Gateway acesso remoto - Histórico de revisão

Henri.godoy em 00h50min de 16 de julho de 2020

2020-07-16T00:50:48Z

Henri.godoy em 00h30min de 16 de julho de 2020

2020-07-16T00:30:33Z

Henri.godoy em 00h24min de 16 de julho de 2020

2020-07-16T00:24:00Z

Henri.godoy em 00h14min de 16 de julho de 2020

2020-07-16T00:14:12Z

Henri.godoy em 23h21min de 15 de julho de 2020

2020-07-15T23:21:03Z

Henri.godoy em 22h56min de 15 de julho de 2020

2020-07-15T22:56:41Z

Henri.godoy em 22h33min de 15 de julho de 2020

2020-07-15T22:33:53Z

Mostrar alterações

Henri.godoy em 21h25min de 15 de julho de 2020

2020-07-15T21:25:41Z

Henri.godoy em 21h13min de 15 de julho de 2020

2020-07-15T21:13:45Z

Henri.godoy em 20h59min de 15 de julho de 2020

2020-07-15T20:59:38Z

@@ Linha 11: / Linha 11: @@
 === Projeto Apache Guacamole ===
-O Projeto [https://guacamole.apache.org/ Apache Guacamole] é uma arquitetura completa que possibilita o acesso remoto a desktops utilizando apenas o navegador Web, sem a instalação de nenhum plug-in ou software cliente. Uma vez conectado ao servidor Guacamole ele age com um intermediário (proxy) até um desktop específico localizado na rede local da empresa, utilizando um dos protocolos suportados mais utilizados como: RDP, VNC, SSH. Na Figura 1 podemos compreender toda a arquitetura e os seus componentes durante uma conexão fora do perímetro corporativo.
+O projeto [https://guacamole.apache.org/ Apache Guacamole] é uma arquitetura completa que possibilita o acesso remoto a desktops utilizando apenas o navegador Web, sem a instalação de nenhum plug-in ou software cliente. Uma vez conectado ao servidor Guacamole ele age com um intermediário (proxy) até um desktop específico localizado na rede local da empresa, utilizando um dos protocolos suportados mais utilizados como: RDP, VNC, SSH. Na Figura 1 podemos compreender toda a arquitetura e os seus componentes durante uma conexão fora do perímetro corporativo.
 [[Arquivo:Guac-arch.png|miniaturadaimagem|Figura 1|379x379px]]
-Todo o projeto é separado em guacamole-server, que fornece o proxy guacd e as bibliotecas relacionadas e o guacamole-client, que fornece o cliente para ser atendido pelo contêiner do servlet do Tomcat. Portanto precisamos que o ambiente a ser instalado já contemple o Tomcat na sua versão maior que 8.5. O guacamole-client está disponível em formato binário, mas o guacamole-server deve ser construído a partir do código fonte. Ambas as partes serão descritas com detalhes na sequência.
+Todo o projeto é composto por um daemon guacamole-server, que fornece o proxy guacd e as bibliotecas relacionadas e o daemon guacamole-client, que fornece o cliente para ser atendido pelo contêiner do servlet do Tomcat. Portanto precisamos que o ambiente esteja preparado com o Tomcat e o OpenJDK na sua versão maior que 8.5. O guacamole-client está disponível em formato binário, mas o guacamole-server deve ser construído a partir do código fonte. Ambas as partes serão descritas com detalhes a seguir.
 === Apache Guacamole Server ===
@@ Linha 24: / Linha 24: @@
 * Suporte ao VNC: depende da biblioteca libvncclient
-* Suporte ao RDP depende do FreeRDP (utilizar a versão 2.0 mais atualizada para evitar problemas de segurança já conhecidos)
+* Suporte ao RDP: depende do FreeRDP (utilizar a versão 2.0 mais atualizada para evitar problemas de segurança já conhecidos)
-* Suporte a SSH depende de libssh2, OpenSSL e Pango
+* Suporte ao SSH: depende de libssh2, OpenSSL e Pango
-* Ssuporte ao Kubernetes depende de libwebsockets, OpenSSL e Pango.
+* Suporte ao Kubernetes: depende de libwebsockets, OpenSSL e Pango
 A compilação do guacamole-server cria um executável chamado guacd que pode ser executado manualmente ou de forma automática como serviço.
-É desejável e recomendado sempre fazer o download do código fonte mais recente clonando o repositório git da guacamole no GitHub:
+É desejável e recomendado sempre fazer o download do código fonte mais recente clonando o repositório git do guacamole no GitHub:
 <pre>
 git clone git://github.com/apache/guacamole-server.git
 </pre>
-Depois que o código fonte do guacamole-server foi baixado e extraído você precisará construir o arquivo configure, que no caso do download pelo GitHub ele não é incluído.
+Quando o código fonte do guacamole-server for baixado e extraído você precisará construir o arquivo configure, que no caso do download pelo GitHub ele não vem incluso.
 <pre>
@@ Linha 41: / Linha 41: @@
 </pre>
-Em seguida podemos agora executar o configure para instalar um script de inicialização do guacd no diretório /etc/init.d/ para que seja executado de forma automática a cada reboot.
+Em seguida podemos agora executar o configure para instalar o script de inicialização do guacd no diretório /etc/init.d/ para que seja executado de forma automática a cada reboot.
 <pre>
@@ Linha 51: / Linha 51: @@
 === Apache Guacamole Client ===
-A parte do guacamole-client é compactada em um arquivo .war totalmente independente, chamado guacamole.war e pode ser feito seu download no site do [https://guacamole.apache.org/releases/1.2.0/ Apache Guacamole]. Novamente sempre é recomendado a última versão estável. A sua instalação envolve copiá-lo para o diretório do contêiner do servlet CATALINA_HOME/webapps/. O diretório varia de acordo com a sua instalação e normalmente o diretório padrão é /usr/share/tomcat/webapps
+A parte do guacamole-client é compactada em um arquivo totalmente independente, chamado guacamole.war e o seu download pode ser feito diretamente pelo site do [https://guacamole.apache.org/releases/1.2.0/ Apache Guacamole]. Novamente sempre é recomendado a última versão estável. A sua instalação envolve uma cópia simples do arquivo para o diretório do contêiner do servlet CATALINA_HOME/webapps/. O diretório varia de acordo com a instalação em cada distribuição mas, normalmente o diretório padrão é /usr/share/tomcat/webapps.
 <pre>
@@ Linha 63: / Linha 63: @@
 </pre>
-Verificar possíveis mensagem de erro e caso esteja sendo executado com sucesso, mesmo assim,  ele está desconfigurado e devemos realizar algumas etapas adicionais no arquivo de configuração principal guacamole.properties.
+Verificar possíveis mensagem de erro é uma boa prática e mesmo que o Guacamole esteja sendo executado com sucesso, ele está desconfigurado e devemos realizar algumas etapas adicionais no arquivo de configuração principal guacamole.properties.

