Internetfreigabe Windows Server mit DNS und AD einrichten, ohne das ich mich kollabie

[Der Newbie 10]

Hallo,

 

ich bekomm es einfach nicht hin, obwohl es wohl einfach ist. Habe schon diverse Links ausgewertet, aber teilweise erscheinen die mir nicht hilfreich.

 

Ich habe ein Wk2 Server mit DNS und ACTIVE DIRECTORY und 2 WK2 Clients und auf dem Server DSL. Mit dem Server kann ich wunderbar ins Internet, schaffe es jedoch nicht die Clients ins Internet zu bringen. Habe lt. diverser Links das Stammverzeichnis "." gelöscht und eine DNS Weiterleitung an den Telekom DNS Server eingerichtet, habe als Standartgateway die Serverip (192.168.0.1) eingetragen. Die Clients lösen die Namen auch richtig auf die IP auf, der Internetexplorer sucht sich dann nach den IP dumm und dämlich und bricht irgendwann mal ab. Das bedeutet ja, das die DNS Geschichte richtig läuft, aber die IP Pakete nicht vom Server auf die Clients übertragen werden.

 

Ich bin zwar sehr lernbegabt, was Computer und Co angeht, aber keiner vom "Fach".

 

Einerseits heisst es ich brauche NAT, andererseits heisst es ich brauche Routing und RAS, dann lese ich wieder NAT geht nicht, wenn DNS eingerichtet ist, weil NAT ein quasi verkrüppelter DNS im Eigenbau ist. Dann lese ich wieder die Clients müssten Automatisch konfiguriert werden über DNS vom Server, dazu bräuchte es aber DHCP, was wiederum nicht gehen soll, wenn NAT läuft. Im Augenblick stehe ich in einem dunklen Tunnel und alle um mich rum haben Nebelkerzen gezündet.

 

Dann lese ich wieder, Routing geht nicht, weil ja die Clients nur auf eine bestehende Leitung zugreifen können, ich bräuchte aber ne Möglichkeit das der Client die Wählverbindung (DSL) startet und auch wieder beenden kann (Volumentarif).

 

Die Windowshilfe etc. ist zwar sehr umfangreich, aber für mich als Hobbyadministrator doch zu kompliziert.

 

So, nachdem ich nun meinen Leidensweg beschrieben habe mal kurz und knapp die Ausgangslage:

 

RAS / Routing habe ich noch nicht eingerichtet, wer kann mir also helfen und mir eine Dummbieanleitung geben, was ich alles tun muss, damit mein DOMÄNENCONTOLLER mit AD und DNS den Clients eine Wählverbindung bereitstellen kann?

 

Die Clients und den Server habe ich manuell konfiguriert mit 192.168.0.x (x=3,4), der Server, die DNS IP beide auf 192.168.0.1 eingestellt. Im Active Directory habe ich die Computernamen eingetragen und kann auch über AD auf die Clients zugreifen. Als DNS Server habe ich auf den Clients die ServerIP angegeben. Alles läuft unter der gleichen Subnetzmask 255.255.255.0. Eine DNS Weiterleitung für nicht auflösbare Namen auf den TelekomDNS (da habe ich in der DNS Konsole gesehen, das sich dort ein Haufen zwischengespeicherte Lookupvorgänge eingetragen haben, sind alles IP adressen von mir besuchter Seiten, ebenso habe ich plötzlich reverse Lookupzonen, die ich nie eingerichtet habe).

 

Wer mir eine IKEA Anleitung nennen kann, den beschenke ich mit 5 Gebeten für den Tag, sonst habe ich bald keine Haare mehr...

 

 

By the Way, ich habe in der Windowshifle gelesen, das es klug sei möglichst nicht am Server zu arbeiten (als Arbeitsplatzrechner) usw. aus sicherheitsgründen.

Ist das überhaupt ne kluge Lösung DSL auf dem Server zu haben, oder gibt es noch eine andere Lösung, das ich die DSL Netzwerkanbindung auf einem client installiere und von da aus freigebe?

