Come richiedere certificati SSL da un server certificati Windows per Hyper-V
Hyper-V dispone di strumenti integrati per la replica delle VM da un host Hyper-V a un altro. Ciò risulta utile per il failover in caso di guasto. Spesso, la replica Hyper-V viene configurata su server Hyper-V collegati a un dominio Active Directory e all’interno di un cluster. Tuttavia, è possibile configurare la replica Hyper-V anche quando i server che eseguono Hyper-V si trovano in un gruppo di lavoro. Per farlo, sono necessari dei certificati.
Questo post del blog spiega come creare certificati per configurare la replica Hyper-V in un gruppo di lavoro utilizzando gli strumenti integrati di Windows Server 2016.
Perché utilizzare i certificati per Hyper-V
La replica basata su certificati consente di replicare VM senza aggiungere host Hyper-V a un dominio o a un cluster Windows. Questa funzione è particolarmente utile per le piccole aziende che dispongono di tre o quattro server e non desiderano implementare un cluster né configurare un dominio tramite Active Directory.
Un altro motivo per utilizzare la replica Hyper-V con certificati nei gruppi di lavoro è la sicurezza. Se i server Hyper-V coinvolti nel processo di replica di VM Hyper-V sono membri di un dominio, tali server Hyper-V possono essere completamente controllati se un utente dispone delle credenziali dell’account amministrativo di Active Directory. In determinati scenari indesiderati, come gli attacchi ransomware, con le credenziali di amministratore del dominio AD, gli aggressori possono distruggere tutte le informazioni presenti sulle risorse a cui riescono ad accedere. Ecco perché in alcuni casi può essere più sicuro lasciare i server Hyper-V utilizzati per la replica di VM Hyper-V in un gruppo di lavoro.
Hyper-V supporta due tipi di autenticazione: Kerberos e certificati HTTPS. Kerberos viene utilizzato per i computer in un dominio Active Directory, mentre i certificati HTTPS vengono utilizzati in ambienti non di dominio. Quando si utilizza una connessione sicura HTTPS, viene eseguita una richiesta di certificato SSL.
Panoramica dei passaggi principali
Prima di iniziare una spiegazione dettagliata del flusso di lavoro, elenchiamo i passaggi principali da eseguire per configurare la replica Hyper-V in un gruppo di lavoro utilizzando i certificati.
- Configurare i nomi host su entrambi i server Hyper-V. È necessario abilitare il ruolo server Hyper-V.
- Abilitare il traffico HTTPS e le connessioni obbligatorie in entrata nel firewall di Windows.
- Creare e configurare i certificati sul primo server. Esportare/importare i certificati.
- Copiare i certificati sul secondo server
- Configurare la replica sul secondo server utilizzando i certificati.
- Configurare la replica sul primo server. Le VM non devono avere alcun punto di controllo.
Nel nostro articolo del blog utilizziamo due macchine Windows Server 2016 con il ruolo Hyper-V installato.
Configurazione dei nomi host sui server
Iniziamo modificando i nomi host. Configurare i nomi DNS per il server di origine (il server primario) e il server di replica (il secondo server o server di destinazione). È obbligatorio aggiungere il suffisso DNS principale. Per utilizzare i certificati è obbligatorio utilizzare nomi di dominio completi (FQDN). Nel nostro esempio, i nomi dei server sono: Hyper-v-prim.test.net – il server principale (il primo server)
Hyper-v-repl.test.net – il server replica (il secondo server)
Per cambiare un nome di dominio, aprire le impostazioni di sistema (fare clic destro sull’icona Il mio computer o Questo PC) e, nella sezione Impostazioni computer, dominio e gruppo di lavoro , fare clic su Settings. Nella scheda Nome del computer , fare clic su Change. Poi nella finestra Cambiamenti al Nome/ Dominio del Computer , inserire un nome del computer, selezionare Workgroup (non un Dominio), cliccare More, e inserire un suffisso DNS primario del computer. Come menzionato sopra, è richiesto un nome completo con un suffisso DNS per abilitare la replica degli Host Hyper-V usando certificati. Un suffisso è test.net nel nostro esempio. Se un nome host è hyper-v-prim , un nome di dominio completamente qualificato è Hyper-v-prim.test.net per il nostro server principale.