@@ Linha 37: / Linha 37: @@
 <pre>
-$ cd guacamole-server/
+# cd guacamole-server/
-$ autoreconf -fi
+# autoreconf -fi
 </pre>
@@ Linha 44: / Linha 44: @@
 <pre>
-$ ./configure --with-init-dir=/etc/init.d
+# ./configure --with-init-dir=/etc/init.d
-$ make
+# make
-$ make install
+# make install
 </pre>
@@ Linha 99: / Linha 99: @@
 <pre>
-$ ls schema/
+# ls schema/
 -create-schema.sql  002-create-admin-user.sql  upgrade
-$ cat schema/*.sql | mysql -u root -p guacamole_db
+# cat schema/*.sql | mysql -u root -p guacamole_db
 Enter password: password
 </pre>
@@ Linha 147: / Linha 147: @@
 Importando o certificado raiz e intermediário da autoridade certificadora:
 <pre>
-keytool -import -trustcacerts -alias root -file ac-raiz.pem -keystore .keystore
+# keytool -import -trustcacerts -alias root -file ac-raiz.pem -keystore .keystore
-keytool -import -trustcacerts -alias intermediate -file cadeia-intermediaria.pem -keystore .keystore
+# keytool -import -trustcacerts -alias intermediate -file cadeia-intermediaria.pem -keystore .keystore
 </pre>
 Importando o certificado recebido da autoridade certificadora:
 <pre>
-keytool -import -trustcacerts -alias tomcat -file certificado.pem -keystore .keystore
+# keytool -import -trustcacerts -alias tomcat -file certificado.pem -keystore .keystore
 </pre>
 Listando os certificados importados:
 <pre>
-keytool -list -keystore .keystore
+# keytool -list -keystore .keystore
 </pre>
@@ Linha 190: / Linha 190: @@
 <pre>
-keytool -importcert -alias "guacd" -keystore /etc/pki/java/cacerts -file /etc/pki/tls/certs/certificado.pem
+# keytool -importcert -alias "guacd" -keystore /etc/pki/java/cacerts -file /etc/pki/tls/certs/certificado.pem
 </pre>
@@ Linha 201: / Linha 201: @@
 Após a alteração do arquivo devemos executar o reload:
 <pre>
-systemctl daemon-reload
+# systemctl daemon-reload
 </pre>
@@ Linha 216: / Linha 216: @@
 Devemos primeiro exportar o certificado do Active Directory Server:
 <pre>
-openssl s_client -showcerts -connect hostname:636 </dev/null 2>/dev/null | openssl x509 -outform PEM > cert-ad.pem
+# openssl s_client -showcerts -connect hostname:636 </dev/null 2>/dev/null | openssl x509 -outform PEM > cert-ad.pem
 </pre>
 Depois importar na base de chaves do Java:
 <pre>
-keytool -importcert -alias "ldaps" -keystore /etc/pki/java/cacerts -file cert-ad.pem
+# keytool -importcert -alias "ldaps" -keystore /etc/pki/java/cacerts -file cert-ad.pem
 </pre>
@@ Linha 244: / Linha 244: @@
 Neste artigo foi mostrado uma configuração básica do Guacamole com certificados digitais para que fosse implementado em todas as camadas de acesso da aplicação um nível se segurança no trânsito das informações. Na versão atual existem outros tipos de autenticações, inclusive com dois fatores (2FA) que não foi coberto neste documento, mas que podem ser encontrados no Manual do Guacamole, como por exemplo: DUO, TOPT, CAS, OpenID, SAML e RADIUS.
-Como em qualquer sistema, devemos sempre estar atento com as vulnerabilidades divulgadas nos protocolos de RDP, SSH e suas bibliotecas, assim como o Tomcat, Java e Apache Web Server, instalando e atualizando sempre para as últimas versões estáveis [https://guacamole.apache.org/security/ Security Reports]
+Como em qualquer sistema, devemos sempre estar atento com as vulnerabilidades divulgadas nos protocolos de RDP, SSH e suas bibliotecas, assim como o Tomcat, Java e Apache Web Server, instalando e atualizando sempre para as últimas versões estáveis. Ver o relatório  [https://guacamole.apache.org/security/ Security Reports]
 O projeto Apache Guacamole demonstrou ser uma alternativa viável de acesso remoto aos desktops, sistemas e servidores, podendo ser acessado inclusive por tablets e smartphones, através de um navegador, sem a instalação de clientes ou plug-ins. Facilita e centraliza, através de um gateway, o gerenciamento das conexões remotas em vez de ter que configurar túneis SSH, liberação de portas RDP e VNC nos firewalls e ainda fornece um relatório de conexões realizadas pelos usuários.
@@ Linha 256: / Linha 256: @@
 * [https://guacamole.apache.org/doc/gug/ Guacamole Manual]
 [[Categoria:Infraestrutura]]

