Laboratório: duas redes separadas no Hyper-V com um roteador Windows Server

Pré-requisitos

• Hyper-V com um switch virtual Externo, ligado à sua rede de casa ou do escritório.
• Um Windows Server para fazer o papel de roteador (aqui, o RT01).
• Os controladores de domínio das duas empresas (aqui, o MCAIT01 da matriz e o MCACLOUD01 da empresa adquirida).

No vídeo das duas florestas, a matriz e a empresa adquirida estão em redes diferentes e mesmo assim se enxergam, como aconteceria com um link entre duas empresas de verdade. No vídeo eu não mostro como montei essa parte, porque o assunto ali é o Entra Connect. Este artigo é o complemento: como separar as redes no Hyper-V e ligar as duas com um Windows Server fazendo o papel de roteador.

Quase tudo aqui é feito pela interface gráfica. Os comandos ficam para renomear as placas, criar a rota e testar.

Como fica o laboratório

A matriz fica na rede da sua casa (192.168.68.0/24), pelo switch Externo. A empresa adquirida fica isolada em um switch Privado (10.20.20.0/24). O RT01 tem uma placa em cada rede e encaminha o tráfego entre as duas.

Passo a passo

1Crie o switch privado da empresa adquirida

No Gerenciador do Hyper-V, abra o Gerenciador de Comutador Virtual. A matriz usa o switch Externo, do tipo Rede externa, ligado à placa de rede física do computador: é por ele que as VMs da matriz ficam na mesma rede da sua casa.

Crie um segundo comutador do tipo Rede particular e dê um nome a ele (aqui, Privado).

Um switch de rede particular só liga as VMs entre si: elas não falam com o host nem com a sua rede. É isso que deixa a empresa adquirida separada de verdade.

2Ligue o MCACLOUD01 só na rede privada

Nas Configurações da VM MCACLOUD01, deixe um único adaptador de rede, conectado ao switch Privado. Dentro do Windows, configure o IP:

• IP: 10.20.20.10, máscara 255.255.255.0
• Gateway: 10.20.20.1 (o RT01)
• DNS: o próprio servidor, já que ele é o DC do mcacloud.local

Atenção. Se a VM tiver uma segunda placa no switch Externo, as redes deixam de estar separadas: o DC da adquirida passa a falar com a matriz sem passar pelo roteador.

3Prepare o RT01 com duas placas de rede

O RT01 é um Windows Server comum, fora do domínio. Nas Configurações da VM, adicione dois adaptadores de rede: um no switch Externo e outro no switch Privado.

Dentro do Windows, renomeie as placas com o mesmo nome dos switches. Assim fica fácil saber qual é qual em qualquer tela. Pelo PowerShell, como administrador (troque os nomes atuais pelos que aparecem no seu servidor):

Rename-NetAdapter -Name "Ethernet" -NewName "Externo"
Rename-NetAdapter -Name "Ethernet 2" -NewName "Privado"

Configure os IPs:

• Externo: IP 192.168.68.253/24, gateway 192.168.68.1 (o roteador da sua rede) e o DNS da sua rede.
• Privado: IP 10.20.20.1/24, sem gateway e sem DNS.

Só uma placa pode ter gateway padrão. A placa Privado não precisa, porque o RT01 já conhece a rede 10.20.20.0 diretamente. Na tela de Conexões de Rede, ela aparece como “Rede não identificada”, e isso é normal numa placa sem gateway.

4Instale a função de roteamento

No Gerenciador do Servidor do RT01, use Adicionar Funções e Recursos, escolha a função Acesso Remoto e, nos serviços de função, marque Roteamento (Routing). O assistente marca junto o que for necessário.

5Configure o roteamento de LAN

Abra o console Roteamento e Acesso Remoto (rrasmgmt.msc), clique com o botão direito no RT01 e escolha Configurar e Habilitar Roteamento e Acesso Remoto. No assistente, escolha Configuração personalizada.

Na tela seguinte, marque só Roteamento de LAN, conclua e clique em Iniciar serviço. Não é preciso NAT nem VPN: o objetivo é só encaminhar o tráfego entre as duas redes.

Para conferir depois, clique com o botão direito no RT01 › Propriedades. Na aba Geral, o Roteador IPv4 aparece marcado, com a opção Roteamento somente na rede local (LAN).

Dica. Se o RT01 for reiniciado e o roteamento parar, confira se o serviço Roteamento e Acesso Remoto (RemoteAccess) está como Automático.

6Ensine o caminho para os servidores da matriz

O MCACLOUD01 já sabe voltar para a matriz, porque o gateway dele é o RT01. Já os servidores da matriz usam como gateway o roteador da sua casa, que não conhece a rede 10.20.20.0. Por isso, em cada servidor da matriz que precisa falar com a empresa adquirida (aqui, MCAIT01, MCAIT02 e MCAIT03), adicione uma rota persistente apontando para o RT01. No PowerShell ou no Prompt, como administrador:

route add 10.20.20.0 mask 255.255.255.0 192.168.68.253 -p

O -p deixa a rota gravada mesmo depois de reiniciar o servidor. Para conferir, use route print 10.20.20.*: a rota tem que aparecer em Rotas Persistentes, com o gateway 192.168.68.253.

Observação. Se o roteador da sua rede aceitar rotas estáticas, dá para criar a rota uma vez só nele, em vez de em cada servidor.

7Faça o DNS da matriz encontrar a outra floresta

O Entra Connect, e depois a relação de confiança, procuram a outra floresta pelo nome. No MCAIT01, abra o Gerenciador DNS, clique com o botão direito em Encaminhadores Condicionais › Novo Encaminhador Condicional e crie:

• Domínio DNS: mcacloud.local
• Servidor mestre: 10.20.20.10

Para a relação de confiança, o caminho de volta também é necessário: no MCACLOUD01, um encaminhador condicional para mcait.local apontando para 192.168.68.67.

8Teste a comunicação

No servidor do Entra Connect (aqui, o MCAIT03), teste o IP, o nome e as portas:

ping 10.20.20.10
nslookup mcacloud.local
Test-NetConnection 10.20.20.10 -Port 389

O ping deve responder com TTL=127, sinal de que o pacote passou por um roteador. O nslookup deve devolver 10.20.20.10.

Para conferir as outras portas que o Entra Connect usa de uma vez:

53,88,389,445,3268 | % { Test-NetConnection 10.20.20.10 -Port $_ } | ft RemotePort,TcpTestSucceeded

Dica. Se o nome curto (ping mcacloud01) for para um IP da sua rede de casa, é cache do roteador ou um registro antigo. Use sempre o nome completo (mcacloud01.mcacloud.local), que passa pelo encaminhador condicional.

Resumindo

Com um switch de rede particular no Hyper-V, um Windows Server com roteamento de LAN, uma rota estática nos servidores da matriz e um encaminhador condicional no DNS, as duas empresas ficam em redes separadas e mesmo assim se enxergam. É a base do laboratório das duas florestas no mesmo tenant e da relação de confiança entre elas. Em um ambiente real, essa conectividade costuma vir de uma VPN ou de um link dedicado, configurados pelo time de rede, e a lista de portas vira a regra de firewall entre as duas empresas.