Implementación de un alias y un puerto no estándar de SQL Server en Lync Server 2013

Artículo
09/17/2015

Última modificación del tema: 16-09-2015

Microsoft Lync Server 2013 admite el uso de un puerto y alias no estándar en SQL Server. Usar un puerto no estándar SQL Server y un alias aumenta la seguridad y crea un entorno más flexible para la implementación de Lync. Estos pasos son solo un paso para proteger correctamente su entorno de Lync Server 2013. Es necesario tomar medidas adicionales para reducir la superficie expuesta a ataques de una implementación de Lync Server 2013.

En el artículo siguiente se describen los pasos necesarios para configurar un alias y un puerto no estándar de SQL Server en Lync Server 2013.

Implementar un SQL Server puerto y alias no estándar en Lync Server 2013

El Generador de topología de Lync Server 2013 admite el uso de un alias de SQL Server como nombre de dominio completo (FQDN) en lugar del FQDN SQL Server real al configurar Lync Server 2013. Esto permite que el FQDN de SQL Server real se oculte de cualquier atacante malintencionado. Además, el uso de un puerto no estándar oscurece el puerto real de cualquier atacante que intente atacar la base de datos en el puerto estándar 1433, como se muestra en la siguiente ilustración.

Un hacker no conoce el número de puerto al que atacar.

Para poder determinar con éxito el puerto que Lync Server 2013 usa para comunicarse con SQL Server, el atacante tendría que examinar todos los puertos para obtener la información del puerto. Un análisis de puerto por parte de un atacante aumenta las posibilidades de que la seguridad pueda detectar y detener la instrucción. Además de agregar mayor seguridad con un puerto no estándar, también puede usar un alias de SQL Server para proporcionar flexibilidad para la implementación. Esto es valioso para reducir los cambios de configuración en situaciones donde se requiere un cambio de nombre SQL Server.

Nota

SQL Server proporciona dos métodos de tolerancia a errores (clústeres de conmutación por error y creación de reflejos). Ambos métodos de tolerancia a errores SQL Server son compatibles con el uso de un puerto no estándar SQL Server y un alias con Lync Server 2013. Si el SQL Server back-end usado por el grupo está en una configuración reflejada, el servicio de explorador SQL de la SQL Server servidores back-end debe ejecutarse para que los servidores front-end se conecten a la base de datos reflejada cuando las bases de datos se conmutan por error a la SQL Server reflejada.

Al configurar SQL Server conectividad de base de datos desde el Generador de topologías o al usar el cmdlet de Install-CsDatabase, no es posible definir explícitamente un número de puerto no estándar SQL Server y asociarlo a una instancia de SQL. Para establecer un puerto no estándar, tendrás que usar las utilidades de SQL Server y Windows Server.

Para configurar un SQL Server puerto y alias no estándar para su uso con Lync Server 2013, deberá completar tres pasos principales. Estos pasos son:

Confirme que Lync Server 2013 tiene aplicada la Novedades más reciente.
Configura el SQL Server puerto y alias no estándar.
Configure Lync Server 2013 con el alias de SQL Server mediante el Generador de topología.
Publique la topología y compruebe la base de datos.

Confirmar que Lync Server 2013 tiene aplicada la Novedades más reciente

Es importante mantener Lync Server 2013 actualizado. Para comprobar si hay actualizaciones más recientes e información sobre cómo aplicarlas, consulte Novedades para Lync Server 2013.

Configurar el SQL Server puerto y alias no estándar

El SQL Server puerto y alias no estándar deben configurarse en la instancia de base de datos antes de que se pueda hacer referencia a ella desde el Generador de topología de Lync Server 2013. Para configurar un SQL Server alias y puerto no estándar, tendrá que completar tres pasos principales. Estos pasos son los siguientes:

Cambie los valores de protocolo TCP/IP predeterminados.
Crear y configurar un alias de SQL Server.
Cree un registro de recursos de Nombre canónico (CNAME) del Sistema de nombres de dominio (DNS).