Nello screenshot sottostante, potete vedere la configurazione del nome del computer per il server principale.
Una volta configurati i nomi host su entrambi i server, si può iniziare a creare certificati sui server.
Creazione di Certificati sul Server Principale
I certificati possono essere creati usando diversi metodi. Solitamente, viene utilizzata l’interfaccia a riga di comando per questo scopo. La prima opzione è usare lo strumento MakeCert per creare certificati autofirmati. Ora lo strumento MakeCert è deprecato, e useremo un’altra soluzione.
Utilizzare il cmdlet New-SelfSignedCertificate come alternativa moderna allo strumento MakeCert per creare certificati autofirmati.
Sull’host primario ( Hyper-v-prim.test.net ), eseguire i seguenti comandi in PowerShell (come Amministratore) per generare certificati:
New-SelfSignedCertificate -DnsName "Hyper-v-prim.test.net" -CertStoreLocation "cert:LocalMachineMy" -TestRoot
New-SelfSignedCertificate -DnsName "Hyper-v-repl.test.net" -CertStoreLocation "cert:LocalMachineMy" -TestRoot
Quindi controllare i certificati creati e continuare a configurare il server. Tre certificati devono essere creati dopo aver eseguito questi comandi (due certificati server e un certificato root).
Verifica dei certificati creati in MMC
Aprire MMC (Microsoft Management Console) sul primo server. Per aprire MMC, digitare mmc in PowerShell.
Aggiungere un nuovo snap-in in MMC per gestire i certificati nell’interfaccia grafica di Windows (Graphical User Interface).
Cliccare File > Add/Remove Snap-in…
Nel riquadro sinistro (Snap-in disponibili) della finestra che si apre, selezionare Certificates, e cliccare Add.
Nella finestra popup, selezionare Computer account, e premere Next.
Lasciare Local computer selezionato (è selezionato per default), e premere Finish. 
I certificati (Computer locale) dovrebbero ora essere visualizzati nel riquadro destro (Componenti aggiuntivi selezionati) della finestra.
Nella finestra Aggiungi o rimuovi componenti aggiuntivi , fare clic su OK (un componente aggiuntivo è già stato selezionato).
È possibile salvare il componente aggiuntivo aggiunto in MMC.
Fare clic su File > Save as.
Immettere un nome file, ad esempio, Certificates1.msc .
Andare su Certificates (Local Computer) / Personal / Certificates. Dovrebbero essere visibili i due certificati creati in precedenza in PowerShell: Hyper-v-prim.test.net e Hyper-v-repl.test.net .
Fare doppio clic su un certificato per visualizzarne i dettagli del certificato. Il certificato relativo al secondo server ( Hyper-v-repl.test.net ) non è attualmente considerato attendibile.
Vai su Certificates (Local Computer) / Intermediate Certification Authorities / Certificates. Individua il certificato CertReq Test Root obbligatorio per il corretto funzionamento. Fai doppio clic su questo certificato per visualizzarne i dettagli. Il certificato CA root non è considerato attendibile.
Copia il certificato CertReq Test Root da Intermediate Certification Authorities / Certificates a Trusted Root Certification Authorities/Certificates per rendere i certificati attendibili. Seleziona il certificato, premi Ctrl+C per copiare e Ctrl+V per incollare.
Il certificato CertReq Test Root deve trovarsi in Trusted Root Certification Authorities / Certificates (come mostrato nella schermata qui sotto).
Controlla nuovamente i tuoi certificati presenti in Personal/Certificates . Per prima cosa, controlliamo il certificato di un server replica ( Hyper-v-repl.test.net ). Il certificato è ora considerato attendibile e presenta la data di scadenza che è possibile visualizzare nella scheda Generale . Ora sapete anche come verificare la data di scadenza di un certificato SSL in Windows.
Controllate gli altri parametri del certificato nella scheda Dettagli (Utilizzo avanzato della chiave) e nella scheda Percorso di certificazione . Questo certificato è corretto.
Quindi controllare il certificato del server primario proprio come è stato fatto per il certificato del server di replica.
