Backup Exec Server in DMZ/anderer Domäne sichern

[il_principe 11]

hallo leute und schönes wochenende,

 

Ich hab ein kleines problem mit BE 9.1. Sichere damit meinen Server im LAN und habe in meiner DMZ noch einen Kundenserver (2003 SBS mit 2k Terminal) stehen. Den SBS würde ich gerne mit meinem BE aus dem LAN sichern.

Nur was muss ich auf der Firewall aufmachen, damit ich den Remote Agent deployen kann? In der Hilfe stand was von 10000 und dann noch eine Range HighPorts, aber da tut sich nix.

 

Die beidne WINS Server habe ich schon replizieren lassen, jedoch taucht in den Microsoft Windows Netzwerken die 2. Domäne nicht auf.

Will zwischen den 2 Netzen natürlich so wenig wie möglich öffnen, nur backup selbst.

 

Bin für alle Tipps dankbar

 

lg

il_principe

[il_principe 11]

*push*

[il_principe 11]

Hat denn wirklich keiner das Problem?

 

lg

il_principe

[il_principe 11]

hat sich erledigt...

 

für alle die's wissen wollen.

 

Benötigte Ports auf firewall freischalten: tcp 10000, tcp 1025-65535 für agent

netbios tcp/usp 137-139,445 für authentifizierung.

 

Agent habe ich auf der zu sichernden maschine händisch installiert.

BE CD WINNT\INSTALL\RANT32 gibt's msi Datei. Diese wird ohne jeglichen Kommentar installiert, also nicht auf Rückmeldung warten :D

Dann Maschine rebootet.

 

Im Backup Exec dann unter benutzerdefinierte auswahlen den unc-pfad und die anmeldeinformationen eingeben und schon hat's gefunzt.

 

lg

il_principe

[firefighter 10]

Glaubst du nicht, dass du damit die DMZ fast überflüssig gemacht hast?

[il_principe 11]

nicht wirklich....

 

denn 1. sind die ports ja nur zwischen dem backup server und dem zu sichernden offen.

2. gehen die netbios sessions nur durch, wenn sie vom backup server initiiert wurden.

 

Der Rest der Rechner sind ja getrennt.

Die nächste Sicherheitsebene wäre ja nur mehr vpn und 60GB IPSEC verschlüsselt jede nacht ist sogar für meine Firewall etwas viel *gg*

 

lg

il_principe

[firefighter 10]

Hmm angenommen dein DMZ-Rechner sowie Backupserver sind anfällig für ein Exploit oder ähnliches (mal nicht gepatched, fehlerhafte Software usw), dann geht der Angreifen von DMZ auf den Backupserver hat somit das komplette Netzwerk kompromitiert. So richtig überzeugt mich das Modell immer noch nicht ;-)

[il_principe 11]

hi firefighter,

 

bezüglich der porthungrigkeit von BE stimme ich dir zu, jedoch ist mir bis dato noch kein wirklicher ausweg bekannt.

Mehr als Intrusion Detection Prevention und ICSA zertifizierte Firewall geht halt nicht.

Ich würde gerne alle Ports dicht machen, jedoch machen dann webmail, terminal, DNS usw Server wenig sinn, wenn diese nicht erreichbar sind. :D

 

 

lg

il_principe