2 IPSec-Policies parallel?

[Tiefenrausch 10]

--------------------------------------------------------------------------------

 

Hi,

ich stehe vor einem kleinen Problem. Hier mal eine kurze beschreibung:

 

An 2 Standorten, habe ich jeweils 2 DC's hinter einer Firewall. Alles kommunizieren per IPSec, ohne kommen sie nicht über die FW. Wegen Umlauten in der alten Policy muss ich nun eine neue implementieren.

Soweit so gut. Deaktiviere ich auf einem der beiden remote DC's die Richtliche ist er vorerst nicht mehr erreichbar, klar. Nun kann ich aber über den 2ten DC per Teminal durch die Firewall und dann mit ner weiteren Session auf den DC ohne IPSec, die neue Richtline aktivieren (wurde vorher drauf kopiert) und schwups kann er mit den Servern bei mir (dort gibt es natürlich schon einen mit der neuen Policy) kommunizieren. Soweit so gut. Nun zu meinem Problem:

 

Was mache ich wenn bei den Remote-DC's nur einer steht und ich nicht nach dem Deaktivieren eine Verbindung über den 2ten eine Terminalsession aufbauen kann???

 

Vor Ort (also bei den remote-DC's) hat niemand Zugriff auf die Maschine, also kann das ganze nicht per Hand gemacht werden. Und da hin Reisen steht nicht zur Disskusion.

 

Gibt es evtl eine Möglichkeit 2 IPSec-Policies parallel laufen zu lassen??

Oder kennt jemand eine andere Möglichkeit?? Evtl per Script oder ein MS-Tool??

 

Das ganze läuft z.zt unter W2K

 

Sonmal danke und Gruss

TR

[grizzly999 11]

Nein, zwei IPSec-Policies geht nicht, es kann immer nur eine aktiv sein. Sollte der Rechner wegen irgendwelcher Policies nicht erreichbar sein, dann hilft nur jemand vor Ort oder ein Remotezugang per DFÜ.

Einzig, man kann ja unterschiedliche Regeln in einer Policy einrichten.

Bei DCs sollte man sowieso vorsichtig mit IPSec agieren.

 

 

grizzly999

[Velius 10]

Original geschrieben von Tiefenrausch

Vor Ort (also bei den remote-DC's) hat niemand Zugriff auf die Maschine, also kann das ganze nicht per Hand gemacht werden. Und da hin Reisen steht nicht zur Disskusion.

 

 

 

 

Ich seh da nur die Möglichkeit, das Recht, die nötigen Manipulationen vornehmen zu können, zu delegieren. Wege gibt es viele, wie man das erreichen kann, ohne jemanden gleich zum Domain Admin zu machen.