Modificar los valores de protocolo TCP/IP predeterminados

Seleccione Inicio y elija Administrador de configuración de SQL Server, como se muestra en la siguiente ilustración.
En el panel de navegación, elija expandir el SQL Server instancia, elija expandir SQL Server Configuración de red y elija Protocolos como <nombre> de instancia, como se muestra en la siguiente ilustración.
En el panel derecho, haz clic con el botón derecho en TCP/IP y selecciona Propiedades. Se muestra el cuadro de diálogo Propiedades de TCP/IP.
Selecciona la pestaña Direcciones IP . La pestaña Direcciones IP muestra todas las direcciones IP activas en el servidor. Estos se encuentran en el formato IP1, IP2, hasta IPAll, como se muestra en la siguiente ilustración.
Borre el campo Puertos dinámicos TCP para todas las direcciones IP. Si el campo contiene un carácter cero, significa que SQL Server está escuchando los puertos dinámicos. Asegúrese de que estos campos están borrados y no contienen un cero.
Para la dirección IP que Lync Server usará para conectarse a la base de datos, asegúrese de que Habilitado esté establecido en Sí, como se muestra en la siguiente ilustración.
En la sección IPAll de la parte inferior del cuadro de diálogo, introduzca el puerto deseado en el campo Puerto TCP , como se muestra en la siguiente ilustración. En este ejemplo, usamos el puerto 50062, pero puede usar cualquier puerto entre 49152 y 65535. Estos son los puertos asignados a un uso dinámico y privado, y esto garantiza que no entre en conflicto con otros puertos que se usen en la implementación de Lync Server 2013.
Elija Aceptar para salir del cuadro de diálogo Propiedades de TCP/IP.
Reinicie la instancia de SQL Server seleccionando Servicios de SQL Server en el panel izquierdo de Administrador de configuración de SQL Server. A continuación, haga clic con el botón derecho en SQL Server <nombre> de instancia en el panel derecho y seleccione Reiniciar, como se muestra en la siguiente ilustración.

Importante

Asegúrese de actualizar la configuración del firewall para dar cabida al nuevo puerto de SQL Server.

Crear y configurar un alias de SQL Server

Seleccione Inicio y elija Administrador de configuración de SQL Server, como se muestra en la siguiente ilustración.
En el panel izquierdo, elija expandir SQL Server instancia, elija expandir Configuración de la versión> de SQL Native Client <y, después, elija Alias, como se muestra en la siguiente ilustración.
Haga clic con el botón derecho en Alias y seleccione Nuevo alias....
Escriba el nombre del alias, el número de puerto, el protocolo y el servidor, tal y como se muestra en la siguiente ilustración.

Precaución

Asegúrese de escribir el mismo puerto no estándar que usó en el paso anterior, ya que es el puerto en el que SQL Server escuchará. Si un alias configurado se está conectando al SQL Server FQDN o instancia incorrectos, deshabilite y vuelva a habilitar el protocolo de red asociado. Al hacerlo, se borra toda la información de conexión almacenada en caché y se permite al cliente conectarse correctamente.

Crear un registro de recursos CNAME DNS

Inicie sesión en el equipo que administra DNS.
Seleccione Inicio y elija Administrador del servidor, como se muestra en la siguiente ilustración.
Elija la lista desplegable Herramientas y seleccione DNS, como se muestra en la siguiente ilustración.
En el panel izquierdo, expanda el nodo de nombre de servidor, expanda el nodo Zonas de búsqueda directa y elija el dominio correspondiente.
Haga clic con el botón derecho en el dominio y seleccione Nuevo alias (CNAME)... Como se muestra en la siguiente ilustración.
Escriba el Nombre de alias y el FQDN para SQL Server, como se muestra en la siguiente ilustración.
Elija Aceptar para guardar el CNAME y verlo en el Administrador de DNS.

Validar la conectividad de la base de datos

Hay muchas maneras diferentes de asegurarse de que funciona. Desea asegurarse de que la base de datos de SQL Server está escuchando en el puerto especificado con el alias. Se puede realizar una comprobación rápida con los comandos netstat y telnet .

Nota

El cliente Telnet es una característica que viene con Windows Server pero que se debe instalar. Para instalar una característica de Windows Server, abre Administrador del servidor y selecciona Agregar roles y características en el menú Administrar.

Usar netstat y telnet para comprobar la conectividad de la base de datos

Selecciona Inicio y escribe cmd para abrir un símbolo del sistema.
Escribe netstat -a -f y confirma que SQL Server se está ejecutando con el puerto correcto, como se muestra en la siguiente ilustración.
Escriba telnet <alias name><port #> para confirmar la conexión a la instancia de SQL Server. Si la conexión es correcta, telnet se conectará y no debería ver un error. Esto muestra que la instancia de SQL Server está escuchando en el puerto correcto con el alias correcto. Si hay un problema al conectarse a la base de datos de SQL Server, telnet muestra un error que indica que no se puede realizar la conexión. Ahora que ha comprobado la conectividad de la base de datos en el servidor de bases de datos, puede hacer lo mismo desde Lync Server (a través de la red) y asegurarse de que no haya firewalls que bloqueen el acceso durante el proceso.

Conclusión

Una vez configurado el alias de SQL Server, puede usarlo para crear una topología de Lync Server 2013 en la herramienta Generador de topologías. Para obtener más información sobre topologías, vea Definir y configurar la topología en Lync Server 2013.

Vea también

Microsoft Lync Server 2013 Planning for security in Lync Server 2013
Definición y configuración de la topología en Lync Server 2013
Implementar Lync Server 2013