WSUS über VPN

[AliBaba 10]

Hallo Zusammen,

 

wir haben zwei WSUS Server. einmal im Netz mit den Updates und ein Replikat in der DMZ für die Rechner außerhalb.

Die Rechner draußen kommen an den DMZ-WSUS ran und laden sich die Updates über Microsoft.

 

Diese Rechner sind Notebooks und sind auch mal in der Firma.

Beide WSUS Server sind über den selben Namen erreichbar. Je nach dem wo die Clients sich befinden.

Das funktioniert auch so weit gut.

 

Aber sobald sie VPN aufbauen, bekommen die über den internen DNS den internen WSUS Server.

Dann ziehen sie sich die Updates auch vom Internen.

Ich möchte, dass der Client trotz VPN Verbindung den externen WSUS, bzw die öffentliche IP nimmt.

die Host Datei kann Ich nicht anpassen, da das Notebook auch mal in die Firma kommt.

In der FIrewall habe Ich den Zugriff blockiert, aber das nützt mir nichts.

 

Wie kann ich das lösen?

Kann Ich meinem DNS sagen, dass bestimmte IP Bereiche eine andere Antwort/IP bekommen?

Danke.

 

 

 

[WSUSPraxis 48]

Hallo und Mittag,

 

welche VPN Software verwendest Du ?

 

Viele Grüße Arnd

[AliBaba 10]

das ist die von der Firewall.

Sophos.

[NorbertFe 2.035]

Dann sorg halt dafür, dass im VPN Tunnel der Hostname nach extern aufgelöst wird und erreichbar ist.

[testperson 1.680]

Hi,

 

das sollte z.B. per DNS Policies machbar sein (sofern deine VPN Clients deine Windows DNS bekommen): DNS Policies Overview | Microsoft Docs

 

Gruß

Jan

[MurdocX 952]

vor 58 Minuten schrieb AliBaba:

das ist die von der Firewall.

Sophos.

Naja, Sophos hat 2. Um welche gehts?

[NorbertFe 2.035]

Im Normalfall ists aber "einfacher" das in der VPN Lösung umzusetzen. Bei Direct Access ist das relativ easy :)

[MurdocX 952]

vor 24 Minuten schrieb NorbertFe:

Im Normalfall ists aber "einfacher" das in der VPN Lösung umzusetzen. Bei Direct Access ist das relativ easy :)

Sehe ich auch so.

 

Falls eine Sophos XG im Einsatz ist, dann folgenden Weg gehen:

Network > DNS > "DNS host entry" -> Hier deinen Eintrag hinzufügen

bearbeitet 1. Dezember 2021 von MurdocX

[WSUSPraxis 48]

Hallo und Abend,

 

bei der Sophos UTM ist das aber eher ein ab......

 

Viele Grüße Arnd

[AliBaba 10]

Hallo Zusammen,

 

vielen Dank für die Antworten.

es ist eine UTM.

 

DNS wird vom Win Server benutzt.

 

Ich werde mir die Lösungen mal anschauen und werde berichten.

 

Danke.

 

 

EDIT

habe zwei A Records erstellt mit beiden IP's

in den EInstellungen RoundRobin und Netzwerkmaskenanforderung war schon angeklickt.

Scheint zu funktionieren.

Werde es mal beobachten und berichten.

 

Die DNS Policy hab Ich mir angeschaut.

Hab verschiedene Netze hier. würde es reichen, wenn Ich nur eine Site erstelle für VPN?

oder muss ich für alle Netze diese Einträge erstellen? Hat da jmd Erfahrung damit?

 

Aber wenn das so mal funktioniert, ist es ja ok.

bearbeitet 1. Dezember 2021 von AliBaba

[NorbertFe 2.035]

Split-DNS ist nicht so ungewöhnlich. Und wenn das nicht die Regel für quasi alles ist, läßt sich das gut dokumentieren und normalerweise auch troubleshooten. Exchange ist ein klassisches Beispiel, wo das unkritisch einfach funktioniert. ;)

[MurdocX 952]

vor 29 Minuten schrieb NorbertFe:

Split-DNS ist nicht so ungewöhnlich. Und wenn das nicht die Regel für quasi alles ist, läßt sich das gut dokumentieren und normalerweise auch troubleshooten. Exchange ist ein klassisches Beispiel, wo das unkritisch einfach funktioniert. ;)

 

Mein Post war vor meinem Kaffee. ☕ Nach nochmaligem Lesen der Ausgangssituation bin ich ganz bei Dir.  

[Squire 262]

@AliBaba ... wenn es ne UTM ist ... unter Remote Access/Advanced kannst Du unter den Client Optionen Deine internen DNS und WINS Server angeben. Damit reicht die Sophos diese als DNS Server für die VPN Clients durch. 

 

[Sunny61 806]

Da gab es früher schon mal was dazu. In den Microsoft Newsgroups, incl. Lösung. https://microsoft.public.de.german.windows.gruppenrichtlinien.narkive.com/meDcANUg/wsus-fur-vpn-clients-deaktivieren

Lösungspost: https://microsoft.public.de.german.windows.gruppenrichtlinien.narkive.com/meDcANUg/wsus-fur-vpn-clients-deaktivieren#post20

[AliBaba 10]

Hi

also das mit dem Split DNS funktioniert.

ich will ja, dass die Clients updaten, nur nicht über den internen WSUS.

wie gesagt, funktioniert das super.

 

Ich würd hier ein Haken setzen.

 

Vielen Dank an Alle!!!