Netztopologie (DMZ, Terminalserver)

[fschaller 10]

Hallo zusammen,

 

Ich habe folgende Frage:

 

Wir sind eine kleine Firma und möchten unseren Kunden eine Applikation via Citrix auf dem Terminalserver (muss alles noch aufgebaut, resp. installiert werden) zur Verfügung stellen. Dabei möchten wir aber alle Maschinen in eine Domäne einbinden (ist das so sinnvoll?), damit wir zum Beispiel Rechte, Gruppenrichtlinien, WSUS etc. zentral bereitstellen können.

 

Würdet ihr den Applikationsserver in die DMZ stellen? Ist es sicherheitstechnisch bedenklich Maschinen in der DMZ zu haben, welche Mitglied einer Domäne sind (der Domänencontroller steht logischerweise im internen Netz)?

 

Der Aufwand sollte sich in Grenzen halten, das heisst wir möchten/können keine zweite Domäne etc. aufziehen.

 

Über ein paar Gedanken würde ich mich sehr freuen :D!

[Hirgelzwift 10]

ich erkenne zwei fragen und daher zwei antworten:

 

1. eine domäne ist immer gut.

2. nicht in die DMZ. der applikationsserver gehört ins interne netz. citrix bietet für so etwas einen secure gateway an. das muss kein monster server sein auf dem der secure gateway läuft. nur im netz muss er schnell genug sein. also nicht bei den NIC's sparen.

[fschaller 10]

Hirgelzwift, würdest Du auch einen IIS in der DMZ in die Domäne aufnehmen (mann muss dann ziemlich viele Ports von der DMZ -> INT öffnen).

 

Vielen Dank für Deine Hilfe!

[Hirgelzwift 10]

alles was in der DMZ steht hat meiner meinung nach nichts in der domäne verloren. die bedienst du besser mit lokalen anmeldungen und sehr komplexen passwörtern oder noch besser mit smart cards usw.

[Wolke2k4 11]

@fschaller

 

Was ihr vorhabt hört sich für mich nach ASP an. Wenn ihr sowas angeht solltet ihr euch vorher ausführlich informieren. Rechtlich gesehen dürft ihr nicht mal eben einen TS aus dem Boden stampfen und dann ein paar Kunden zur Verfügung stellen...

Ansonsten ist dem was Hirgelzwift geschrieben hat nichts mehr hinzuzufügen.

[fschaller 10]

Wolke2k4,

 

Das geht in der Tat in diese Richtung... könntest Du mir nochmals ein, zwei Stichworte nennen? Hat das mit dem Lizenzmanagement zu tun (das hätten wir abgeklärt)? Was müssen wir rechtlich überprüfen (einfach dass ich die Richtung verstehe)?

 

Vielen Dank!

[Wolke2k4 11]

An Deiner Stelle würde ich mich entweder an einen Distributor weden, der in der Beziehung "ein wenig" Know-How hat, alternativ kann man bei Microsoft (Vertrieb) sicher auch jemanden sprechen, der dazu Auskunft gibt. Wahrscheinlich wird man Dich dann auch an Software Spectrum verweisen (so war es bei uns).

 

Ohne euren Fall jetzt genau zu kennen wäre SPLA für euch aber sicher das was am ehesten zutrifft. Beispielsweise dürft Ihr eure TS CALs nach der "normalen Lizenzierung" nicht mit Dritten "teilen", hier wäre eine External Connector License notwendig (Infos dazu findest Du auch auf den MS Seiten).

 

Aber aus meiner Erfahrung muss man schon genau rechnen und den Kunden mit sehr guten Argumenten kommen, wenn sich SPLA rechnen und sogar Geld einspielen soll.