@@ Linha 13: / Linha 13: @@
 O Projeto [https://guacamole.apache.org/ Apache Guacamole] é uma arquitetura completa que possibilita o acesso remoto a desktops utilizando apenas o navegador Web, sem a instalação de nenhum plug-in ou software cliente. Uma vez conectado ao servidor Guacamole ele age com um intermediário (proxy) até um desktop específico localizado na rede local da empresa, utilizando um dos protocolos suportados mais utilizados como: RDP, VNC, SSH. Na Figura 1 podemos compreender toda a arquitetura e os seus componentes durante uma conexão fora do perímetro corporativo.
-[[Arquivo:Guac-arch.png|miniaturadaimagem|Figura 1]]
+[[Arquivo:Guac-arch.png|miniaturadaimagem|Figura 1|379x379px]]
 Todo o projeto é separado em guacamole-server, que fornece o proxy guacd e as bibliotecas relacionadas e o guacamole-client, que fornece o cliente para ser atendido pelo contêiner do servlet do Tomcat. Portanto precisamos que o ambiente a ser instalado já contemple o Tomcat na sua versão maior que 8.5. O guacamole-client está disponível em formato binário, mas o guacamole-server deve ser construído a partir do código fonte. Ambas as partes serão descritas com detalhes na sequência.
@@ Linha 256: / Linha 256: @@
 * [https://guacamole.apache.org/doc/gug/ Guacamole Manual]
 [[Categoria:Infraestrutura]]

@@ Linha 88: / Linha 88: @@
 Porém, a configuração do Guacamole começa a ficar interessante e divertida quando você tem uma base de dados de usuários e queira integrar, como por exemplo, LDAP. Existem muitos tutoriais na Internet com exemplos de configuração do arquivo guacamole.properties para integrar as bases de dados. Muitos que encontrei são de versões antigas e parâmetros que não são mais necessários na versão atual. Depois de muitas tentativas e interagindo com a comunidade de usuários do Guacamole, foi possível uma configuração funcional de uma consulta em uma base de dados LDAP (Active Directory Server) em conjunto com a base de dados MySQL/MariaDB, no qual é necessário para o gerenciamento dos usuários, grupos e atribuição dos desktops a serem conectados.
-Para o suporte a autenticação MySQL/MariaDB e LDAP é necessário fazer o download das extensões das versões instaladas no site [https://guacamole.apache.org/releases/1.2.0/ Quacamole Releases]
+==== Autenticação MySQL/MariaDB ====
 O arquivo guacamole-auth-jdbc-mysql-1.2.0.jar deve ser copiado para o diretório /etc/guacamole/extensions
@@ Linha 103: / Linha 105: @@
 </pre>
-Da mesma forma como foi feita no cópia da extensão para MySQL/MariaDB, devemos realizar para o arquivo guacamole-auth-ldap-1.2.0.jar e copia-lo para o diretório /etc/guacamole/extensions
+Depois inserimos no arquivo guacamole.properties a configuração para conexão ao banco de dados:
 === Guacamole através de um Proxy ===

