Domaincontroller hinter einem Router

[dimon1234]

Hallo all ,

wir planen Active Directory (win2003) Einführung in eine Schule.

Aber gibt es 2 klassen die getrennt sind vom ganzen Netzwerk mit einem Linux Router.(so soll bleiben).
Ich kann ein PC vom getrennten Klasse an Active Directory erfolgreich anbinden,
Anmeldung funktioniert auch,
aber Domainkotroller kann nicht mit neuen PC kontaktieren weil, er hinter einem Router befindet.

Kann ich auf dem Linux Router alle benötigten Port freigeben ? Welche?

Wie kann ich das realisieren ?

Vielen Dank für die Hilfe schon mal in voraus!

Dimi


http://www.lejkin.de/a/linux.jpg

[IThome]

Schau mal hier ...
Service overview and network port requirements for the Windows Server system

[overlord]

Hallo!

Hier solltest du ein paar Infos finden:
Active Directory Replication over Firewalls

Prinzipiell kannst du natürlich alle Ports freigeben. ...musst nur root sein

[DigitalKeeper]

@IThome

Würde es nicht reichen...

53 tcp (DNS)
53 udp (DNS)
135 tcp (DCE)
135 udp (DCE)
445 tcp (MS)
445 udp (MS)
389 tcp (LDAP)

freizugeben, und die anderen nur nach Bedarf? (i.e. kerberos, snmp, etc.) - ein kurzes Ja/Nein reicht mir...

[IThome]

Nein ... (nur nein geht nicht, man muss mindestes 5 Zeichen eingeben )

[overlord]

Ein Portscan auf nen "normalen" DC sollte auch genügend Auskunft geben...

[IThome]

Die Frage ist ja, ob ein Portscan verwertbare Ergebnisse liefert, wenn man mal das Verhalten der dynamisch zugewiesenen Ports (RPC-Portmapper) betrachtet ...

[overlord]

jupp..

Konfigurieren der dynamischen RPC-Portzuweisung für Firewall-Einsatz

[IThome]

Ja genau, das meinte ich. Das ist bei einem Exchange hinter einem Firewall ja auch so ...

[woiza]

Zitat von DigitalKeeper @IThome Würde es nicht reichen... 53 tcp (DNS) 53 udp (DNS) 135 tcp (DCE) 135 udp (DCE) 445 tcp (MS) 445 udp (MS) 389 tcp (LDAP) freizugeben, und die anderen nur nach Bedarf? (i.e. kerberos, snmp, etc.) - ein kurzes Ja/Nein reicht mir...

Hi,

in deiner Liste fehlen noch 88 für Kerberos, 138/139, 3268 für GC, evtl 42 für WINS.

Dazu musst du entweder die Highports komplett freischalten, oder für NTFRS und AD-Replikation jeweils einen festen Highport in der Registry definieren.
Alternative wäre IPSec.

Am besten kann man sich die benötigten Ports mit PortQueryUI von MS ansehen. Da gibt es schon einen vordefinierten Query für "Domains and Trusts" oder so. Da sieht man alle Ports und kann dann auch die Firewall checken, ob schon alles offen ist.

Gruß

woiza