Exchange und Domain/DNS

[kosta88 2]

vor 2 Minuten schrieb NorbertFe:

Ist doch ne Testumgebung. ;) Da würd ich jetzt aber verifizieren ob ich Recht habe. :P Wie sagte die Omi? Zum Üben, nicht als Strafe. ;)

Duuuuuuu... eigentlich wollte ich probieren... dann nicht mehr... und jetzt...

Später mal. Werde berichten.

bearbeitet 16. Mai 2018 von kosta88

[NorbertFe 2.035]

Na dann probiere und berichte. :) Learning bei doing, wenn man weiß was passieren könnte, ist doch recht einprägsam.

[kosta88 2]

Keine Überraschung - geht nicht. Man müsste die Edge Rolle deinstallieren, dann AD/LDS, und dann ging es eventuell... aber hier kann ich auch schon gleich den Server neu aufsetzen, ist schneller.

 

Aber bitte noch das Thema vom Anfang. Ist diese Domain/DNS Konfiguration eine übliche Konfiguration, sog. Best Practice?

[NorbertFe 2.035]

Empfohlen sind afair A-Records für alle Einträge und keine cnames. Ansonsten ja, kann man so machen.

[kosta88 2]

Danke. Hatte ich erstmal so, aber nachdem meine IP nicht eine wirklich fixe IP ist (hat wohl ne sehr lange Lease, aber ist lt. Kabelprovider keine klassische fixe IP), habe ich die CNAMEs gemacht, und ein A-Record mit @. So muss ich dann nur ein Record ausbessern...

 

Gibt's dabei noch was besonderes zu beachten, irgendwelche Einstellung die irgendein Zugang blockt, damit die Daten in AD sicher bleiben? Vor allem wenn man eine Internet-Routable Domain, wie internal.lab.com nutzt? (sorry, hört sich voll dämlich an, aber ich weiß nicht wie ich anders erklären soll)

bearbeitet 16. Mai 2018 von kosta88

[NorbertFe 2.035]

Welche Daten im AD sollten denn "unsicher" sein?

[kosta88 2]

vor 2 Minuten schrieb NorbertFe:

Welche Daten im AD sollten denn "unsicher" sein?

Ich erinnere mich gelesen zu haben, dass wenn man DNS errichtet, die zum Internet offen sind (was bei mir bei lab.com ja der Fall ist), man sicherstellen soll, dass dieser DNS (oder Zone?) nicht kompromittiert werden kann, bzw. man Zugriff auf AD bekommt - oder so irgendwie ging die Sache.

bearbeitet 16. Mai 2018 von kosta88

[NorbertFe 2.035]

Dein DNS ist zum Internet offen? Wieso sollte er das sein?

[kosta88 2]

vor 1 Minute schrieb NorbertFe:

Dein DNS ist zum Internet offen? Wieso sollte er das sein?

Ja, das Frage ich ja auch, ob das so ist. Und jetzt wenn ich weiter nachdenke, frage ich mich ob ich die CNAME (oder A-Record) Einträge bei Godaddy überhaupt benötige.

Mein DNS, mit Zonen lab.com und internal.lab.com löst im Prinzip das was von draußen kommt. Oder sollte ja so sein, oder?

D.h. im GD sollte eigentlich nichts weiteres stehen als lab.com -> WAN-IP. Und mein Windows-DNS sollte eigentlich alles weitere für lab.com handeln. Oder?

[NorbertFe 2.035]

Mein DNS, mit Zonen lab.com und internal.lab.com löst im Prinzip das was von draußen kommt. Oder sollte ja so sein, oder?

 

Was Split-DNS ist, und wo eine interne DNS Abfrage und eine externe DNS Abfrage eines Clients landet sollte dir aber auch in deinem LAB klar sein. ;)

Externer Client fragt üblicherweise einen externen DNS Server (NORMALERWEISE ist das natürlich nicht der DC deiner Umgebung, sondern irgendwas bei einem Domain Hoster)

Interner Client fragt üblicherweise einen internen DNS (meist den DC, oder einen DNS Server der die Zone entsprechend weiterleitet oder als secondary fungiert. gibt natürlich nochn paar andere Optionen)

Bei gleichlautender Interner/Externer DNS Domäne kann das etwas mehr Konfiguration bedeuten, weil jeder Host der extern erreichbar ist und intern erreicht werden soll/muss eben sowohl in der internen wie der externen Zone (unterschiedlich) eingepflegt werden muss. Split-DNS für Exchange ist ein gebräuchliches Szenario.

 

Also NEIN ein DC veröffentlicht niemals seinen DNS ins Internet und läßt auch keinen Zonentransfer nach extern zu. Wer das macht, hat noch ganz andere Dinge nicht verstanden. :)

 

Bye

Norbert

bearbeitet 16. Mai 2018 von NorbertFe

[kosta88 2]

Äääääääääh, DUMM. Hau grad mit Kopf gegen Wand

 

Ne, im ernst. EIGENTLICH verstehe ich das Thema DNS, theoretisch. Aber wenn es zu Praxis kommt, scheine ich zu scheitern. Komplett.

bearbeitet 16. Mai 2018 von kosta88

[NorbertFe 2.035]

Na dann auch "abhaken"

[kosta88 2]

Gerade eben schrieb NorbertFe:

Na dann auch "abhaken"

Danke für die Geduld

[NorbertFe 2.035]

Gern. Kein Problem.