@@ Linha 94: / Linha 94: @@
 O driver MySQL JDBC não vem incluído com a extensão .jar e deve ser feito o seu download no site do [https://dev.mysql.com/downloads/connector/j/ MySQL]. O driver também é conhecido como Connector/J e o seu arquivo .jar deve ser copiado para o diretório /etc/guacamole/libs
-Na sequência devemos importar para a base de dados MySQL/MariaDB criado chamado guacamole, o schema:
+Na sequência devemos importar para a base de dados MySQL/MariaDB os arquivos do diretório schema para criar os esquemas de dados:
 <pre>
@@ Linha 153: / Linha 153: @@
 Configurando o Conector Tomcat editando o arquivo server.xml:
 <pre>
 <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
@@ Linha 164: / Linha 163: @@
 ==== Habilitando o servidor Web e Proxy Reverso com os Certificados Digitais ====
-Para configurar o servidor Web Apache temos que editar as linhas abaixo e incluir o caminho do certificado recebido pela autoridade certificadora e a chave privada do certificado:
+Para configurar o servidor Web Apache temos que editar as linhas do arquivo /etc/httpd/conf.d/ssl.conf e incluir o caminho do certificado recebido pela autoridade certificadora e a chave privada do certificado:
 <pre>
 SSLCertificateFile /etc/pki/tls/certs/certificado.pem
 SSLCertificateKeyFile /etc/pki/tls/certs/key.pem