 

vielen dank, der Newbie

[wean 10]

huhu,

 

willkommen am Board :o)

 

Habe lt. diverser Links das Stammverzeichnis "." gelöscht und eine DNS Weiterleitung an den Telekom DNS Server eingerichtet

[/Quote]

 

Ist doch gar nicht so schlecht. Damit geht schon einmal der DNS - Und der Server weiss, dass es ausser ihm noch andere Server gibt, die er fragen könnte. z.B der Telekom-DNS Server :)

 

Nur wie zum DNS-Server hingelangen? :p

 

Installiere Dir doch erst einmal auf dem Server die RASPPPOE Treiber:

http://www.raspppoe.com/RASPPPOE_098B.ZIP

1. Rechtsclick auf die LAN-Verbindung

2. Installieren

3. Protokoll

4. raspppoe-Treiber auswählen, die Du ja eben heruntergeladen hast.

 

Jetzt kann Dein Windows über die Netzwerkkarte eine "DFÜ-Verbindung" erstellen (Wird dem Windows als ISDN-Karte verkauft und Du kannst somit eine DSL-"Wähl" Verbindung einrichten)

 

Anschliessend konfigurierst Du im RRAS-Dienst von Deinem Windows Server eine neue Schnittstelle für Wählen bei Bedarf.

RRAS -> Routingschnittstellen -> Rechtsclick -> Neue Schnittstelle für Wählen bei Bedarf

 

Als Gerät wählst Du das installierte RASPPPOE-Device und als Rufnummer kannst Du bei dieser Verbindung 230598234890 eingeben (Ist egal, was Du hier eingibst, es wird ja schliesslich nur so getan, als würde gewählt werden).

 

Bei T-Online setzt sich dann der Benutzername und Passwort wie folgt zusammen:

 

Benutzername:

AnschlusskennungT-OnlineNummer#0001@t-online.de[/Quote]

 

Passwort:

Ihr persönliches Kennwort lautet: :o)[/Quote]

 

Dann gehst Du im RRAS-Server noch unter Allgemein - Statische Routen -> Neu:

 

Ziel: 0.0.0.0/0.0.0.0

Gerät (Gerade eben angelegte Verbindung)

 

Und wichtig: Achte dass "Bei Bedarf herzustellende Wählverbindungen über diese Route initiieren" angeclickt ist.

 

Jetzt hüpfst Du im RRAS-Dienst nochmal zurück auf Routing-Schnittstellen und konfigurierst in den Eigenschaften Deiner angelegten Routing-Schnittstelle, die Zeit wann und ob der Server die Leitung wieder trennen oder aufrechterhalten soll.

 

Nun: :p

Gehst Du nochmal im RRAS-Dienst unter IP-Routing, mit der Rechten Maus auf "Allgemein" und sagst:

 

Neues Routing-Protokoll:

Da wählst Du jetzt NAT aus. Jetzt erscheint NAT unter dem Punkt IP-Routing. Clicke drauf und füge die vorhin erstellte Schnittstelle für Wählen bei Bedarf hinzu.

[wean 10]

By the Way, ich habe in der Windowshifle gelesen, das es klug sei möglichst nicht am Server zu arbeiten (als Arbeitsplatzrechner) usw. aus sicherheitsgründen.

Ist das überhaupt ne kluge Lösung DSL auf dem Server zu haben, oder gibt es noch eine andere Lösung, das ich die DSL Netzwerkanbindung auf einem client installiere und von da aus freigebe?

[/Quote]

 

Ist natürlich nicht gut. Dein Server steht dann im öffentlichen Netz - Und zwar so, wie Gott ihn schuf. Mit all seinen entblößten Ports :p

 

Du kannst aber Filter einrichten :)

z.B nur FTP, HTTP und natürlich DNS

 

Unter dem Punkt IP-Routing -> Allgemein dürftest Du Deine vorhin erstellte "Schnittstelle für Wählen bei Bedarf" finden. Diese kannst Du nun konfigurieren und "Eingabe-Filter" und "Ausgabe-Filter" definieren.

 

Eingabefilter alles was reinkommt.

