Active Directory - NAT

[tniessne 10]

Hallo,

 

ich habe ein kleine Problem....

 

und zwar folgendes ... ich möchte eine Netzwerk mit Standorten betreiben....

 

alle hängen mit einer FW am Internet .... und mit festen IPs

 

alle drei Teilnetze haben genatet IPs und zwar alle nach dem gleichen Schema ... 10.0.0.x/24

 

in 2 dieser Teilnetze sollen nun DCs stehen.

 

wie erreiche ich das die beiden sich replizieren und so weiter ...

 

weil eigentlich haben sie ja die IP 10.0.0.80 und nicht die offizielen InternetIPs, da ich an den FWs nat mache....

 

per ping erreiche ich alle PCs/server/Netzdrucker in dem anderen Netzen.......

 

was muß ich beachten und warm geht zB. die Druckerfreigabe nicht??

 

 

vielen Dank

 

Tobias

[ChristianHemker 10]

Hallo,

 

Druckerfreigabe könnte mit NetBIOS zusammenhängen. Lässt die Firewall das durch? Grundsätzlich würde ich zwischen den Standorten ein VPN aufbauen.

[sch4k 10]

Original geschrieben von tniessne

weil eigentlich haben sie ja die IP 10.0.0.80 und nicht die offizielen InternetIPs, da ich an den FWs nat mache....

 

wie ist denn deine externe adresse ? 10.0.0.80 ?

Die adressen haste doch für den internen bereich genommen oder ? Was hat das mit nat zu tun ?

Nat ist in deinem fall für deine externe adresse zuständig.

 

Wie sind die FWs eingerichtet ?

Werden die anfragen von aussen an die DCs geforwarded ?

 

Drucker sind TCP/IP printing ?

 

Feste IPs = gemietete standleitungen der post ?

[tniessne 10]

Also ....

 

 

 

DC ------------- FW ------ . . . . . . ------ FW --------------- DC

10.0.0.80 62.x.x.80 (NAT) 62.x.y.80 (NAT) 10.0.0.80

 

ich nate an den FWs die DCs ..... von der off auf die private .....

[grizzly999 11]

Also, dieses Netz wird nie sauber funktionieren. Eine Voraussetzung für sowas ist, dass die einzelnen Teilentze an den Standorten unterschiedliche Netz-IDs haben. Ist einfach eine Frage des Routings

;)

 

grizzly999

[tniessne 10]

das Netz hab ich so am laufen ..... :-)

 

TCP/IP kommunikation klappt auch einwandfrei ....

 

 

ich spreche halt alle PCs über die officiellen IPs an .... mache ein 1-1 nat .....

 

nur das mit dem DC und Druckerfreigaben klappt es nicht so richtig....

 

ich kann zwar alle Rechner browsen ... aber keine Drucker verbinden .....

[grizzly999 11]

ich spreche halt alle PCs über die officiellen IPs an

Ja, das kannst du ganz toll manuell in diesem Fall machen. aber wenn du DCs nud DNS usw. an jedem Standort haben willst, dann tragen die sich selber ein, dann suchen die sich (z.B. ihre Replikationspartner) alleine. Ohne deine manuelle Eingabe! Und wenn dann ein Server mit 10.0.0.1 den Replikationspartner mit 10.0.0.10 sucht, der aber tatsächlich an einem anderen Standort ist, dann käme er IP-technisch nie auf die Idee, über den Router zu gehen.

 

BTW: du fragst hier im Board an und willst professionelle Hilfe? Dann Tipp: Ich halte mich auf diesem Gebiet für ein Profi ;)

 

grizzly999

[Hr_Rossi 10]

hi

 

jo grizzly da hastte recht

aber kann an sowas mit hostrouten nicht steuern ??

 

mfg rossi

 

p.s.: idealerweise wär ich in diesem fall für eine ipsec iplementation und das dann steuren über ip-si-richtlinien

müsste funken denk ich mir

 

was meinst du dazu grizzly würd mich auch interr.

[grizzly999 11]

aber kann an sowas mit hostrouten nicht steuern ??

Das wäre möglich. Aber ich sprach von einer professionellen Lösung ;)

(Wobei das überhaupt nichts mit "Profi" zu tun hat, sondern seit Ur-TCP/IP-Zeiten die grundlegendste Sache im Netzwerk ist: über Router verbundene Netzwerke haben unterschiedliche Netz-IDs)

 

Die Verbindung in diesem Fall macht man aber nicht über IPSec-Richtlinien im Transportmodus, sondern am besten über VPN-Tunnels.

 

Anm.: Alles IMHO :)

 

grizzly99

[Hr_Rossi 10]

jo ok

 

aber bei ip-si-richtlinien kann man ja die tunnelendpunkte best. und somit "encapsulation" tunnel fahren

 

bei diesem beispiel wär interessant welche FW das sind

bzw ob man ein "site to site" (FW toFW) ipsec einrichten

kann das wär dann meines erachtens nach ideal

wobei dies aber auch nicht funken wird weil hinter dem nat

2mal das gleiche netzt genommen wird

 

warum nur 2 gleiche netz

 

mfg rossi

 

btw: grizzly alles gute zum MVP :p

[grizzly999 11]

aber bei ip-si-richtlinien kann man ja die tunnelendpunkte best. und somit "encapsulation" tunnel fahren

Halb-OT:

Aber dann geht das auch nur mit einem Tunnel. Wenn aber ein DC mit einem anderen Dc direkt (verschlüsselt) kommuniziert, dann ist das kein Tunnelmodus, sondern der Transport-Modus.

 

Total-OT :D

btw: grizzly alles gute zum MVP

Big THX

 

 

grizzly999

[Hr_Rossi 10]

jo stimmt haste recht grizzly wie immer hehe *schäm*

 

aber mit nat und transport modus naja ich weis nicht so recht

 

mfg rossi