Sicherheitsfrage

[chritsian 10]

HAllo!

 

Ich hab in meinem Netzwerk drei SErver und einige WS. Um die WS von den SErvern aus zu sehen bzw. umgekehrt, hab ich den SErvern zu ihren schon vorhandenen IP vom ISP den IP Bereich der Workstations dazu geschrieben. Auch auf dem WebServer.

 

Könnte ich nicht den IP Bereich den ich vom ISP bekommen hab überschreiten und neben den schon vergebenen 16 IP noch weiter lokale IP für die WS vergeben um so eine einheitlichen IP Bereich und somit eine optimale Verfügbarkeit zu bekommen.

 

Ich würde gern wissen ob dies die einzige Möglichkeit ist, WS und Server gegenseitig verfügbar zu machen. bzw. ob diese Variante eine geschickte Lösung ist oder nicht. Möcht nicht später drauf kommen, dass mein Netz shit ist.

 

MfG

 

Chritsian

[reinersw 10]

Hai christian,

 

bitte etwas mehr Infos. Habe Schwierigkeiten das Ganze überhaupt zu verstehen.

BS?

Server als ADS und DNS?

Netzwerktopologie?

Installierte Protokolle?

Anbindung an ISP wie? -> Standleitung?

Welche Router usw.

 

reinersw

 

 

---------------------------------------

knapp daneben ist auch vorbei

[chritsian 10]

OK!

 

Ich drei SErver und 5 Workstation mit Win 2000 an einen Switch angehängt. Eine Standleitung XDSL ist ebenfalls an den Switch gekoppelt. Hatte anfänglich riesige probleme mit der Sichtbarkeit zwischen Server und WS. Bis ich drauf kam, dass der IP Bereich von den WS ganz ein anderer war als der von den SErvern ( hatten die IP vom ISP). Ich hab einfach bei den SErvern eine IP hinzugefügt die den Bereich der WS gleicht. Somit konnten die WS wieder auf die SErver zu greifen.

Momentan sind alle Geräte in einer Workgroup, was ich aber heute umstellen möchte auf eine Domäne.

 

Aber bevor ich das mache, wollte ich mich versichern das die Verbindung zwischen SErver und WS passen.

 

Zur näheren INfo.

Im Netz gibt es einen WEb- und Application SErver der mit einer IP vom ISP bestückt ist, dazu hab ich ihm eine IP vom Bereich der WS gegeben. Der andere SErver soll der DomänenController werden und verwaltet den Proxy. In naher zukunft kommt noch ein vierter SErver dazu dem ich wahrscheinlich als Mail-SErver verwenden werde.

 

Da ich mich mit Firewalls auch nicht so richtig auskenne, dachte ich mir , ich erstelle zuerst das NEtzwerk dann die Domäne und zuguterletzt die Firewall. Wo ich sowieso noch die großten Probleme mit der Konfiguration habe.

 

MfG

 

Danke für die Hilfe

 

Chritsian

[Xheon 10]

Nein wird nicht gehen, wenn du kein Komflikt mit dem Internet haben willst - solltest du nur IP's verwenden, welcher dir den ISP zuteilt oder private Adressen!! Das war doch deine Frage???

[chritsian 10]

Ich möcht aber nicht jeder WS einen IP vom ISP geben. ERstens hab ich nur 16 IP vom ISP und zweitens ist dann jede Workstation von aussen sichtbar.

 

Ich wollt nur wissen ob das ok ist, wenn die SErver eine IP vom ISP haben um ihre Dienste anzubieten, und eine IP vom lokalen Netzwerk um die Sichtbarkeit untereinander zu bieten.

 

Mir ist sonst keine Variante bekannt wie ich die Sichtbarkeit zwischen SErver und WS bereitstelle.

BZW wurde mir das gestern hier gesagt, dass ich einfach den IP Bereich von den WS zu den Servern hinzufügen soll.

[Xheon 10]

Aha, sorry - habe verstanden du willst jeder eine IP vom ISP geben!!

 

Naja - du musst dan einfach den Webserver für Internet auf die externe IP legen und die vom Intranet auf die Interne etc.

 

Aber sollte generell funktionieren!!

[chritsian 10]

Nein nein eben nicht.