Ausgabefilter alles was den Server verlassen "darf" oder soll :o)

 

Damit Dein Server z.B einen DNS-Server fragen darf, wie die IP irgend eines Hosts ist:

 

Eingabefilter:

Quellnetzerk:

Ip-Adresse: telekom.dns.ru (weiss die ip ned)

MASK: 255.255.255.255

Zielnetzwerk: lässt weg, ausser Du hättest z.B eine feste IP, was ich jetzt einfach nicht annehme :p

 

Protokoll: UDP

Quellport: 53

Zielport: 0

[/Quote]

 

Ausgabefilter:

Quellnetzwerk: lässt weg, ausser Du hättest z.B eine feste IP, was ich jetzt einfach nicht annehme :p

Zielnetzwerk: Ip-Adresse: telekom.dns.ru (weiss die ip ned)

MASK: 255.255.255.255

 

Protokoll: UDP

Quellport: 0

Zielport: 53

[/Quote]

 

Jetzt hakst Du noch:

Alle Pakete verwerfen mit Ausnahme derjenigen die die unten aufgeführten Kriterien erfüllen (Das musst Du bei den Eingabe als auch Ausgabefiltern machen)

[/Quote]

an und jetzt dürftest Du in der Lage sein DNS-Namen aufzulösen. (Mehr nicht, der Rest ist alles gesperrt)

 

Ich würde Dir aber empfehlen, erst ohne Filter anzufangen. Sonst erschwert das die Fehlersuche, wenn etwas nicht klappen sollte. Sobald aber die Clients sorgenfrei "in das Internet kommen", kannst du ja anfangen die Filter einzurichten. Bis dahin wird Dich schon keiner hacken und Deine brisanten Daten stehlen :D

 

 

 

Ich hoffe, ich konnte helfen (Wenig los grad bei mir in der Arbeit :p )

 

 

wean

[Der Newbie 10]

Vielen Dank Wean,

 

Jetzt kann Dein Windows über die Netzwerkkarte eine "DFÜ-Verbindung" erstellen (Wird dem Windows als ISDN-Karte verkauft und Du kannst somit eine DSL-"Wähl" Verbindung einrichten)[/Quote]

 

Thanks, ich habe schon eine Einwahlverbindung mit dem Original Telekomtreiber. Nebenbei, lohnt es sich denn den Rasspoe, statt dem Original Treiber zu nutzen? Mein DSL (Business DSL) funzt einwandfrei...

 

Anschliessend konfigurierst Du im RRAS-Dienst von Deinem Windows Server eine neue Schnittstelle für Wählen bei Bedarf.

RRAS -> Routingschnittstellen -> Rechtsclick -> Neue Schnittstelle für Wählen bei Bedarf[/Quote]

 

Danke, aber genau das ist ja mein Problem, ich habe RAS nicht installiert und lt. Windowshelp ist das ein 8 Schritt Step...

 

Als Gerät wählst Du das installierte RASPPPOE-Device und als Rufnummer kannst Du bei dieser Verbindung 230598234890 eingeben (Ist egal, was Du hier eingibst, es wird ja schliesslich nur so getan, als würde gewählt werden).

[/Quote]

 

Ich nehm da meine Wählverbindung, oder?

 

 

Dann gehst Du im RRAS-Server noch unter Allgemein - Statische Routen -> Neu:

 

Ziel: 0.0.0.0/0.0.0.0

Gerät (Gerade eben angelegte Verbindung)

 

Und wichtig: Achte dass "Bei Bedarf herzustellende Wählverbindungen über diese Route initiieren" angeclickt ist.

 

Jetzt hüpfst Du im RRAS-Dienst nochmal zurück auf Routing-Schnittstellen und konfigurierst in den Eigenschaften Deiner angelegten Routing-Schnittstelle, die Zeit wann und ob der Server die Leitung wieder trennen oder aufrechterhalten soll.

[/Quote]

 

 

Das scheint mir einfach zu sein, aber in den Sicherheitsbeschreibungen muss man ja auch noch Kiloweise Berechtigungen setzten (RAS erlaubt, Einwahl erlaubt usw...), was gibt es denn hier noch zu beachten??

