Filialvernetzung VPN Planung

[Serino 10]

Hallo zusammen,

 

ich soll eine Filalvernetzung zum zugriff via VPN auf einen Terminalserver machen.

Auf dem Terminalserver läuft eigentlich nur eine gemeinsame Applikation (Warenwirtschaft).

 

Vorab: Es gibt natürlich Premiumlösungen, leider ist das Budget etwas begrenzt...

 

Exchange Server ist nicht geplant, im moment ist ein RAS Zugriff nicht geplant.

Ein FTP-Zugriff auf den TS je Filiale würde reichen..

 

Ist-Stand:

 

Zentrale:

Win 2003 Standard-Server (Terminalserver) neu, 2 Mbit SDSL mit fester IP, 5 lokale Clients Win 2k.

 

Filiale A:

Server Win 2000 Server PDC, 5 User Win 2k, ADSL 6Mbit, AVM Ken .

 

Filiale B:

"Server" Win 2000 pro Arbeitsgruppe, 3 User Win 2k, ADSL 2Mbit, AVM Ken .

 

Filiale C:

Server Win 2003 SBS PDC, 2 User Win XPpro, ADSL 2Mbit, AVM Ken .

 

 

Neu: Je Standort steht nun ein Router Lancom 1711 VPN zur Verfügung.

 

 

 

Meine Fragen:

 

Der Kunde kann/ oder will sich keinen seperaten Domänencontroller in der Zentrale leisten..tu ich mir (und Ihm) einen gefallen,

den Terminalserver auch als Domänencontroller einzurichten, oder reicht die arbeitsgruppe??

 

Reicht ein VPN Tunnel via LancomRouter je Filiale, um mit den Clients der Filialen auf den TS zuzugreifen?

 

Reicht auf den Filialclients der Gateway und DNS des Routers, um auf die Zentrale zuzugreifen?

 

Kann ich das Ken wg. Virenscanner und lokalen Mail´s lassen, oder kommt das dem VPN in die Quere.

 

Sollten die Mails auf den terminalserver und nicht lokal abgeholt werden? - Performance..?

 

Wie würdet Ihr das Lösen??

 

Vielen Dank

 

mfg.

 

Reinhard

[mailkilla 10]

Ein FTP-Zugriff auf den TS je Filiale würde reichen

 

für einen FTP Zugriff brauchst du aber keinen TS. Für die gemeinsame Warenwirtschaft würde ich dir folgende Konfig vorschlagen...

 

Zentrale: Win2k3 Server als Terminalserver in Verbindung mit einer Cisco PIX506 Firewall.

 

Filialen: entweder pro Filiale eine zusätzliche PIX (teuer aber sauber) oder Zugriff per Cisco VPN Client und Remotedesktops.

 

Oder ist eine dauerhafte Verbindung der Server nötig...lg

[Serino 10]

hallo mailkilla,

 

erstmal danke für die antwort..

 

ich wollte schon bei den Lancom Dingern beiben, sind ja schon da..

Der FTP ist nur zum Austausch von Vorlagen etc. gedacht, mit dem TS hat das nichts zu tun..

 

Hat noch jemand vorschläge?

 

mfg.

 

Reinhard

[axelK77 10]

Ich könnte mir vorstellen, dass dieses Projekt sehr aufwändig wird ohne Domäne.

TS und DC auf ein und der selben Kiste wird, wie auch hier im Forum gelesen, nicht

empfohlen.

 

Ob KEN unabhängig vom vorgeschalteten Router funktioniert, kann ich nicht sagen.

Wenn er sich nur um das Zustellen von Mails kümmert, kann das schon klappen... (?)

 

Die Netzwerke lassen sich im Lancom entsprechend konfigurieren. D.h. das eine VPN-Verbindung

zur Zentrale ausreicht und man grundsätzlich mit der Zentrale sprechen kann.

 

Wir werden hier demnächst auch noch ein paar Lancoms ordern, um Filialen bzw. Mitarbeiter von daheim aus zur Firma zu verbinden. Sprich Net-to-Net... Über Host-to-Net mit

Astaro Secure Client und/oder MS PPTP klappts jetzt auch schon wunderbar. Ich kann

alle Dienste und Services aus unserer Domäne nutzen. Wie das mit Arbeitsgruppen aussieht,

hmmmm...

