Active Directory в DMZ

Здравейте, имам затруднение /даже вобще не знам дали се прави така/ ДМЗ с мрежа 192.168.30.0 вътре трябва да има ДЦ с ДХЦП и ДНС но да дава Ип-та от 192.168.40.0 на хостовете след фаиъруала и да си има всичките сервизи които си предлага Активе Директори.

След ДМЗ пак ли ще имаш хостове?

da

по принцип ДМЗ се ползва точно за хостове и мейл сървъри, за да ти го отдели от вътрешната мрежа , а след него пак да имаш хостове, не е добра идея, ще си направиш пробойна.
Поне според мен, нека ме поправи някой ако бъркам,
[линк]

В ДМЗ всички машини са с твърди адреси, няма ДХЦП.
В ДМЗ няма няма работни станции. Ако има, няма да е ДМЗ.
Отваряш съответните портове във вътрешната стена да разрешават комуникация само между сървърите в ДМЗ и съответните вътрешни сървъри, а не с който и да е клиент.
Пускаш IPSEC между сървърите в ДМЗ и вътрешните сървъри като ДЦ и т.н.

В картинката на мястото на мейл сървъра трябва да има mail relay, истинският мейл сървър е зад стената.

я кажи за какъв чеп ти е ДЦ, ДХЦП и ДНС в ДМЗ??? По-добре кажи каква е постановката и ти какво искаш да постигнеш

Постановка: Ацтивна Директоря най добре се с ДХЦП и ДНС сервизи на същия сервер това го знаеме.Работя в фирма която е наела консултантска фурма и те казаха ДЦ-то зад ДМЗ-то ама нещо не ми се страува добра идея. Само не разбрах защо решихте че има хостове в ДМЗ-то. Казах че ДХЦП-то трябва да раздава ИП-та на хостовете а самото дхцп трябва да е зад ДМЗ-то. Това ме птритеснява и ДНс услугата на Ацтивната Директория ще е просто брутално с фаиъруола. според мен

1. ДЦ-то зад ДМЗ-то все пак означава да е във вътрешната мрежа. Кажи ми за
какъв чеп да е отвън? За да може куцо, сляпо и сакато да се пробва да го пробие ли?
2. ДХЦП-то по същия начин е във вътрешната мрежа и няма абсолютно никаква причина да не е там.
3. ДНС-а къде да бъде освен във вътршната зона? Работата му е да облужва
работните станции, които очевидно също са във вътрешната зона.
4. ДНС достъпен от интернета ти е необходим само ако хостваш собствен
огромен домейн със под-домейни тип IBM, Microsoft, ако си ISP или се чудиш
какво да правиш. Ако имаш някакъв пършив ВЕБ сървър който да задоволява
потребностите на началника за ВЕБ сървъри, адреса му се пише в ДНС-а на
доставчика. Това да си имаш собствен ДНС поставен на ИНтернет е дивотия.
5. Ако нямаш хостове в ДМЗ, то нямаш нужда от ДМЗ.
6. ДНС на АД минава през един порт отворен еднопосочно - какъв ти е
проблема?

Я се опитай да артикулираш страховете си.

Към мс явно сме на различно мнение за ДМЗ за какво служи, и какво да има в него . И съм сигурен че е направено както трябва при нас.Демек в ДМЗ има само сервери които са от мрежа примерно 192.168.30.0 и между ДМЗ-то и хостовете в мрежата има линукс с ПАТ НАП ПФ и там квото се сетиш за комуникация с хостовете които са извън ДМЗ-то. въпроса ми е прост редно ли е ДХЦП от мрежа 192.168.30.0 с ИП 192.168.30.3 да раздава ИП-та от мрежа 192.168.40.0 на хостовете които са след линукса демек ДХЦП - то да минава през фиреуал.Като на този ДХЦП сервер има и ДЦ с активе директори и ДНС .
Мога да го нарисувам ако искаш щото май не може да си рпедсавиш картинката тук.