 

 

Nun:

Gehst Du nochmal im RRAS-Dienst unter IP-Routing, mit der Rechten Maus auf "Allgemein" und sagst:

 

Neues Routing-Protokoll:

Da wählst Du jetzt NAT aus. Jetzt erscheint NAT unter dem Punkt IP-Routing. Clicke drauf und füge die vorhin erstellte Schnittstelle für Wählen bei Bedarf hinzu.

[/Quote]

 

 

Geht NAT nun doch unter AD und DNS? Ich dachte nicht??????

 

 

Vielen Dank erstmal, werde das mal testen....

Der Newbie...

[Der Newbie 10]

Ich würde Dir aber empfehlen, erst ohne Filter anzufangen. Sonst erschwert das die Fehlersuche, wenn etwas nicht klappen sollte. Sobald aber die Clients sorgenfrei "in das Internet kommen", kannst du ja anfangen die Filter einzurichten. Bis dahin wird Dich schon keiner hacken und Deine brisanten Daten stehlen

 

Ja, da habe ich auch Angst davor. Ich muss eh einiges Neuinstallieren, da ich einen neuen Rechner habe, kann man das was ich vorhabe nicht auch so abwickeln, das ich die DSL Karte in den Client einbaue und von dem aus ins Internet gehe bzw. die anderen REchner über ihn ins NEtz gehen können?

 

Oder muss die DSL Karte ZWANGSLÄUFIG im Server stecken? Habe mir damals zwar eine

 

Eumex 704PC LAN

 

 

geholt, aber da müssen die Clients ja über ein 10Mbit Anschluß verfügen und die Netzwerkkarten sind ja an meinem DualHub angesteckt. Und auf Monsterkabelsalat habe ich keinen Bock. Ausserdem hat mri das damals mal den Server weggehauen.

 

 

Ich habe eine Softwarefirewall laufen, muss ich trotzdem noch die Portfreigabe und Verschliessung vornehmen, oder langt Outpost Pro?

 

 

Ich hoffe, ich konnte helfen (Wenig los grad bei mir in der Arbeit )

 

Eine ganze Menge, wenn es denn so funktioniert, aber ich denke mal, Du bist ein Profi. Ich geb auf alle Fälle bescheid, ob mein Monitor explodiert ist, oder ob es funktioniert ;-))

 

Der Newbie

 

wean

[wean 10]

Thanks, ich habe schon eine Einwahlverbindung mit dem Original Telekomtreiber. Nebenbei, lohnt es sich denn den Rasspoe, statt dem Original Treiber zu nutzen? Mein DSL (Business DSL) funzt einwandfrei...

[/Quote]

 

Nimm lieber den raspppoe und deinstalliere den rosernen Telekom Treiber :-)

 

Danke, aber genau das ist ja mein Problem, ich habe RAS nicht installiert und lt. Windowshelp ist das ein 8 Schritt Step...

[/Quote]

 

RRAS öffnen (Start-Programme-Verwaltung Routing&Ras)

Rechtsclick auf den Server: Server aktivieren (kann sein, dass es auch konfigurieren heisst) Und dann: "Server manuell einrichten"

 

Als Gerät wählst Du das installierte RASPPPOE-Device und als Rufnummer kannst Du bei dieser Verbindung 230598234890 eingeben (Ist egal, was Du hier eingibst, es wird ja schliesslich nur so getan, als würde gewählt werden).

[/Quote]

 

IM Routing und RAS-Dienst erzeugst Du unter dem Punkt "Routingschnittstellen" eine total neue Schnittstelle für Wählen bei Bedarf. So wie in der IKEA-Anleitung beschrieben :p

 

Das scheint mir einfach zu sein, aber in den Sicherheitsbeschreibungen muss man ja auch noch Kiloweise Berechtigungen setzten (RAS erlaubt, Einwahl erlaubt usw...), was gibt es denn hier noch zu beachten??

[/Quote]

 

Papperlapp :D Was Du meinst sind eingehende RAS-Verbindungen. Wann, wie oft über was etc. etc. etc. sich ein Benutzer in das lokale Netzwerk einwählen darf..... Brauchst gar nix zu unternehmen

 

 

Geht NAT nun doch unter AD und DNS? Ich dachte nicht??????