 

Ich möcht den WS NICHT jedem eine eigene IP vom ISP geben sonder einen interne IP die nur intern gilt.

Aber um die SErver zu sehen von den WS aus muss ich den SErvern diesen IP bereich auch bekannt machen und die IP hinzufügen.

 

Nur ob das die optimalste Lösung ist???????

 

[Xheon 10]

Wenn der Server 2 IP's braucht gibs zwei Methoden:

 

1. Baue 2 Netzwerkkarten ein mit je einer IP

2. Belege die Netzwerkkarte mit zwei IP adresse

[Xheon 10]

oder du gibs dem firewall nur eine IP von ISP

 

und den Server nur private IP's

 

und leitest den via NAT / SUA die IP-Port vom Firewall (welcher man ja im internet erreicht) auf die internen IP - Adressen der Server um.

 

Sonst fällt mir gerade keine ander Lösung ein

[chritsian 10]

Ja aber variante 1 benötigt 2 kabeln oder??

 

Variante2 hab ich zur zeit.

ist dieser Variante die einzige bzw. ist dieser Variant brauchbar deiner meinung nach??? auch später für den Domänencontroller bzw für die SErver (WEb, MAil, APPL, Proxy,DAtenbank)????

 

THanx a lot

 

Chritsian

[Xheon 10]

Ja die ist brauchbar!!!

 

Ja variante 1 braucht mehr kabel, vielleicht auch ein eigenes phy. subnetz. Aber dafür hast du die Last auf zwei Karten verteilt!!!

 

3. Brauchst du ja nicht, musst ja nicht mit einer ISP - IP auskommen

[chritsian 10]

Weil du gerade von einem zweiten phys. Subnetz sprichst. Ich glaub sowas hatte ich noch vorgestern.

 

Ich hatte die SErver alle auf einemHUb und die WS auf einem SWitch. Miteinander verbunden waren sie durch einenSErver der zwei Netzwerkkarten hatte. Nur konnte ich nie die SErver von den WS aus sehen und umgekehrt.

 

Wenn ich jetzt eine zweite Netzwerkkarte verwenden würde, müßte ich trotzdem die Ip vom lokalen Netz hinzufügen zu den Ip von ISP und dass an allen beiden NEtzwerkkarten? Richtig ???

[Xheon 10]

Aber ich würde es so machen:

 

Brauchst dafür einen Firewall mit 3 IO's, weiss nicht mehr der Typ

heisst , aber klärs noch ab!! Aber den das dritte nennt man DMZ-Eingang

 

Also ich versuch das mal darzu stellen:

 

A

|

|

|--------- B

|

|

C

 

Als A ist Eingang des Firewalls

 

B ist der DMZ - Dort sind alle Rechner gegen aussen sichtbar

 

C ist der private Teil

 

Die Server mit der ISP - IP hängt mann dann an den Port B

Die WS und Server interne IP würde man an Port C hinhängen

 

Ob das dein Firewall kann, keine Ahnung aber das wäre glaubs eine sehr sauber variante, braucht zwei Netzwerkkarten pro Server

 

Aber vielleicht hat jemand anders noch ne gute idee!!

[chritsian 10]

Ich hab die ZyWall10 und bei der kann man angeblich alles einstellen. Nur einen zweite Möglichkeit zum anschliessen ahb ich gesehen.

[Nonaminus 10]

Hi,

 

anscheinend ist dein Problem grösser...

 

Hast du nen Plan für dein Netzwerk gemacht, oder machst du das aus der hohlen Hand???

 

Zum Vorschalg von Xheon:

 

Welchen Sinn eine DMZ am selben Port der Firewall haben soll wie das normale Netz musst du mir erklären.

 

Wenn, sollte es so aussehen:

 

Firewall---------DMZ

|

|

|

internes Netz

 

 

Aber zurück zu Chritsian:

 

Aber wenn du nur einen Port für deine Anschlüsse hast, dann hast du auch keine DMZ.

Du solltest keine AD Server in die DMZ stellen.

Überleg dir welche Dienste ins Internet sollen. Und dann legst du die Sachen in die DMZ. Und nur die.

Und so wie das von hier aus klingt, solltest du nen Proxy für dein Netz verwenden. Eventuell sogar 2 (einer DMZ, einer intern).