Sicherheit durch 2. Netzwerkkarte im Server

[PatrickKByte 12]

Der Beitrag bei http://www.microsoft.com/smallbusiness/support/articles/sec_sbs2003_network.mspx verspricht mehr Sicherheit für ein SBS-Netzwerk, wenn man eine 2. Netzwerkkarte in den Server einbaut.

 

Gibts Tipps dafür? Hintergrund ist ja wohl, das IP-Netz von der Internet(-Router-)Verbindung und das IP-Netz des Netzwerks zu entkoppeln.

 

Mein Netzkwerk hat 10.6n.1nn.nnn, der Router ist derzeit Teil des Netzes.

Mein SBS macht den DNS und DHCP. Die 2. Gigabitkarte liegt bereit...

 

Was nu?

[IThome 10]

Interne Routeradresse ändern (z.B. 192.168.100.1/30), Karte einbauen, der Karte eine Adresse im internen Router-Adressbereich geben (192.168.100.2/30), auf der Karte die Bindungen für den Client für Microsoft-Netzwerke und die Datei und Druckerfreigabe entfernen, dynamische DNS-Registrierung dieser Karte abschalten, mindestens DNS/DHCP konfigurieren, dass nur die interne Karte horcht, in der Bindungsreihenfolge die interne Karte nach ganz oben setzen, RRAS als NAT-Router mit Basisfirewall konfigurieren .. fertig ...

[PatrickKByte 12]

Gut,danke!

Was soll das mit 192.168.10.1/30

 

Mit "interne Karte" meinst du die fürs interne Netzwerk.

 

mindestens DNS/DHCP konfigurieren, dass nur die interne Karte horcht

hm!?

[IThome 10]

/30 bedeutet 255.255.255.252.

Stimmt, mit intern meine ich die Karte, die jetzt im Server ist. Du kannst in der DHCP-Konsole und in der DNS-Konsole festlegen, auf welcher Karte der DHCP bzw. der DNS-Dienst horcht (gebunden ist). Auf der externen Karte (die, die mit dem Router verbunden ist) benötigst Du diese Dienste ja nicht, da fragt ja eh keiner. Die dynamische DNS-Registrierung schaltest Du ab, damit es keine ungewollten Records in den DNS-Zonen gibt. Auf der externen Karte kannst Du auch NetBIOS über TCP/IP abschalten. Ausserdem solltest Du in den Netzwerkeigenschaften - Erweitert - Erweiterte Einstellungen die interne Karten unter Verbindungen ganz nach oben schieben

[PatrickKByte 12]

Gut, damit werd ich's schaffen.

 

Die Clients routen dann automatisch über den DNS-Server und kommen dann so ins Netz?

 

BTW: 255.255.255.252. Subnetzmaske. Gibts n Tut, mit dem ich rausfinde, warum ich wann was brauche und was Sinn macht?

 

Danke!

[cebo 10]

/30 bedeutet 255.255.255.252.

... Ausserdem solltest Du in den Netzwerkeigenschaften - Erweitert - Erweiterte Einstellungen die interne Karten unter Verbindungen ganz nach oben schieben

 

Hi,

 

wo finde ich diese Einstellung im Win2kServer ... oder steh ich jetzt aufm Schlauch ?

 

THX

[IThome 10]

Die Clients routen dann automatisch über den DNS-Server und kommen dann so ins Netz?

Die Clients haben die interne Karte des Servers als Default Gateway eingetragen, ebenso als bevorzugten DNS-Server. Alles was für die Clients unbekannt ist, schicken sie zum Server. Die externe Karte des Servers hat den Router als Default Gateway (nur diese Karte hat überhaupt ein Gateway) eingetragen und schickt alles, wofür er keine Route kennt, zum Router.

@cebo

Rechtsklick auf das Symbol Netzwerkumgebung - Eigenschaften - Erweitert - Erweiterte Einstellungen

[Space 10]

Cebo:

 

Die Subnetmask stellst Du ganz normal bei den TCP/IP Einstellungen ein.

Und die Bindungen stellst Du auch bei den Netzwerkkarteneigenschaften ein.

[PatrickKByte 12]

Cebo:

 

Die Subnetmask stellst Du ganz normal bei den TCP/IP Einstellungen ein.

Und die Bindungen stellst Du auch bei den Netzwerkkarteneigenschaften ein.

 

ist klar. nur wollte ich generell mal wissen, was das mit den subnetzmasken überhaupt auf sich hat... ich weiß nur, dass es IP-Kreise geben soll, die mit Hilfe von Subnetzmasken Zugriff aufeinander bekommen können... aber das ist schlechtes Halbwissen

[IThome 10]

Die Subnetzmaske definiert, welcher Teil der Adresse die Netzwerk-ID darstellt. Ich habe Dir die 30er Maske vorgeschlagen (30 Bit Netz-ID und 2 Bit Host-ID, also 2hoch2-2 mögliche Hosts, es sind also alle Adressen in diesem "Transfernetz" belegt (eine vom Server, eine vom Internetrouter)). Für nur 2 Hosts in einem Subnetz benötigt man nicht mehr , man kann aber auch eine andere Subnetzmaske benutzen, z.B. Standard /24 für Klasse-C Netz 255.255.255.0.

edit:

http://de.wikipedia.org/wiki/Subnetting