Zum Inhalt wechseln


Foto

Firewall & Active Directory & IPSec


  • Bitte melde dich an um zu Antworten
10 Antworten in diesem Thema

#1 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 09. August 2004 - 09:32

HI

Für alle, die das Problem haben (wie ich z.B.:), dass an zwei AD Standorten, zwei Firewalls aufgestellt wurden.

Die Idee wäre an und für sich lobenswert, aber nicht, wenn der VPN-Tunnel, der die beiden Standorte verbindet, intern auch noch durch Portregeln versehen ist.
Dabei ist der ganze Sinn eines Tunnels doch, dass man innerhalb des Tunnels alle Verbindungen zulassen kann, und auf der Firewall alle anderen unbenötigten Ports dicht macht!! :mad: :mad:

Active Directory Replication over Firewalls

Ich kriege bei solchen Sachen immer Sehnsucht nach meinen Leiblingswaffen (Flamenwerfer, Panzerfaust, Säuregranaten)....
Deshalb dachte ich mir, dass ich vielleicht jemanden vor solchen Problemen bewahren kann.

Greetz
Eingefügtes Bild

#2 Necron

Necron

    Moderator

  • 11.556 Beiträge

 

Geschrieben 09. August 2004 - 17:00

Thx Velius.

Cheers,
Daniel

-Daniel's Tech Blog-


#3 Damian

Damian

    Moderator

  • 9.300 Beiträge

 

Geschrieben 09. August 2004 - 17:13

Klasse Seite. Danke. :)
www.serverhowto.de - das Howto-Projekt des MCSEboard.de

#4 MKConsults

MKConsults

    Newbie

  • 57 Beiträge

 

Geschrieben 11. August 2004 - 13:58

Das finde ich auch; endlich mal was Gutes!

Kennt evtl. jemad auch eine Seite, wo die komplette Beschreibung hinsichtlich SETUP von IPSec, etc beschrieben ist?

Mfg

Matthias

#5 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 11. August 2004 - 14:40

IPSec Technical Reference

Ich denke, dass sollte 'mal reichen, für den Anfang....

Eingefügtes BildEingefügtes Bild

#6 Heizer

Heizer

    Newbie

  • 23 Beiträge

 

Geschrieben 11. August 2004 - 15:17

:D Top Link

Klärt ne Menge Fragen
=MCSA/MCSE2003=
CompTia Network+

#7 MKConsults

MKConsults

    Newbie

  • 57 Beiträge

 

Geschrieben 16. August 2004 - 09:06

Hallo Velius,

besten Dank hierfür! Es bring schon ein bisschen Licht in die Sache. Aber wie man mit einem "Nicht-MS" Client IPSec zum Server aufbauen kann, das kann man hier nicht herausfinden.

Gruß

Matthias

#8 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 22. August 2004 - 13:02

@MKConsults

Das könnte der Grund dafür sein:



[2] This document doesn't discuss using preshared keys. Preshared key authentication is included in Windows 2000 only for compatibility with other IPSec implementations and to conform to the IPSec RFCs. In no case do we encourage the use of preshared keys in a production environment because of the inherent security risks associated with shared-secret style authentication—the key value is stored in the IPSec policy; therefore, anyone with read access to the policy can read the key



Wie man unschwer erkennen kann, sieht MS das Benutzen von Preshared Keys als sicherheits Risiko an. Denn wer eine Policy lesen kann, der kennt auch den Key. Somit ist es ein leichtes, den Tunnel zu entschlüsseln.

#9 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 21. November 2004 - 22:09

Auf erneute Motivation hin habe ich hierzu auch noch den deutschen Artikel ausgebudelt.....

Viel Spass beim lesen:

Active Directory-Replikation über Firewalls


Für alle, die nicht wissen, worum es geht:
Der Artikel beschreibt detailiert, wie eine oder mehrere unternehmens Firewalls konfiguriert werden können, damit das Active Directory einwand frei funktionieren kann. Dabei werden verschiedene Lösungsansätze besprochen.

Greetz
Velius


P.S.: Zum Glück nimmt's MS ziemlich genau bei der Übersetzung der englischen Originaltitel. :p

#10 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 09. Dezember 2004 - 23:48

Stichwort statische RPC Ports:

Hier noch ein Dokument, wo das auch noch behandelt wird.

http://www.mcseboard...7663#post287663


:thumb2: Falscher Thread; Mod's, bitte löschen!! :D

#11 Velius

Velius

    Expert Member

  • 5.645 Beiträge

 

Geschrieben 30. Mai 2006 - 13:03

...der englische Link ist tot, kann aber sicher nicht schaden den wieder zu posten: http://www.microsoft...t/adrepfir.mspx