@@ Linha 1: / Linha 1: @@
 === Introdução ===
@@ Linha 53: / Linha 51: @@
 === Apache Guacamole Client ===
-A parte do guacamole-client é compactada em um arquivo .war totalmente independente, chamado guacamole.war e pode ser feito seu download no site do [https://guacamole.apache.org/releases/1.2.0/] Apache Guacamole. Novamente sempre é recomendado a última versão estável. A sua instalação envolve copiá-lo para o diretório do contêiner do servlet CATALINA_HOME/webapps/. O diretório varia de acordo com a sua instalação e normalmente o diretório padrão é /usr/share/tomcat/webapps
+A parte do guacamole-client é compactada em um arquivo .war totalmente independente, chamado guacamole.war e pode ser feito seu download no site do [https://guacamole.apache.org/releases/1.2.0/ Apache Guacamole]. Novamente sempre é recomendado a última versão estável. A sua instalação envolve copiá-lo para o diretório do contêiner do servlet CATALINA_HOME/webapps/. O diretório varia de acordo com a sua instalação e normalmente o diretório padrão é /usr/share/tomcat/webapps
 <pre>
@@ Linha 112: / Linha 110: @@
 É altamente recomendável que o guacamole-server esteja, no caso de um servidor em produção, atrás de um proxy reverso, isolando assim operações privilegiadas, fornecendo flexibilidade e segurança utilizando ainda certificados digitais e criptografia SSL.
-Para isso foi configurado no Apache Web Server a função de proxy reverso utilizando as diretivas ProxyPass e ProxyPassReverse. Um exemplo de configuração pode ser realizado de acordo com a linhas abaixo:
+Para isso foi configurado no Apache Web Server a função de proxy reverso utilizando as diretivas ''ProxyPass'' e ''ProxyPassReverse''. Um exemplo de configuração pode ser realizado de acordo com a linhas abaixo:
 <pre>
@@ Linha 134: / Linha 132: @@
 === Habilitando Certificados Digitais no Guacamole ===
-É recomendado o uso de certificados digitais em todos os componentes da infraestrutura do Guacamole para garantirmos uma conexão segura no tráfego das informações e no acesso remoto. É uma configuração trabalhosa que envolve desde a criação das chaves até a importação dos certificados a autoridade certificadora. As seguintes etapas foram configuradas
+É recomendado o uso de certificados digitais em todos os componentes da arquitetura do Guacamole para garantirmos uma conexão segura no tráfego das informações e no acesso remoto. É uma configuração trabalhosa que envolve desde a criação das chaves até a importação dos certificados da autoridade certificadora. As seguintes etapas foram configuradas
 ==== Criptografia entre o Tomcat e o servidor Guacamole ====
@@ Linha 180: / Linha 178: @@
 </pre>
-Importar o certificado digital da autoridade certificado no armazenamento de chaves do Java
+Importar o certificado digital da autoridade certificado no armazenamento de chaves do Java:
 <pre>
@@ Linha 207: / Linha 205: @@
 ==== Criptografia na consulta na base dos usuários do Active Directory Server utilizando LDAPS ====
-Devemos primeiro exportar o certificado do AD Server:
+Devemos primeiro exportar o certificado do Active Directory Server:
 <pre>
 openssl s_client -showcerts -connect hostname:636 </dev/null 2>/dev/null | openssl x509 -outform PEM > cert-ad.pem
@@ Linha 214: / Linha 212: @@
 Depois importar na base de chaves do Java:
 <pre>
-keytool -importcert -alias "ldaps" -keystore /etc/pki/java/cacerts   -file cert-ad.pem
+keytool -importcert -alias "ldaps" -keystore /etc/pki/java/cacerts -file cert-ad.pem
 </pre>
 === Interface de Administração do Guacamole ===
-Após vencer todas as etapas de configuração com sucesso vamos acessar a interface de administração digitando no navegador o hostname configurado. Deverá aparecer uma tela solicitando o usuário e a senha. O usuário padrão do Guacamole é guacadmin e a senha é a que foi definida na base de dados do MySQL/MariaDB ou LDAP. Se não foi criado ainda esse usuário deve ser realizado previamente antes de acessar o painel de administração.
+Após vencer todas as etapas de configurações com sucesso vamos acessar a interface de administração digitando no navegador o hostname configurado. Deverá aparecer uma tela solicitando o usuário e a senha. O usuário padrão do Guacamole é guacadmin e a senha é a que foi definida na base de dados do MySQL/MariaDB ou LDAP. Se não foi criado ainda esse usuário e senha, isso deve ser realizado previamente antes de acessar o painel de administração.
-Ao entrar com o usuário escolha a opção Settings. Devemos encontrar um menu de configurações com as seguintes abas:
+Ao entrar com o usuário escolha a opção ''Settings''. Devemos encontrar um menu de configurações com as seguintes abas:
 [[Arquivo:Fig2.jpg|miniaturadaimagem|Figura 2]]
 [[Arquivo:Fig3.jpg|miniaturadaimagem|Figura 3]]
-* Active Sessions: lista as conexões ativas no momento podendo encerrar a sessão do usuário caso seja necessário.
+* ''Active Sessions'': lista as conexões ativas no momento podendo encerrar a sessão do usuário caso seja necessário.
-* History: mostra um histórico de todos os usuários que realizaram as conexões remotas, os horários, duração e os desktops acessados.
+* ''History'': mostra um histórico de todos os usuários que realizaram as conexões remotas, os horários, duração e os desktops acessados.
-* Users: todos os usuários encontrados no LDAP ou MySQL/MariaDB. Aqui ao selecionar os usuários, você poderá configurar quais desktops serão atribuídos, junto com o perfil de acesso de cada um.
+* ''Users'': todos os usuários encontrados no LDAP ou MySQL/MariaDB. Aqui ao selecionar os usuários, você poderá configurar quais desktops serão atribuídos, junto com o perfil de acesso de cada um.
-* Groups: criação de grupos de desktops, para facilitar a administração dos acessos remotos
+* ''Groups'': criação de grupos de desktops, para facilitar a administração dos acessos remotos
-* Connections: nesta seção é que adicionaremos as máquinas remotas a serem acessadas, escolhendo o tipo de conexão, informando o IP e a forma de autenticação no caso de um RDP, conforme Figura 2 e 3.
+* ''Connections'': nesta seção é que adicionaremos as máquinas remotas a serem acessadas, escolhendo o tipo de conexão, informando o IP e a forma de autenticação no caso de um RDP, conforme Figura 2 e 3.
-* Preferences: altera as opções de teclado e mouse. Se o acesso vier de um dispositivo móvel, as opções aqui devem ser alteradas para que funcione em telas touch.
+* ''Preferences'': altera as opções de teclado e mouse. Se o acesso vier de um dispositivo móvel, as opções aqui devem ser alteradas para que funcione em telas touch.
 === Conclusão ===
-Neste artigo foi mostrado uma configuração básica do Guacamole com certificados digitais para que fosse implementado em todas as camadas de acesso da aplicação um nível se segurança no trânsito das informações. Na versão atual existem outros tipos de autenticação, inclusive com dois fatores (2FA) que não foi coberto neste documento, mas que podem ser encontrados no Manual do Guacamole, como por exemplo:   DUO, TOPT, CAS, OpenID, SAML e RADIUS.
+Neste artigo foi mostrado uma configuração básica do Guacamole com certificados digitais para que fosse implementado em todas as camadas de acesso da aplicação um nível se segurança no trânsito das informações. Na versão atual existem outros tipos de autenticações, inclusive com dois fatores (2FA) que não foi coberto neste documento, mas que podem ser encontrados no Manual do Guacamole, como por exemplo: DUO, TOPT, CAS, OpenID, SAML e RADIUS.
-Como em qualquer sistema, devemos sempre estar atento com as vulnerabilidades divulgadas nos protocolos de RDP, SSH e suas bibliotecas, assim como o Tomcat, Java e Apache Web Server, instalando e atualizando sempre para as últimas versões estáveis. https://guacamole.apache.org/security/
+Como em qualquer sistema, devemos sempre estar atento com as vulnerabilidades divulgadas nos protocolos de RDP, SSH e suas bibliotecas, assim como o Tomcat, Java e Apache Web Server, instalando e atualizando sempre para as últimas versões estáveis [https://guacamole.apache.org/security/ Security Reports]
-O Apache Guacamole demonstrou ser uma alternativa viável de acesso remoto aos desktops, sistemas e servidores, podendo ser acessado inclusive por tablets e smartphones, através de um navegador, sem a instalação de clientes ou plug-ins. Facilita e centraliza, através de um gateway, o gerenciamento das conexões remotas em vez de ter que configurar tuneis SSH, liberação de portas RDP e VNC nos firewalls e ainda fornece um relatório de conexões realizadas pelos usuários.
+O projeto Apache Guacamole demonstrou ser uma alternativa viável de acesso remoto aos desktops, sistemas e servidores, podendo ser acessado inclusive por tablets e smartphones, através de um navegador, sem a instalação de clientes ou plug-ins. Facilita e centraliza, através de um gateway, o gerenciamento das conexões remotas em vez de ter que configurar túneis SSH, liberação de portas RDP e VNC nos firewalls e ainda fornece um relatório de conexões realizadas pelos usuários.
 Espero com esse artigo ter conseguido demonstrar uma configuração básica de uma solução viável dentre muitas que existem, para acesso remoto, necessário hoje em dia. Qualquer dúvida, sugestões, críticas, estou a disposição.

