VPN-Zugriff limitieren

[_Lars_ 0]

Ich möchte VPN-User soweit einschränken, wie es möglich ist. Dabei stelle ich mir folgende Frage: Wenn ein User über VPN auf einen Member-Server der AD (Dateiserver, Exchange, usw.) zugreift, benötigt er auch direkten Zugriff auf die Domaincontroller selbst?

 

simples Beispiel:

 

DC01: 192.168.1.10 (erster Domaincontroller)

DC02: 192.168.1.11 (zweier Domaincontroller)

FS01: 192.168.1.20 (erster File-Server)

EX01: 192.168.1.30 (erster Exchange-Server)

 

Die VPN-User bekommen als DNS-Server das VPN-Gateway propagiert, welches transparent die interne Domain auflösen kann und nur Zugriff auf die jeweilige IP des File- und Exchange-Servers (.20 und .30), aber nicht auf die IPs der DCs (.10 und .11).

Funktioniert das?

[daabm 1.354]

Mit NTLM ja, mit Kerberos nein.