[/Quote]

 

(?) Bitte was?

 

NAT bräuchtest Du nicht, wenn nur der Server alleine ins Internet soll. Da aber Deine Clients auch etwas vom Informationsangebot des Internets kosten wollen, brauchst Du NAT.

 

Es gibt aber wohl Protokolle die nicht NAT fähig sind wie z.B SNMP, LDAP, COM, DCOM, KerberosV5, RPC und IP-SEC Pakete usw...

 

So gesehen hast Du "teilweise" Recht. Deine Clients authentifizieren sich gegenüber dem DC zwar über Kerberos. Aber da ist keine "NAT-Strecke" dazwischen. Ist ja lokal, somit gibt es da auch keine Probleme

 

wean

[Der Newbie 10]

Hi Wean,

 

soweit komme ich garnicht erst, denn der RAS startet und sobald ich auf Eigenschaften klicken will, ist nach einigen Sekunden wieder alles auf AUS.

 

Ich bin dann mal in die Ereignisanzeige und kurz vor dem Herzkasper, nur ROTE Fehlermeldungen seit Tagen....

 

Schau mal:

 

 

Ereignistyp: Warnung

Ereignisquelle: NtFrs

Ereigniskategorie: Keine

Ereigniskennung: 13562

Datum: 05.07.2003

Zeit: 21:33:39

Benutzer: Nicht zutreffend

Computer: TT

Beschreibung:

Es folgt eine Zusammenfassung aller Warnungen und Fehler, die beim Abfragen des Domänencontrollers "xx.xxxxxxxx.de" der Konfigurationsinformationen des FRS-Replikatssatzes vom Dateireplikationsdienst ermittelt wurden.

 

Das Computer-Objekt wurde für diesen Computer nicht gefunden. Der Vorgang wird beim nächsten Abrufzyklus wiederholt.

 

 

 

 

 

Ereignistyp: Fehler

Ereignisquelle: SceCli

Ereigniskategorie: Keine

Ereigniskennung: 1001

Datum: 07.07.2003

Zeit: 23:27:51

Benutzer: Nicht zutreffend

Computer: TT

Beschreibung:

Die Sicherheitsrichtlinie kann nicht übermittelt werden. Auf die Vorlage kann nicht zugegriffen werden. Fehlercode = 3.

\\xxxxxxxx.de\sysvol\xxxxxxxx.de\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf.

 

 

Ereignistyp: Fehler

Ereignisquelle: Userenv

Ereigniskategorie: Keine

Ereigniskennung: 1000

Datum: 07.07.2003

Zeit: 23:27:51

Benutzer: NT-AUTORITÄT\SYSTEM

Computer: TT

Beschreibung:

Die clientseitige Erweiterung "Security" der Gruppenrichtlinie empfing Flags (17) und hat einen Fehlerstatuscode (3) zurückgegeben.

 

 

 

 

Ich kann nicht mehr auf die Sicherheitsrichtlinie zugreifen, weder die Domänensicherheitsrichtlinien noch die Domänencontrollerrichtlinien und das schon seit einigen Wochen.

 

komischerweise funktioniert irgendwie noch alles, er bootet, ich kann arbeiten, die CLients sich einloggen?

 

Hast Du da ne Idee? Wo bekomme ich notfalls die Standartsicherheitsvorlagen her und wie kann ich die nutzen, denn alles was ich machen will, endet mit:

 

 

YOU SHIT You don´t have permission...

 

 

Sprich, ich habe nicht die Berechtigung, Berechtigungen zu ändern.

 

Hülfe....

[wean 10]

Ereignistyp: Warnung

Ereignisquelle: NtFrs

Ereigniskategorie: Keine

Ereigniskennung: 13562

Datum: 05.07.2003

Zeit: 21:33:39

Benutzer: Nicht zutreffend

Computer: TT

Beschreibung:

Es folgt eine Zusammenfassung aller Warnungen und Fehler, die beim Abfragen des Domänencontrollers "xx.xxxxxxxx.de" der Konfigurationsinformationen des FRS-Replikatssatzes vom Dateireplikationsdienst ermittelt wurden.

