquivos é validado no espaço do usuário, não no espaço do computador.

Assim, qualquer entrada do computador que você digita lá é ignorada, mas como nenhum usuário obteve acesso ao compartilhamento, já que você deixou apenas o computador do domínio, isso significa que ninguém pode acessar o compartilhamento. (como eu disse, conta de computador é ignorada no compartilhamento de arquivos)

Por que isso é feito dessa maneira? Cada arquivo é de propriedade dos usuários, não do computador. É por design. Como imagine como você iria auditar quem fez o quê? Seria impossível (como aplicar no exemplo SOX404)

É importante colocar uma senha strong em cada conta de usuário.

Por outro lado, você pode restringir o dhcp, mudar com algum controle para ter certeza que somente o domínio acessado pode obter um ip. Como seu risco é muito pior do que o que você disse, como se um computador infectado estivesse conectado à sua rede, mesmo sem qualquer compartilhamento aberto, o dano seria muito pior.

Então, a dica final, controle o que está plugado e até mesmo inspecione seu dhcp para ter certeza de que nenhum equipamento não autorizado está conectado e se você precisar dar acesso ao computador que não pertence ao domínio, então pense em outra vlan para convidados.