Anbindungsstrategie Client <-> Server <-> Router <->Inet

[chronical_chaos 10]

Hallo NG,

 

ich bins nochmal. Nachdem die meisten Kinderkrankheiten im System ausgemerzt sind, steht nun eine Verlagerung der HW an ihren zukünftigen Einsatz Ort bevor.

 

Es handelt sich um folgendes System:

1x 2k AS (192.168.0.3/255.255.255.0), 1x DI-624 Router (192.168.0.1/255.255.255.0),

für das betrachtete Beispiel 1 Client, 1 Domäne mit ADS

 

Es gibt nun 2 Szenarien:

1.) Server und Client werden nicht direkt sondern über den Switch vom Router verbunden, wobei die DNS Auflösung über die IP Weiterleitung im Server und Telekom DNS Server läuft.

2.) Der Client ist direkt mit dem Server verbunden. Über eine zweite NIC im Server werden die DNS Requests des Clienten an den Router weitergeleitet.

 

Meine Fragen sind nun:

a) welches Szenario ist vom Sicherheitsstandpunkt aus günstiger?

Ist es im ersten Fall möglich (nach Überwindung der FW) auf die Shares zuzugreifen, da die Datei und Druckerfreigabe ja gesetzt sein muß?

 

Ist es im zweiten Fall möglich die Datei und Druckerfreigabe für die Verbindung zw. Server und Router zu deaktivieren, wodurch die Shares von außen nicht erreichbar sein sollten.

 

b) Ist es prinzipiell ratsam den Internet IP Traffic über den Server laufen zu lassen?

Wenn nicht, wie kann ich die Domänen DNS über den Server und die Internet DNS über den Router laufen lassen?

 

c) Wie müsste ich die NIC’s im zweiten Fall konfigurieren.

 

Ich weiß dass ist wiedermal ne ganze Menge, aber nachdem ich trotz googeln und Bücher wälzen nicht wirklich schlauer bin, hoffe ich dass ihr mir wieder helfen könnt.

 

Danke.

 

chronical_chaos

[Mick 10]

Hi chronical_chaos,

 

Der DI-624 Router hat doch eine integrierte Firewall oder?

 

Also das Szenario ist; Server und WS sowie Lan Seite des DI-624 Router am Switch/Hub und Wan Seite des DI-624 am Internet.

 

Security am DI-624 einrichten und fertig

 

Gruß

Mick

[Pie 11]

Hi,

 

zunächst ma möcht ich sagen, dass in so nem D-Link keine wirkliche FW steckt !

Wenn's also sensible Daten sind, dann sind FW-Appliances (SonicWall, Astaro, etc.) besser geeignet. Klar, kost Geld :-)

 

Zu deinen Fragen:

 

Wenn's sauber laufen soll, dann schlage ich vor, du aktivierst auf dem Server die DNS Weiterleitung und stellst über DHCP-Bereichsoptionen das Gateway, sowie die IP- und DNS-Einträge zur Verfügung. Der DNS für die Clients ist dann dein Server.

 

Alternativ kannst du als DNS auch einen externen (oder den des Routers) eintragen und aktivierst zusätzlich WINS auf dem Server. Dann is auch alles klar.

 

hth

[rego 10]

Hi!

 

also Dein Aufbau ist schon mal nicht schlecht

 

Mein Vorschlag:

 

Router ---> 1. NIC vom Server ---> 2.NIC vom Server ---> Clients

 

1. im Router diese Plazebo-Firewall (ist meist wirklich nur so) konfigurieren

2. 1.NIC vom Server "Client für Microsoft Netzwerk" und "Datei- und Druckerfreigabe" deaktivieren

3. Proxy z.B. Microsoft ISA-Server 2000 installieren und konfigurieren

4. im DHCP für die Clients als Gateway die IP-Adresse der 2ten NIC im Server und als DNS ebenfalls

5. DNS-Forwarding am Server konfigurieren

 

Ich hoffe, dass hilft Dir ein wenig.

 

Gruss Rego