[dippas 10]

Meine Fragen:

 

Der Kunde kann/ oder will sich keinen seperaten Domänencontroller in der Zentrale leisten..tu ich mir (und Ihm) einen gefallen,

den Terminalserver auch als Domänencontroller einzurichten, oder reicht die arbeitsgruppe??

 

Auhauaha ...

 

Reicht ein VPN Tunnel via LancomRouter je Filiale, um mit den Clients der Filialen auf den TS zuzugreifen?

 

ja

 

Reicht auf den Filialclients der Gateway und DNS des Routers, um auf die Zentrale zuzugreifen?

 

jaein

 

Gateway ja, DNS nein.

 

Kann ich das Ken wg. Virenscanner und lokalen Mail´s lassen, oder kommt das dem VPN in die Quere.

 

kommen sich nicht in die Quere (bei richtiger Konfiguration ;) )

 

Sollten die Mails auf den terminalserver und nicht lokal abgeholt werden? - Performance..?

 

öhömm ...

 

Wie würdet Ihr das Lösen??

 

guckst Du:

 

Fangen wir "unten" an.

 

Als Basis für alle Überlegungen muss ein über die insgesamt 4 Standorte funktionierendes Netzwerk bestehen. Das ist noch recht einfach: Die koppelst einfach via LAN/LAN-VPN die Netze untereinander, was die Sache für jeden Rechner/Server/Gerät transparent macht. Will meinen: Keiner bekommt was davon mit, dass die Netze untereinander mit VPNs zusammengeschaltet ist, und keine brauch sich darum zu kümmern.

 

Die Clients in jedem Netzwerk müssen natürlich das Gateway des Netzes kennen, also die IP des Routers. Bezüglich der DNS-Einstellungen müssen die Clients die internen DNS-Server kennen - auch die in einem anderen Standort, wenn vor Ort keiner ist.

 

So, weiter geht´s:

 

Du hast insgesamt 3 Server (1xSBS, 1xW2k3, 1x W2k). Diese sind allerdings etwas unglücklich postiert. Desweiteren hast Du KEN im Einsatz -> warum? Nur wegen Antivirus?

 

Mein Vorschlag:

1 Domain mit dem SBS als Root-DC der Domain, raus aus Standort C und in die Zentrale damit. Den konfigurierst Du so, dass er zentral die Mails für alle in Empfang nimmt. Wird nur noch ein Virenschutz gebraucht. Schmeiß KEN raus. Daneben stellst Du den TS in die Zentrale als Domain-Member.

 

in die anderen Standorte kommen jeweils W2k3- oder W2k-Server, die als weitere DCs (auch GC) für die Domain konfiguriert werden. Damit kannst Du sauber die Anmeldung vor Ort gewährleisten und auch z.B. Files werden nicht durchs VPN gezogen ;) in Standort C ist das vielleicht nicht notwendig, denn da sind ja eh nur 2 peoples ;)

 

Im Grunde eine einfache Anforderung, die nur richtig konfiguriert werden will. Einzig eine AV_Lösung für den SBS/Exchange benötigst Du.

 

Auch wenn Du geschrieben hast, Exchange solle nicht zum Einsatz kommen, sondern die Sache soll mit KEN weiter betrieben werden, rate ich Dir von diesem Konstrukt ab, denn Du hast die notwendige SW bereits. Und diese SW ist nicht nur pflegeleichter, sondern auch mächtiger als KEN ;)

 

grüße

 

dippas

[Userle 145]

Dippas Vorschlag ist absolut ordentlich. Dem schließe ich mich an. Wobei ich die Zentrale mit einer Appliance - z.B. Astaro - ausstatten würde, da diese a) mit AV ausgestattet werden kann und b) sich die einzelnen Netze und deren Zugriffe bequem steuern lassen. Dann hast Du eine zentrale Verwaltung.

 

Greetings Ralf