Netzwerk- und Zugriffstyp bei Win 2008R2/SBS2011, Zugriff auf den DNS

[svdata 15]

Hallo MCSEBoard,

 

es handelt sich wohl um ein grundsätzliches Problem zum Netzwerk- und Zugriffstyp bei Win 2008R2/SBS2011 bzw. zum Zugriff auf den DNS-Server.

 

Alles war gut. Dann hat mein Kunde in Verbindung mit der T-COM den Router gewechselt (T-COM hat auf RAM umgestellt, Firmwareupdate vom Router wäre nötig gewesen, hat keiner geblickt, neuer Router konnte kein (internes) Routing, alter Router mit neuer Firmware läuft wieder).

 

Der Server hat zwei Netzwerkkarten, da im Netzwerk zwischen Server und Router unsichere Dienst laufen, RAS/Routing ist als NAT konfiguriert.

 

Seit dem Router-Debakel läuft das interne Netz nur noch wenn die Verbindungsfirewall vom Server deaktiviert ist, sonst ist der DNS-Server (vom Server) nicht erreichbar, Routing/Ping geht aber.

Da das Netzwerk als Domänennetzwerk erkannt wird, sollte das kein Problem sein? Aufgefallen ist mir, das der Zugriffstyp Internet ist, was aber nur bedeuten sollte, dass beide Netze ins Internet kommen.

 

Hat dazu jemand eine Meinung bzw. das gleiche Problem schon mal gehabt, am besten auch schon gelöst. Bitte Nachrichten wie "2 Netze am SBS werden seit 2003 nicht mehr unterstützt" vermeiden - das ging alles schon mal!

 

Viele Grüße aus München!

 

Martin Vogl

[Dukel 436]

Was spricht gegen eine Firewall vor das Netzwerk oder den SBS und keine solche Krücke?

Auch wenns schon ging muss man nicht die schlechteste Lösung weiter verfolgen.

[svdata 15]

Hallo Dukel,

 

was spricht gegen zwei Netzwerkkarten im SBS und eine Trennung in "sicher" und "unsicher" und eine Firewall vor dem Netz - die unsicheren Dienste kann ich leider nicht wegzaubern ... Und was ist daran die "schlechteste" Lösung?

 

Martin

bearbeitet 29. Mai 2014 von svdata

[Dukel 436]

Schlechteste weil unsupportet und ich einen DC und Exchange Server nicht als Sicherheitsgrenze nutzen würde. Dafür gibt es angepasstere Systeme.

[svdata 15]

... aber doch besser als !KEINE! Sicherheitsgrenze?

M.

[zahni 521]

Nein, es ist nicht besser. Dein Server ist die zentrale Ressource. Der ist für einen Angriff also das Beste Ziel. Egal von welcher NIC.

Das macht nur Sinn, wenn dort eine Firewall und nur eine Firewall läuft (wie z.B. das eingestellte TMG).

Bei einem SBS geht das gar nicht.

 

2 NIC's sind im SBS nicht supported. Und in einem Windows DC auch nicht. Ich würde in Richtung Internet nur die nötigen SMTP-Ports vom Exchange freigeben.

RAS (VPN ?) können entsprechende Router oder Firewalls viel besser. Nein, die T-COM Router können i.d.R. kein VPN.

bearbeitet 29. Mai 2014 von zahni

[Dukel 436]

... aber doch besser als !KEINE! Sicherheitsgrenze?

M.

 

Deshalb die Empfehlung eine Firewall vor das Netz zu stellen.