Windows ACD publieke + private lan verbindingen

[Verwijderd]

Heren, dames en collega's,

Ik sta aan het figuurlijke roer van 5 Windows servers die onder Windows 2003 elk een taak vervullen in het netwerk van een kleine, maar fijne , hosting partij.

Server 1: (Windows Server 2003 Standard)
- Backup collector A
- Terminal Services om spoedreparaties aan applicaties te doen via RDP
- ...

Server 2: (Windows Server 2003 Web Edition)
- MySQL voor hier gehoste sties
- Maatwerk hosting pakketten (+/- 30 stuks)
- Deze hosting pakketten heb elke eigen applicatie settings

Server 3: (Windows Server 2003 Web Edition)
- Primaire e-mail server (hMailServer)
- Mail virusscanner
- PHP Webmail (Squirellmail) - wel onder IIS
- Backup collector B

Server 4: (Windows Server 2003 Standard Edition)
- Monitoring en traffic analyse

Server 5: (Windows Server 2003 Standard Edition)
- MySQL voor hier gehoste sites
- ''Pakket''-CMS websites (+/- 50 stuks)

** Het backup collecten gaat als volgt:
Elke server heeft op een eigen Windows File Sharing map (lokaal) waar backups van deze server worden opgeslagen. In het netwerk zijn twee losstaande backupcollectors die elk (redundant) alle backups ophalen. Aan de backup collector servers zitten externe schijven (500GB) verbonden waar de backups van de individuele servers voor langere duur worden bewaard.

Elke server heeft twee netwerk aansluitingen in gebruik, een publieke WAN en een private LAN. Op het publieke wordt enkel TCP/IP aangeboden om de websites + mail diensten beschikbaar te maken. Op het private lan wordt gebruik gemaakt van Windows Networking (de servers staan in een Workgroup) om onder meer de backups uit te wisselen. De publieke verbindingen staan achter de Windows Firewall, de private verbindingen hebben geen firewall.

Wij maken gebruik van DNS servers van TransIP (externe partij in ons geval).

Nu is het probleem als volgt:
Klanten willen graag gebruik maken van Direct Push van Microsoft Exchange 2003. Hiervoor is uiteraard een Windows domain nodig (ACD). Nu hebben we server 1 de taak gegeven om Domain Controller te worden van het domein "bedrijf.nl" (even fictief). Alle servers hebben in de DNS record van deze domeinnaam, bij de externe DNS leverancier, een A record (b.v. server1.bedrijf.nl wijst naar het IP van het publieke adres van deze server).
Het originele idee was om Exhange op de DC te installeren. Dit was drama. Bij het afsluiten / herstarten duurde het eeuwen voordat de server ging weer kon herstarten (het afsluiten duurde meer dan 20 minuten !!). Onderzoek wijst uit dat dit een "bug" (als feature) is van Microsoft, de Active Directory wordt tijdens het afsluiten op de DC eerder gestopt dan de Exchange waardoor het voor Exchange onmogelijk wordt om netjes af te sluiten, hij moet worden gekilld en hier zit een lange timeout op. Een oplossing hiervoor is om Exchange eerder (handmatig) af te sluiten voor de reboot, maar met Automatische updates e.d. is dit natuurlijk onhandig.

Het idee is daarom nu zo dat Exchange op een andere server komt te draaien. Server 1 is en blijft de domain controller, server 4 wordt Exchange server.
Het probleem is nu dat Server 4 zich niet kan aanmelden op het Windows domein omdat er op het IP adres wat hij krijgt van de DNS geen Active Directory te vinden is (de active directory bestaat eigenlijk alleen op het private LAN, de IP adressen behorende bij server1.bedijf.nl wijzen naar het publieke adres.

Mijn vraag is nu, hoe kan ik (fundamenteel) dit goed inrichten. Ik kan mij voorstellen dat hier hele goede en slimme oplossingen voor zijn, maar ik er door de bomen het forest niet meer zie...

Ik sta open voor iedereen met een goede opmerking of een goed voorstel.

[Johnny E]

Volgens mij moet je split dns gebruiken, dwz zone bedrijf.nl verwijst naar de externe ip adressen van de servers en zone bedrijf.local verwijst naar de interne ip adressen van de servers.

Je Active Directory krijgt de naam bedrijf.local mee, op elke server configureer je de interne dns server zodat deze de externe dns gebruikt als forwarder.

De servers krijgen in de ip instellingen alleen de interne dns server geconfigureerd.

[Verwijderd]

Ik heb vandaag een domeinnaam bedrijf-network.nl geregistreerd waarop nu de DNS server in de AD draait. Zowaar werkte dit concept omdat de domain controller nu tot de conclusie kwam dat hij DNS moest worden voor dit nog niet bestaande domein. (hetzelfde effect als met een .local).

Het mooie is dat hij nu inmiddels draait en ik van de week kan beginnen met testen.

In ieder geval thanks voor de reactie,

[thund3rball]

Professioneel? spijt me, maar ik vindt dit een hoog "we doen maar wat/klussen met kijkers" gehalte hebben...je bouwt je hele hosting farm om, om te kunnen voorzien in pushmail, je gebruikt windows firewall op produktiemachines (in een datacenter/hosting farm?) en maakt backups op usb-disks (wat bij brand?).

naar mijn bescheiden mening past dit niet echt in PNS..

[Verwijderd]

Mijn inziens valt het best mee met het "klussen met kijkers" gehalte. Er zijn slechts twee machines betrokken bij deze operatie (server 1 en 4) welke tot dusver geen productiestatus hebben. Daarnaast is een exact kopie van de installatie van deze machines aanwezig op kantoor in een virtule omgeving (Parallels) waar het 'testen' plaats vindt.

De pushmail via Exchange is een experiment waar we inderdaad nu nog niet productierijp mee zijn. Maar zoals iedere dienst moet je toch ergens mee beginnen? Learning by doing is een manier.

Voor wat betreft het backuppen is het verhaal niet compleet. De USB disks bieden een grote capaciteit aan tegen een lage prijs (+800GB voor een paar honder euro). Daarnaast is het zo dat eens per week de backups incrementeel worden gesynchroniseert met een fallback server (server 8 - welke niet in het overzichtje vermeld was) welke gepositioneerd is in een ander datacentre.

Om weer terug on topic te keren kan ik melden dat op dit moment server 4 klaar is voor een test voor aankomende week. Wat dat betreft is het probleem dus opgelost en kan het topic worden gesloten / gearchiveerd.

[bigfoot1942]

ik denk dat ik het wel gedeeltelijk met thund3rball eens bent, bedrijfsservers op colocatie gebruiken (=interessant voor hackers) zonder hardwarematige firewall is niet echt handig. Exploits e.d. kunnen zelfs tot op zekere hoogte worden afgevangen dmv scanprofielen op een beetje firewall.

[ Voor 32% gewijzigd door bigfoot1942 op 18-10-2007 23:56 ]

[McMiGHtY]

En wat denk je dat op de "hardwarematige firewalls" draait? Juist ook software, op bijna alle een soort linux met een gui.

Microsoft ISA Server komt uit diverse testen van grote organisaties goed uit de testen en is door diverse standaarden gecertificeerd.

Zoals als de ts het hier voorsteld (een AD in een colocatie) ben ik het reeds op diverse lokaties tegengekomen, en in dit geval is het zowiezo een voorwaarde voor Exchange.