@@ Linha 13: / Linha 13: @@
 O Apache Guacamole é uma infraestrutura que possibilita o acesso remoto a desktops utilizando apenas o navegador Web, sem a instalação de nenhum plug-in ou software cliente. Uma vez conectado ao servidor Guacamole ele age com um intermediário (proxy) até um desktop específico localizado na rede local da empresa, utilizando um dos protocolos suportados mais utilizados como: RDP, VNC, SSH. Na Figura 1 podemos compreender a infraestrutura e os seus componentes durante uma conexão fora do perímetro corporativo.
+[[Arquivo:Guac-arch.png|miniaturadaimagem|Arquitetura Guacamole]]
 Todo o projeto é separado em guacamole-server, que fornece o proxy guacd e as bibliotecas relacionadas e o guacamole-client, que fornece o cliente para ser atendido pelo contêiner do servlet do Tomcat. Portanto precisamos que o ambiente a ser instalado ja contemple o Tomcat maior que a versao 8.5. O guacamole-client está disponível em formato binário, mas o guacamole-server deve ser construído a partir do código fonte.
@@ Linha 68: / Linha 68: @@
 Verificar possíveis mensagem de erro e caso esteja sendo executado com sucesso mesmo assim ele está desconfigurado e devemos realizar algumas etapas adicionais no arquivo de configuração principal guacamole.properties.
@@ Linha 93: / Linha 92: @@
 Porém, a configuração do Guacamole começa a ficar interessante quando você tem uma base de dados de usuários e queira utilizar, como por exemplo, LDAP. Existem muitos tutoriais na Internet com exemplos de configuração do arquivo guacamole.properties para integrar as bases de dados. Muitos são de versões antigas e parâmetros que não são mais necessários na versão atual. Depois de muitas tentativas e interagindo com a comunidade de usuários do Guacamole, foi possível uma configuração funcional de uma consulta em uma base de dados LDAP (Active Directory Server) em conjunto com a base de dados MySQL/MariaDB, no qual é necessário para o gerenciamento dos usuários, grupos e atribuição dos desktops a serem conectados.
-Para o suporte a autenticação MySQL/MariaDB e LDAP é necessário fazer o download das extensões das versões instaladas no site
+Para o suporte a autenticação MySQL/MariaDB e LDAP é necessário fazer o download das extensões das versões instaladas no site http://guacamole.apache.org/releases/
 O arquivo guacamole-auth-jdbc-mysql-1.2.0.jar deve ser copiado para o diretório /etc/guacamole/extensions
@@ Linha 140: / Linha 138: @@
 É recomendado o uso de certificados digitais em todos os componentes da infraestrutura do Guacamole para garantirmos uma conexão segura no tráfego das informações e no acesso remoto. É uma configuração trabalhosa que envolve desde a criação das chaves até a importação dos certificados a autoridade certificadora. As seguintes etapas foram configuradas
-==== Criptografia entre o Tomcat e o servidor Guacamole através do connector tag no arquivo server.xml ====
+==== Criptografia entre o Tomcat e o servidor Guacamole ====
 Importando o certificado raiz e intermediário da autoridade certificadora:
@@ Linha 158: / Linha 156: @@
 </pre>
-Configurando o Conector Tomcat:
+Configurando o Conector Tomcat editando o arquivo server.xml:
 <pre>
@@ Linha 225: / Linha 223: @@
 Após vencer todas as etapas de configuração com sucesso vamos acessar a interface de administração digitando no navegador o hostname configurado. Deverá aparecer uma tela solicitando o usuário e a senha. O usuário padrão do Guacamole é guacadmin e a senha é a que foi definida na base de dados do MySQL/MariaDB ou LDAP. Se não foi criado ainda esse usuário deve ser realizado previamente antes de acessar o painel de administração.
-Ao entrar com o usuário escolha a opção Settings. Devemos encontrar um menu de configurações conforme ilustra a Figura 2.
+Ao entrar com o usuário escolha a opção Settings. Devemos encontrar um menu de configurações com as seguintes abas:
@@ Linha 232: / Linha 230: @@
 * Users: todos os usuários encontrados no LDAP ou MySQL/MariaDB. Aqui ao selecionar os usuários, você poderá configurar quais desktops serão atribuídos, junto com o perfil de acesso de cada um.
 * Groups: criação de grupos de desktops, para facilitar a administração dos acessos remotos
-* Connections: nesta seção é que adicionaremos as máquinas remotas a serem acessadas, escolhendo o tipo de conexão, informando o IP e a forma de autenticação no caso de um RDP, conforme Figura 3.
+* Connections: nesta seção é que adicionaremos as máquinas remotas a serem acessadas, escolhendo o tipo de conexão, informando o IP e a forma de autenticação no caso de um RDP, conforme Figura 2 e 3.
 * Preferences: altera as opções de teclado e mouse. Se o acesso vier de um dispositivo móvel, as opções aqui devem ser alteradas para que funcione em telas touch,
@@ Linha 243: / Linha 241: @@
 O Apache Guacamole demonstrou ser uma alternativa viável de acesso remoto aos desktops, sistemas e servidores, podendo ser acessado inclusive por tablets e smartphones, através de um navegador, sem a instalação de clientes ou plug-ins. Facilita e centraliza, através de um gateway, o gerenciamento das conexões remotas em vez de ter que configurar tuneis SSH, liberação de portas RDP e VNC nos firewalls e ainda fornece um relatório de conexões realizadas pelos usuários.
-=== Referencia ===
+[[Categoria:Infraestrutura]]