Abbiamo configurato i certificati per il server primario ( Hyper-v-prim.test.net ) e ora dobbiamo configurare il certificato sul secondo server. Dobbiamo copiare i certificati obbligatori sul secondo server ( Hyper-v-repl.test.net ) dove saranno archiviate le repliche. Per farlo, esportare i certificati.
Esportazione di un certificato dal primo server
Sul primo server, selezionare il certificato necessario per il secondo server ( Hyper-v-repl.test.net ) che ha l’ubicazione in Personal/Certificates. Fare clic con il tasto destro del mouse sul certificato e, nel menu contestuale, selezionare All Tasks > Export.
Si apre la procedura guidata di esportazione dei certificati.
1. Welcome. Nella schermata di benvenuto non c’è nulla da configurare. Clicca su Next ad ogni passaggio per continuare.
2. Export Private Key. Seleziona Yes, export the private key.
3. Export File Format. Seleziona Personal Information Exchange – PKCS #12 (.PFX), quindi seleziona Include all certificates in the certification path if possible.
4. Security. Inserisci una password per garantire la sicurezza e proteggere la chiave privata.
5. File to Export. Specifica il nome e l’ubicazione del file che desideri esportare, ad esempio C:tempHyper-v-repl.pfx
6. Completing the Certificate Export Wizard. Verifica la configurazione e clicca su Finish.
Dovresti visualizzare il messaggio: L’esportazione è stata completata con successo . Ciò significa che è tutto a posto.
Esportazione del certificato radice dal primo server
Sono stati esportati due certificati. Ora dovresti esportare il certificato radice allo stesso modo. Le azioni vengono eseguite sul primo server ( Hyper-v-prim.test.net ).
Seleziona il certificato CertReq Test Root che si trova in Trusted Root Certification Authorities / Certificates.
Fai clic con il tasto destro del mouse sul certificato; clicca su All Tasks > Export.
Si apre la procedura guidata per l’esportazione dei certificati.
1. Welcome. Fai clic su Next per continuare.
2. Export File Format. Seleziona il formato che desideri utilizzare:
DER encoded binary X.509 (.CER)
3. File to Export. Inserisci il nome del file e il percorso in cui salvarlo, ad esempio, C:temptestRoot.cer
4. Completing the Certificate Export Wizard. Verifica la configurazione e termina l’esportazione.
I certificati vengono esportati nei file Hyper-v-repl.pfx e TestRoot.cer , che ora hanno l’ubicazione in C:temp sul primo server.
Copia dei certificati esportati sul secondo server
Copia i due file di certificati esportati (Hyper-v-repl.pfx e TestRoot.cer) dal primo server al secondo.
Copiamo i file in C:temp sul secondo server.
È possibile utilizzare il percorso di rete Hyper-v-replC$ o 192.168.101.213C$ per copiare i certificati tramite rete (dove 192.168.101.213 è l’indirizzo IP del server di replica nel nostro caso). La configurazione del firewall deve consentire le connessioni per il protocollo SMB.
Importazione dei certificati sul secondo server
Una volta copiati i certificati sul server di replica, è necessario importarli su tale server.
Aprire MMC sul server di replica (il secondo server) proprio come è stato fatto sul server primario.
Aggiungere uno snap-in nella finestra MMC.
Fare clic su File > Add/Remove Snap In.
Selezionare Certificates, click Add.
Selezionare Computer account, quindi selezionare Local Computer.
Fare clic su OK.
Come scorciatoia per aprire questo snap-in nell’interfaccia grafica di Windows, è possibile utilizzare il comando nel CMD di Windows o in PowerShell:
certlm.msc
Questo comando apre Gestione certificati di Windows (la console di gestione dei certificati) per configurare i certificati del computer locale.
Andare su Certificates (Local Computer) / Personal.
Fare clic con il tasto destro del mouse su uno spazio vuoto e, nel menu contestuale, fare clic su All tasks > Import.
Si apre la procedura guidata di importazione dei certificati.
1. Welcome. Selezionare Local machine.
2. File to Import. Sfoglia il file Hyper-v-repl.pfx . Fare clic su Browse, selezionare l’opzione per visualizzare tutti i file e selezionare Hyper-v-repl.pfx
3. Private key protection. Inserisci la password che hai impostato durante l’esportazione del certificato.
4. Certificate Store. Inserisci tutti i certificati nel seguente archivio:
Archivio certificati: Personal
5. Completing the Certificate Import Wizard. Verifica la configurazione e clicca su Finish.
Se tutto è corretto, dovresti vedere il messaggio: L’importazione è andata a buon fine .
