Domaincontroller hinter einem Router

[dimon1234 10]

Hallo all :) ,

 

wir planen Active Directory (win2003) Einführung in eine Schule.

 

Aber gibt es 2 klassen die getrennt sind vom ganzen Netzwerk mit einem Linux Router.(so soll bleiben).

Ich kann ein PC vom getrennten Klasse an Active Directory erfolgreich anbinden,

Anmeldung funktioniert auch,

aber Domainkotroller kann nicht mit neuen PC kontaktieren weil, er hinter einem Router befindet.

 

Kann ich auf dem Linux Router alle benötigten Port freigeben ? Welche?

 

Wie kann ich das realisieren ? :confused:

 

Vielen Dank für die Hilfe schon mal in voraus!;)

 

Dimi

 

 

http://www.lejkin.de/a/linux.jpg

[IThome 10]

Schau mal hier ...

Service overview and network port requirements for the Windows Server system

[overlord 10]

Hallo!

 

Hier solltest du ein paar Infos finden:

Active Directory Replication over Firewalls

 

Prinzipiell kannst du natürlich alle Ports freigeben. ...musst nur root sein :D

[DigitalKeeper 10]

@IThome

 

Würde es nicht reichen...

 

53 tcp (DNS)

53 udp (DNS)

135 tcp (DCE)

135 udp (DCE)

445 tcp (MS)

445 udp (MS)

389 tcp (LDAP)

 

freizugeben, und die anderen nur nach Bedarf? (i.e. kerberos, snmp, etc.) - ein kurzes Ja/Nein reicht mir...

[IThome 10]

Nein ... (nur nein geht nicht, man muss mindestes 5 Zeichen eingeben :D )

[overlord 10]

Ein Portscan auf nen "normalen" DC sollte auch genügend Auskunft geben...

[IThome 10]

Die Frage ist ja, ob ein Portscan verwertbare Ergebnisse liefert, wenn man mal das Verhalten der dynamisch zugewiesenen Ports (RPC-Portmapper) betrachtet ...

[overlord 10]

jupp.. :)

 

Konfigurieren der dynamischen RPC-Portzuweisung für Firewall-Einsatz

[IThome 10]

Ja genau, das meinte ich. Das ist bei einem Exchange hinter einem Firewall ja auch so ... :)

[woiza 10]

@IThome

 

Würde es nicht reichen...

 

53 tcp (DNS)

53 udp (DNS)

135 tcp (DCE)

135 udp (DCE)

445 tcp (MS)

445 udp (MS)

389 tcp (LDAP)

 

freizugeben, und die anderen nur nach Bedarf? (i.e. kerberos, snmp, etc.) - ein kurzes Ja/Nein reicht mir...

 

Hi,

 

in deiner Liste fehlen noch 88 für Kerberos, 138/139, 3268 für GC, evtl 42 für WINS.

 

Dazu musst du entweder die Highports komplett freischalten, oder für NTFRS und AD-Replikation jeweils einen festen Highport in der Registry definieren.

Alternative wäre IPSec.

 

Am besten kann man sich die benötigten Ports mit PortQueryUI von MS ansehen. Da gibt es schon einen vordefinierten Query für "Domains and Trusts" oder so. Da sieht man alle Ports und kann dann auch die Firewall checken, ob schon alles offen ist.

 

Gruß

 

woiza

[DigitalKeeper 10]

Ist denn das Netbios "unbedingt" nötich?

 

Vielen Dank für die Infos...

 

mfg

[Velius 10]

Ist denn das Netbios "unbedingt" nötich?

 

Vielen Dank für die Infos...

 

mfg

 

 

IMHO nicht zwingend, aber es gibt andere Meinungen.

[dimon1234 10]

Herzlichen dank für eure antworten! :) :)

 

Dimi