← Edição anterior		Edição das 20h59min de 15 de julho de 2020
Linha 134:		Linha 134:

	</VirtualHost>		</VirtualHost>
		+	</pre>
		+
		+	=== Habilitando Certificados Digitais no Guacamole ===
		+
		+	É recomendado o uso de certificados digitais em todos os componentes da infraestrutura do Guacamole para garantirmos uma conexão segura no tráfego das informações e no acesso remoto. É uma configuração trabalhosa que envolve desde a criação das chaves até a importação dos certificados a autoridade certificadora. As seguintes etapas foram configuradas
		+
		+	==== Criptografia entre o Tomcat e o servidor Guacamole através do connector tag no arquivo server.xml ====
		+
		+	Importando o certificado raiz e intermediário da autoridade certificadora:
		+	<pre>
		+	keytool -import -trustcacerts -alias root -file ac-raiz.pem -keystore .keystore
		+	keytool -import -trustcacerts -alias intermediate -file cadeia-intermediaria.pem -keystore .keystore
		+	</pre>
		+
		+	Importando o certificado recebido da autoridade certificadora:
		+	<pre>
		+	keytool -import -trustcacerts -alias tomcat -file certificado.pem -keystore .keystore
		+	</pre>
		+
		+	Listando os certificados importados:
		+	<pre>
		+	keytool -list -keystore .keystore
		+	</pre>
		+
		+	Configurando o Conector Tomcat:
		+
		+	<pre>
		+	<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
		+	maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
		+	keystoreFile=".keystore" keystorePass="password"
		+	clientAuth="false" sslProtocol="TLS" />
		+	</pre>
		+
		+
		+	==== Habilitando o servidor Web e Proxy Reverso com os Certificados Digitais ====
		+
		+	Para configurar o servidor Web Apache temos que editar as linhas abaixo e incluir o caminho do certificado recebido pela autoridade certificadora e a chave privada do certificado:
		+
		+	<pre
		+	SSLCertificateFile /etc/pki/tls/certs/certificado.pem
		+	SSLCertificateKeyFile /etc/pki/tls/certs/key.pem
		+	</pre>
		+
		+	==== Criptografia entre a comunicação do guacd-client e o guacd-server ====
		+
		+	Devemos adicionar a linha abaixo no arquivo de configuração principal guacamole.properties
		+	<pre>
		+	guacd-ssl: true
		+	</pre>
		+
		+	Importar o certificado digital da autoridade certificado no armazenamento de chaves do Java
		+
		+	<pre>
		+	keytool -importcert -alias "guacd" -keystore /etc/pki/java/cacerts -file /etc/pki/tls/certs/certificado.pem
		+	</pre>
		+
		+	Alterar o arquivo de serviços guacd.service do systemctl o caminho do certificado e da chave:
		+
		+	<pre>
		+	ExecStart=/usr/local/sbin/guacd -f $OPTS -C /etc/pki/tls/certs/certificado.pem -K /etc/pki/tls/certs/key.pem
		+	</pre>
		+
		+	Após a alteração do arquivo devemos executar o reload:
		+	<pre>
		+	systemctl daemon-reload
		+	</pre>
		+
		+	Devemos obter no arquivo /var/log/messages um registro semelhante a este:
		+	<pre>
		+	guacd[6393]: Guacamole proxy daemon (guacd) version 1.2.0 started
		+	guacd[6393]: Using PEM keyfile /etc/pki/tls/certs/key.pem
		+	guacd[6393]: Using certificate file /etc/pki/tls/certs/certificado.pem
		+	guacd[6393]: Listening on host 127.0.0.1, port 4822
		+	</pre>
		+
		+	==== Criptografia na consulta na base dos usuários do Active Directory Server utilizando LDAPS ====
		+
		+	Devemos primeiro exportar o certificado do AD Server:
		+	<pre>
		+	openssl s_client -showcerts -connect hostname:636 </dev/null 2>/dev/null \| openssl x509 -outform PEM > cert-ad.pem
		+	</pre>
		+
		+	Depois importar na base de chaves do Java:
		+	<pre>
		+	keytool -importcert -alias "ldaps" -keystore /etc/pki/java/cacerts -file cert-ad.pem
		+	</pre>
		+
		+	=== Interface de Administração do Guacamole ===
		+
		+	Após vencer todas as etapas de configuração com sucesso vamos acessar a interface de administração digitando no navegador o hostname configurado. Deverá aparecer uma tela solicitando o usuário e a senha. O usuário padrão do Guacamole é guacadmin e a senha é a que foi definida na base de dados do MySQL/MariaDB ou LDAP. Se não foi criado ainda esse usuário deve ser realizado previamente antes de acessar o painel de administração.
		+
		+	Ao entrar com o usuário escolha a opção Settings. Devemos encontrar um menu de configurações conforme ilustra a Figura 2.
		+
		+
		+	* Active Sessions: lista as conexões ativas no momento podendo encerrar a sessão do usuário caso seja necessário.
		+	* History: mostra um histórico de todos os usuários que realizaram as conexões remotas, os horários, duração e os desktops acessados.
		+	* Users: todos os usuários encontrados no LDAP ou MySQL/MariaDB. Aqui ao selecionar os usuários, você poderá configurar quais desktops serão atribuídos, junto com o perfil de acesso de cada um.
		+	* Groups: criação de grupos de desktops, para facilitar a administração dos acessos remotos
		+	* Connections: nesta seção é que adicionaremos as máquinas remotas a serem acessadas, escolhendo o tipo de conexão, informando o IP e a forma de autenticação no caso de um RDP, conforme Figura 3.
		+	* Preferences: altera as opções de teclado e mouse. Se o acesso vier de um dispositivo móvel, as opções aqui devem ser alteradas para que funcione em telas touch,
		+
		+
		+	=== Conclusão ===
		+
		+	Neste artigo foi mostrado uma configuração básica do Guacamole com certificados digitais para que fosse implementado em todas as camadas de acesso da aplicação um nível se segurança no trânsito das informações. Na versão atual existem outros tipos de autenticação, inclusive com dois fatores (2FA) que não foi coberto neste documento, mas que podem ser encontrados no Manual do Guacamole, como por exemplo: DUO, TOPT, CAS, OpenID, SAML e RADIUS.
		+
		+	Como em qualquer sistema, devemos sempre estar atento com as vulnerabilidades divulgadas nos protocolos de RDP, SSH e suas bibliotecas, assim como o Tomcat, Java e Apache Web Server, instalando e atualizando sempre para as últimas versões estáveis. https://guacamole.apache.org/security/
		+
		+	O Apache Guacamole demonstrou ser uma alternativa viável de acesso remoto aos desktops, sistemas e servidores, podendo ser acessado inclusive por tablets e smartphones, através de um navegador, sem a instalação de clientes ou plug-ins. Facilita e centraliza, através de um gateway, o gerenciamento das conexões remotas em vez de ter que configurar tuneis SSH, liberação de portas RDP e VNC nos firewalls e ainda fornece um relatório de conexões realizadas pelos usuários.
		+
		+
		+	=== Referencia ===