Ora il certificato Hyper-v-repl.test.net si trova in Certificates (Local Computer) / Personal / Certificates sul server replica (il secondo server). Nel nostro caso, anche il certificato CertReq Test Root è stato importato in questa ubicazione.
Il certificato CertReq Test Root deve trovarsi in Trusted Root Certification Authorities / Certificates. Copiare questo certificato nell’ubicazione richiesta. È possibile importare TestRoot.cer manualmente, proprio come è stato importato Hyper-v-repl.pfx
Verifica della revoca del certificato
Tenere presente che la verifica della revoca del certificato è obbligatoria per impostazione predefinita e che i certificati autofirmati non hanno supporto per la verifica della revoca su Windows Server 2012. Per questo motivo, è necessario disabilitare la verifica della revoca del certificato per i certificati di test. Aggiungere le impostazioni al Registro di sistema di Windows su entrambe le macchine. Eseguire il seguente comando in CMD o PowerShell come amministratore.
reg add "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionVirtualizationReplication" /v DisableCertRevocationCheck /d 1 /t REG_DWORD /f
Potrebbe essere necessario riavviare il computer.
Risoluzione dei nomi host
Aggiungere le voci al file hosts (C:Windowssystem32driversetchosts) su entrambi i computer per consentire la risoluzione dei nomi host in indirizzi IP quando si opera in un gruppo di lavoro (quando i computer non fanno parte di un dominio Active Directory). Nel nostro caso aggiungiamo queste righe al file host su entrambi i server:
192.168.101.209 Hyper-v-prim.test.net
192.168.101.213 Hyper-v-repl.test.net
Configurazione delle impostazioni di replica su un server di replica
Eseguire le seguenti azioni sul secondo server in cui devono essere archiviate le repliche delle macchine virtuali.
Aprire Gestione Hyper-V.
Fare clic con il pulsante destro del mouse sul server di replica ( Hyper-v-repl.test.net nel nostro caso) e, nel menu contestuale, selezionare Hyper-V Settings.
Nel riquadro sinistro della finestra Impostazioni Hyper-V , selezionare Replication Configuration.
Selezionare queste caselle di controllo in Replication Configuration:
Enable this computer as a Replica serverUse certificate-based Authentication (HTTPS)
Fare clic su Select Certificate.
La finestra pop-up Windows Security visualizza le informazioni relative al certificato. Fare clic su OK per selezionare questo certificato.
In Replication Configuration , selezionare l’opzione Allow replication from the specified serverse fare clic su Add.
Configurare i parametri nella finestra Add Authorization Entry .
Specificare il server primario: Hyper-v-prim.test.net
Specificare la posizione predefinita in cui archiviare i file di replica: C:Hyper-VVirtual Hard Disks (questo è un esempio: utilizzare una posizione personalizzata che non si trovi su C:)
Specificare il gruppo di fiducia: replication
Configurazione del firewall di Windows
Configura il firewall per abilitare il traffico in entrata. Abilita le connessioni TCP in entrata sulla porta 443 sul server replica (o disabilita temporaneamente il firewall per scopi di test).
Enable-Netfirewallrule -displayname "Hyper-V Replica HTTPS Listener (TCP-In) "
netsh advfirewall firewall show rule name=all dir=in | find "Hyper-V "
Configurazione della replica sul primo server
Crea una VM su un server Hyper-V primario per replicare. Assicurati che la VM di origine non abbia istantanee prima di abilitare la replica. Abilita la replica sulla prima macchina, che è il server primario ( Hyper-v-prim.test.net nel nostro caso).
Fai clic con il tasto destro su una VM e, nel menu contestuale, seleziona Enable Replication.
Si apre la procedura guidata Abilita replica .
Before you Begin. Premi Next per continuare.
Specify Replica Server. Inserisci il nome del server replica. Nel nostro caso, usiamo Hyper-v-repl.test.net come server replica.
Specify Connection Parameters. Seleziona Use certificate-based authentication (HTTPS), e fai clic su Select Certificate.
