Zwei Standorte mit VPN vernetzen

[mac-duff 10]

Hallo,

 

Ich habe mal eine Frage bezeuglich einer Domain, zwei Domain Controller in jeweils zwei Standorten die man ueber VPN (16Kbit Upload) vernetzt.

 

Zu Anfang, es ist noch nichts passiert, moechte halt nur wissen ob es geht und wo man was einstellen muesste.

 

Also wie gesagt, eine Domain mit zwei OUs (Standort A und B) sowie Files welche jeweils nur in der einen Site benoetigt werden, somit geht es mir also hier erstmal prinzipiell nur um das Verwalten (User anlegen, Berechtigungen zuweisen, kleinen Ueberblick ueber LAN gewinnen).

 

Durch den bedingten Upload moechte ich also unnoetig Traffic zwischen den beiden Server vermeiden. Auf was muss ich dabei achten, dass die User sich immer am richtigen DC anmelden (Im zweifels Fall auch am anderen Standort anmelden kann (Laufwerk mappping dann ueber Script was die Location ueberprueft)), das der DC sich nicht alle 5 Minuten abgleicht, ich aber auf der anderen Seite es auch manuel pushen kann. Das die ganzen sich trotz 24h Zwangstrennung nach Aufbau des VPN wieder finden.

 

Waere fuer Anregungen, Links dankbar

 

bis denne

Stephan

[sschulz80 10]

grundsätzlich melden sich user am ersten DC an den Sie vom DNS Server genannt bekommen.

 

replikation zischen Standorten findet standartmäßig alle 180 minuten statt, was sich allerdigs problemlos ändern lässt. Replikaton lässt sich jederzeit manuell erzwingen. Wenn sich beide DCs in der selben Domäne befinden sollte es mit der Anmeldung der user innerhalb beider Standorte keine probleme geben da beide DCs die user kennen

[mac-duff 10]

hi,

danke fuer die Antwort.

 

Magse mir auch sagen wo ich diese 180Minuten festlege und desweiteren ob sonst noch irgend welcher traffic zwischen den DCs anfaellt?

[sschulz80 10]

AD Standorte und Dienste -> NTDS Einstellungen des standorts zu dem zu replizieren möchtest für manuelle replikation

 

Schritt 3: Verwalten von Standortverknüpfungsobjekten (Übungen) änderung des standarts

[mac-duff 10]

Hi,

muss nochmal nachfragen.

 

Die Netzwerke schauen so aus, dass alle Clients/Server ueber einen Router mit dem Internet verbunden, in beiden Standorten. Da ich ja nur die Server replizieren moechte und den Clients sowie so nur Zugriff auf den Server im selbigen Netzwerk ermoeglichen will, kommt mir die Frage, ob ich das mit nur einer Netzwerkkarte im Server bewerkstelligen kann.

 

Sprich, die Server sollen eine VPN Verbindung haben (jeweils den anderen sehen (werden vielleicht auch drei Standorte)), aber trotzdem im Netzwerk verfuegbar sein, sowie Zugriff auf das Internet haben.

 

Hoffe man versteht mein Anliegen.

 

Falls ich auf eine andere Software als das RRAS ausweisen muss, nur her damit ;)

[mac-duff 10]

vielleicht sehe ich das auch so kompliziert und sollte es nur via Netzwerk Verbindungen einrichten?

[Bloodie 10]

Willst du den Tunnel direkt von den Servern , die auch als DC fungieren , aufbauen lassen? Das würde ich nicht für eine so gute Idee halten , da man ja hin und wieder die DCs auch warten muss und wenn dir dann bei einem Neustart der VPN Tunnel fehlt (aus was für Gründen auch immer...). CISCO ist für sowas echt nur zu empfehlen (zumindest aus meiner Erfahrung).

Einfach an beiden Standorten so ein kleines CISCO Dingen hinstellen (da gibt es auch recht günstige Modelle , haben wir teilweise auch bei unseren Aussendienstlern im Homeoffice) , einmal richtig konfiguriert oder konfigurieren lassen und man hat eigentlich gar keinen Stress mehr mit VPN . Zweiter Vorteil wäre , das du damit auch (bei entsprechender Konfiguration) ein Backupkonzept hättest , das wenn dir z.B. ein DC ausfällt , die Leute sich immer noch über VPN an dem 2. DC anmelden können - oder um es noch weiter zu treiben , könntest wahrscheinlich auch ein Backupkonzept machen , das im Notfall das Komplette Netz am Standort A durch VPN zu B geroutet wird und über den Gateway auf B Seite ins Netz gehen (wenn auf A Seite Gateway weg ist).

[mac-duff 10]

Hi,

das problem hier is einfach das Geld. Ich weiss, die Situation hoert sich nicht so berauschend an, aber zur Zeit is es so geregelet das in jedem Standort ein FileServer steht mit ansprechenden Berechtigungen, sprich man macht irgend wie alles doppelt.

 

Deswegen wuerd ich gern nur die zwei DCs abgleichen und in der Nacht vielleicht noch ein paar Daten rueber schieben.

 

Wuerd das mit OpenVPN hinhauen? Hab da irgend wie nur ne Linux version gesehen

[=BT=Viper 11]

OpenVPN gibt es auch für Windows. Guck mal auf Welcome to OpenVPN

[mac-duff 10]

ahhh, I am loving it that the openvpn site exists three times....

[TobiasNYSE 10]

... also eine ständige VPN-Verbindung würde ich softwarebasiert nicht anraten, da PPTP nicht unbedingt sicher ist, und IPSec kann konfigurationstechnisch eine echte Herausvorderung werden (NAT).

 

Würde einfach mal schauen ob man über "ebay" 2 VPN Router günstig erstehen könnte, ich bevorzuge hier die NETGEAR Pro Reihe. Wichtig: am besten identische Geräte kaufen

[mac-duff 10]

Hi,

wuerd ich auch so machen, aber nur um eine simple Abgleichung durch zufuehren, es sollten halt keine weiteren Kosten entstehen.

 

Hat ich Geld wuerd ich den Arbeitsspeicher aufstocken, ESX einfuehren, vernuenftige Switche kaufen etc.

[Stephan Betken 43]

Hat ich Geld wuerd ich den Arbeitsspeicher aufstocken, ESX einfuehren, vernuenftige Switche kaufen etc.

Na ja, bevor du dir da irgendwelche "Baustellen" hinkonfigurierst solltest du wirklich lieber eine Hardwarelösung nutzen. Du kannst z. B. pro Standort eine Zywall 2 Plus hinstellen. Die Dinger liegen bei ca. 140 € brutto (die nehme ich auch immer gerne, wenn es kein Geld kosten darf). Und mal ganz ehrlich: für das Geld bekommste keine vernünftigen Switche und auch keinen ESX. ;)

[mac-duff 10]

Ich werde es erstmal versuchen mit openVPN einzurichten und je nachdem wie es laeuft und was mein Chef sagt koennen wa ja immernoch upgraden

[=BT=Viper 11]

... also eine ständige VPN-Verbindung würde ich softwarebasiert nicht anraten, da PPTP nicht unbedingt sicher ist, und IPSec kann konfigurationstechnisch eine echte Herausvorderung werden (NAT).

 

OpenVPN ist ein SSL Tunnel mit Zertifikaten und sehr einfach zu konfigurieren und auch beim Routing nicht so beschränkt wie IPSEC. Die Umsetzung damit sollte einfach und kostengünstig gehen.

 

Jedoch rate auch ich zu einer Hardware Lösung. Unter Umständen sind ja sogar Router vorhanden die IPSEC VPN können?