Благодаря

По принцип мястото на хостовете е пред стената или в ДМЗ (ако имаш), и даже се изненадах, като каза, че имаш хостове след стената(вътре в мрежата)
зада ти виждат всичко нормално , ще трябва да отвориш за атаки много мрежата, по принцип по същата причина е хубаво и мейла сървъра , да е извън вътрешната мрежата (поне аз така смятам не оспорвам другите мнения, че несъм спец. в това отношение), но според мен вероятноста за пробив когато пощенският сървър е вътре е по-голяма.
По принцип при рутиране е нормално преминаване от мрежа 192.168.30.3 към 192.168.40.3 или обратно, а не от един клас. ако това питаш.

Няма значение явно не може да се разбереме ;)
Май ще ми помогне ДХЦП Релей ;).
Благодаря все пак за етделено внимание.

ами нарисувай го. Поне да видя за какъв точно чеп ти е необходим ДХЦП сървър в ДМЗ-то и какви точно сървъри има там.
Последно - в ДМЗ-то има или няма хостове? В един пост пишеш че има, в следващия- че няма...

глупости! мейл сървъра няма абсолютно никаква работа в ДМЗ-то, освен ако не е мейл-рилей без мейлбоксове. Допълнително ще прави връзка със вътрешния сървър посредством IPSEC. От какъв зор клиентите трябва да се свързват със сървър в ДМЗ за да си прочетат емайла??? Другите сървъри в ДМЗ-то са разни ВЕБ сървъри, ако изобщо фирмата хоства такива. Всичко друго е ЗАД стената - само така можеш да намалиш площта на атака. Това да сложиш домейн контролер и/или ДХЦП сървър в ДМЗ - май не съм чувал по-голяма дивотия от това...

аз си намерих решение само на знам как разбра че има хостове д ДМЗ-то и защо те интересува какви други сървари има там не въждам нищо общо с въпроса.А колкото до това дали е тъпи или не смятам че консултантската фирма май има по голям опит от теб в тази сфера дори и без да те познавам го твърдя.Нищо лично и не се заяждам.

Все пак благодаря ви за отделеното внимание.

Ще го нарисувам ;)

"само на знам как разбра че има хостове д ДМЗ-то"

Защото някъде го пишеше това май. И на мен ми се стори странно, че веднъж казваш че има, веднъж че няма.

"Защото някъде го пишеше това май"

Аз пък съм сигурен че не съм казвал.

Аз пък съм сигурен че не знаеш какво пишеш. Ако искаш някой да ти каже каквото и да е, защо не се опиташ да обясниш за какво става дума и да не даваш противоречива информация. Кажи нещо от рода: има ДМЗ, вътре (в ДМЗ-то) има ВЕБ, мейл и бла бла сървъри. Във вътрешната зона имаме ДХЦП и искаме бла бла бла. Толкова ли е трудно да изразиш мисълта си? Как комуникираш със колегите си?

Ето какво си написал с няма 5 часа ралика, кажи на кое да вярваме, както и знаеш ли какво означава "пред" и "зад" стената:

Автор qwerty (Нерегистриран)
Публикувано 04.06.08 11:43
"но да дава Ип-та от 192.168.40.0 на хостовете след фаиъруала"

Автор qwerty (Нерегистриран)
Публикувано 04.06.08 16:30
"Само не разбрах защо решихте че има хостове в ДМЗ-то"

И чакаме картинката...

Дано съм разбрал правилно, но напълно е възможно, а и понякога е много удачно сървърите да са в отделна зона , не е задължително да го наричаме DMZ и да означава достъп до интернет от вън по някой протокол.
Да работят вътрешните ти персонални станции наистина ти трябва само DHCP relay, можеш да намериш примери в конфигурацията на твоя FW какви протоколи трябва да се допуснат и разбира се набора от протоколи за достъп например DNS + RPC
А за интернет сървърите направи друга зона и я наречи - DMZ

Да аз го разбрах след като се порових из нета ама само прочети от горе коко умни глави има само могат да се правят на велики ;) Мерси все пак