Sicherheitskonzept

[mseifert1980 10]

Hallo zusammen.

 

ich brauche mal euren Rat.

Ich habe folgende Konstellation

 

 

Ich hätte gerne das ich die Benutzer der Rechner Zentral verwalten kann.

sprich, wenn ich die User am DC eintrage, sollen die Server 1 -3 auf die Benutzer zugreifen können z.b: Berechtigung, Authentifizierung usw.

 

Ich habe mir folgendes überlegt.

Ich könnte eine Domäne in der DMZ abbilden.

z.b: dmz.domäne.de

 

und die Root (domäne.de)Domäne ist im internen Netz.

Dann müsste ich doch lediglich den Replikationsverkehr vom DC in der DMZ bei der internen firewall zulassen.

Oder sehe ich das falsch?

 

Wie würdet ihr sowas lösen?

 

 

Ziel ist es eine Zentrale Userverwaltung für alle Server.

[nerd 28]

Hi,

 

normal versucht man genau das zu vermeiden. Auf Systemen in der DMZ sollten nur die absolut nötigsten Accounts vorhanden sein daher sollten das immer eine Fall zu Fall Entscheidungen sein. Eine Ausnahme hierzu sind natürlich Anwendungsaccounts - dafür verwendet man dann aber normal einen IAS.

 

... wenn du aber einen DC hinter einer FW betreiben willst dann mußt du folgende Ports frei schalten: DC hinter einer Firewall | SECURITY-BLOG.EU ... war zwar für ein etwas anderen Aufbau gedacht - sollte dir aber auch helfen ;)

[mseifert1980 10]

Hallo Johannes

 

Das Problem ist, die Firma ist aufgesplittet.

10 leute arbeiten im internen Netzwerk und 4 Leute sitzen im Ausland.

Die müssen aber alle auf die Server in der DMZ zugreifen.

 

Wir wollten den mitarbeitern im Ausland einen VPN Zugang einrichten.

Damit diese direkt mit den Servern in der DMZ arbeiten können.

Was mir vorschwebt ist Folgende konstellation.

 

DMZ = dmz.firma.de

Internes Netzwerk=firma.de

Also nen eigenen DC in der DMZ.

Sprich die User von extern Authentifizieren sich nur an dem DC in der DMZ.

Der DC in der DMZ hält rücksprache mit dem DC im internen Netzwerk.

[LukasB 10]

Von was für Applikationen reden wir konkret?

 

Du kannst mit einem Trust schon das eine oder andere erreichen, aber dann hast du jede Menge Kommunikation zwischen LAN und WAN offen - besser die Server gleich ins LAN legen, und in der DMZ lediglich einen Application Level Gateway platzieren.

[mseifert1980 10]

Hallo

 

Es handelt sich um software von einer anderen Firma.

z.b: Psion MCC Server und CVS Versionierungstool.