 

Das Computer-Objekt wurde für diesen Computer nicht gefunden. Der Vorgang wird beim nächsten Abrufzyklus wiederholt.

[/Quote]

 

Meiner Meinung nach hat das etwas mit der Replikation zu tun. Sieht so aus, als würde Dein Server sich selbst nicht finden (?)

 

Da kann ich Dir aber im Augenblick nicht weiterhelfen :(

 

Ereignistyp: Fehler

Ereignisquelle: SceCli

Ereigniskategorie: Keine

Ereigniskennung: 1001

Datum: 07.07.2003

Zeit: 23:27:51

Benutzer: Nicht zutreffend

Computer: TT

Beschreibung:

Die Sicherheitsrichtlinie kann nicht übermittelt werden. Auf die Vorlage kann nicht zugegriffen werden. Fehlercode = 3.

\\xxxxxxxx.de\sysvol\xxxxxxxx.de\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf

[/Quote]

 

Sieh doch bei Dir mal nach, ob es den Pfad auf dem Server überhaupt gibt:

\\Servername\SYSVOL\domain.de\Policies

[/Quote]

Sieht so aus, als hättest Du ein Problem mit Deinen Policies (Richtlinien). Deshalb kann auch nicht ordentlich repliziert werden (Meine Vermutung).

 

Es könnte aber auch sein, dass die Berechtigungen des SYSVOL-Pfades nicht stimmen. Oder Berechtigungen eingetragen sind, die der Server nicht mehr kennt. Das würde auch auf die nächste Fehlermeldung passen.

 

Vielleicht kaufst Du Dir doch lieber wieder einen Hardware Router :p

[Der Newbie 10]

Hallo Wean,

 

Sieh doch bei Dir mal nach, ob es den Pfad auf dem Server überhaupt gibt:

 

Zitat:

 

\\Servername\SYSVOL\domain.de\Policies

 

 

Sieht so aus, als hättest Du ein Problem mit Deinen Policies (Richtlinien). Deshalb kann auch nicht ordentlich repliziert werden (Meine Vermutung).

 

Es könnte aber auch sein, dass die Berechtigungen des SYSVOL-Pfades nicht stimmen. Oder Berechtigungen eingetragen sind, die der Server nicht mehr kennt. Das würde auch auf die nächste Fehlermeldung passen.

 

Vielleicht kaufst Du Dir doch lieber wieder einen Hardware Router

 

 

Ja, ich habe da mit Google, MCSEboard und Windowshilfe festgestellt, das der SYSVOL Ordner zwar da ist, alle Berechtigungen so sind, wie sie müssen, aber das der Ordner leer war.

 

Seltsamerweise waren in einem Tumpnailcache einer Bilderverwaltung die Policys gespeichert, die habe ich dann in den SYSVOL zurückkopiert, leider habe ich jetzt neue Fehlermeldungen.

 

Gibt es ne Möglichkeit, die Policies zu löschen und neue Standardpolicies aus ner Vorlage zu installieren, wäre bei mir nicht so tragisch, da ja nur 2 Clients betroffen sind und die anzupassen ist einfacher, als den Server neu aufzusetzen.

 

Gruss Newbie

 

 

Ereignistyp: Fehler

Ereignisquelle: Userenv

Ereigniskategorie: Keine

Ereigniskennung: 1000

Datum: 23.07.2003

Zeit: 13:56:42

Benutzer: NT-AUTORITÄT\SYSTEM

Computer: TT

Beschreibung:

Die clientseitige Erweiterung "Security" der Gruppenrichtlinie empfing Flags (17) und hat einen Fehlerstatuscode (1332) zurückgegeben.

 

 

Ereignistyp: Warnung

Ereignisquelle: SceCli

Ereigniskategorie: Keine

Ereigniskennung: 1202

Datum: 23.07.2003

Zeit: 13:56:42

Benutzer: Nicht zutreffend

Computer: TT

Beschreibung:

Die Sicherheitsrichtlinien werden mit Warnungen übermittelt. 0x534 : Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht durchgeführt.

Weitere Informationen erhalten Sie im Abschnitt "Problembehandlung" in der Hilfe.