Una volta che fai clic su Select Certificate, si apre una finestra a comparsa con dettagli sui certificati configurati in precedenza. Premi OK per usare questo certificato.
Configura altre impostazioni di replica come al solito per completare la configurazione della replica sul server di origine.
Choose Replication VHDs. Seleziona i dischi virtuali VM che devono essere replicati. Puoi selezionare tutti i dischi virtuali VM o solo alcuni di essi.
Configure Replication Frequency. Scegli la frequenza con cui i cambiamenti vengono inviati al server replica, ad esempio, 5 minutes.
Configure additional recovery points for this virtual machine. Nel nostro esempio, scegliamo di creare ulteriori punti di ripristino ogni ora. Seleziona le opzioni che meglio si adattano alle tue esigenze. I punti di ripristino sono il risultato della replica incrementale (basata su snapshot).
Choose Initial Replication Method. Seleziona Send initial copy over the network.
Clicca su Finish per finire di configurare la replica Hyper-V nativa utilizzando certificati in un gruppo di lavoro, e chiudi la procedura guidata.
Alternative alla replica Hyper-V nativa
La funzionalità integrata di Hyper-V per eseguire la replica è utile. Ma a volte potresti aver bisogno di funzionalità estese per eseguire la replica Hyper-V e l’failover della macchina virtuale. C’è una buona alternativa alla replica Hyper-V nativa.
NAKIVO Backup & Replication è una soluzione universale di protezione dei dati che può eseguire il backup delle macchine virtuali Hyper-V ed eseguire il failover della VM. Il prodotto supporta la replica Hyper-V nei domini Active Directory e nei gruppi di lavoro. La seguente funzionalità è inclusa:
- Replica consapevole delle applicazioni. I dati contenuti in una replica di una VM sono coerenti quando si replica una VM in stato di esecuzione, grazie all’utilizzo del servizio Microsoft Volume Shadow Copy (VSS) in esecuzione all’interno delle macchine virtuali.
- La replica incrementale tramite la tecnologia Resilient Change Tracking (RCT) di Microsoft consente di risparmiare spazio su disco e tempo. La prima esecuzione di un processo di replica copia tutti i dati della VM di origine; successivamente, vengono copiati solo i dati modificati, creando i punti di ripristino appropriati per la replica della VM.
- Impostazioni di conservazione flessibili e Criterio di conservazione dei dati di GFS. È possibile mantenere un’ampia gamma di punti di ripristino per periodi di tempo diversi e ottimizzare lo spazio di archiviazione utilizzato in un repository di backup.
- L’accelerazione di rete aumenta la velocità di replica utilizzando la compressione dei dati, consentendo di risparmiare tempo.
- Il troncamento dei log per Microsoft Exchange e SQL consente di risparmiare spazio di archiviazione per le VM di Hyper-V che eseguono un database durante la loro replica.
- Il failover automatizzato delle macchine virtuali consente di ripristinare una macchina virtuale in breve tempo.
- Ripristino dell’ambiente consente di creare scenari complessi di ripristino di emergenza con azioni multiple, tra cui la replica e il failover delle macchine virtuali Hyper-V.
È possibile ripristinare una macchina da un backup di un server fisico su una macchina virtuale, oppure ripristinare un backup di una macchina virtuale Hyper-V su una macchina virtuale VMware. Non aspettate che si verifichi un disastro: scaricate NAKIVO Backup & Replication e proteggete le vostre macchine virtuali Hyper-V oggi stesso!
Conclusione
La replica Hyper-V è importante per proteggere le VM Hyper-V e garantire il ripristino dei dati e dei carichi di lavoro in breve tempo a seguito di eventuali guasti. A volte potrebbe essere necessario configurare la replica Hyper-V in ambienti non di dominio, quando i server Hyper-V non fanno parte di un dominio Active Directory e appartengono a un gruppo di lavoro.
È necessario creare certificati autofirmati per replicare le VM Hyper-V in un gruppo di lavoro e configurare l’autenticazione per i server Hyper-V utilizzando tali certificati. La configurazione riguarda i nomi host, il firewall e il controllo della revoca dei certificati prima di configurare la replica di VM Hyper-V sugli host Hyper-V.
