[2008 DC]Join domain over internet

[UniPer]

All,

Ik kom er niet uit meer uit, ik zie ongetwijfeld iets over het hoofd maar weet gewoon niet wat.
De situatie:

Een 2008 server met de volgende onderdelen geïnstalleerd:
- DC
- AD
- DHCP
- DNS

In deze server zitten 2 netwerkkaarten:
1:
IP: 178.100.100.100
2:
IP: 192.168.1.1

De eerste NIC maakt verbinding met het internet en de 2de faciliteert het interne netwerk.
Elke PC die intern zit aangesloten kan het domein prima joinen.

Nu is het zo dat ik ook enkele PC's (extern) over het internet aan het domein wil koppelen,
het liefst zonder gebruik te maken van VPN.

Dit moet toch mogelijk zijn?
Wat ik gedaan heb is de volgende porten geopend op de DC:
Microsoft-DS traffic (445/tcp, 445/udp)
Kerberos authentication protocol (88/tcp, 88/udp)
Lightweight Directory Access Protocol (LDAP) ping (389/udp)
Domain Name System (DNS) (53/tcp, 53/udp)

Als ik nu een externe machine probeert te joinen dan vraagt deze uiteraard eerst om een login welke rechten
heeft op de DC. Nadat ik deze heb ingevoerd krijg ik de melding: "The format of the specified networkname is invalid".

Op deze externe machine heb ik als primaire DNS het IP van de DC ingevuld en omdat deze machine uit een
ander domein komt is deze uiteraard eerst gedisjoined, gereboot en is er een 'flushdns' uitgevoerd.

Wat zie ik hier over het hoofd?

[Remco]

Weet je zeker dat je dit zonder vpn wilt ? Hoe snel wil je je server gehacked of vol virussen hebben ?
En dan vooral heel verstandig je externe ip ook nog in je post vermelden. Ik zou je willen adviseren om dit snel te wijzigen.

Kan je wel de naam van de dc pingen via dcnaam.dnsnaam.local ?

[W.Zijlstra.]

Het is niet echt handig om windows server 2008 te gebruiken als router.

Ik heb dit een tijdje terug ook geprobeerd maar windows is er gewoon niet écht best voor.

Wat ik gedaan heb is een router als DNS server laten vergeren en de dhcp te laten draaien op de server.

Dan krijg je dat het internet (externe) verhaal via je router gedaan word, heb je nette port forwarding (per client) en alle opties nog meer die windows server niet heeft en hou je je server ook schoon van internet verkeer (zoals hierboven virussen/server gehacked).

Een windows server als router gebruiken is niet écht handig.

Dan zou je beter een linux distro kunnen virtualiseren en daar een netwerkkaart voor opofferen om daar fatsoenlijke router-software op te zetten.

Stukje advies! Doe er mee wat je wilt ^^

[UniPer]

Remco schreef op zaterdag 11 februari 2012 @ 16:46:
Weet je zeker dat je dit zonder vpn wilt ? Hoe snel wil je je server gehacked of vol virussen hebben ?
En dan vooral heel verstandig je externe ip ook nog in je post vermelden. Ik zou je willen adviseren om dit snel te wijzigen.

Kan je wel de naam van de dc pingen via dcnaam.dnsnaam.local ?

Euuhmm...IP gewoon klakkeloos overgetypt, normaal haal ik het externe IP er inderdaad altijd uit, bij deze dus
Is het zo riskant om dit rechtstreeks zonder vpn te doen? Loop je dan zoveel risico?

De naam kan ik ook niet pingen nee, wel dnsnaam.local.

Wat ik gedaan heb is een router als DNS server laten vergeren en de dhcp te laten draaien op de server.

Dan krijg je dat het internet (externe) verhaal via je router gedaan word, heb je nette port forwarding (per client) en alle opties nog meer die windows server niet heeft en hou je je server ook schoon van internet verkeer (zoals hierboven virussen/server gehacked).

Een windows server als router gebruiken is niet écht handig.

Dan zou je beter een linux distro kunnen virtualiseren en daar een netwerkkaart voor opofferen om daar fatsoenlijke router-software op te zetten.

Stukje advies! Doe er mee wat je wilt ^^

Ik ben bang dat ik te weinig linux ervaring heb om dit goed op te zetten, het enige alternatief is inderdaad om er een echte router voor te hangen die het DNS gedeelte overneemt. Dat is een optie...

In welk opzicht is Windows hier zo slecht in dan? Qua beveiliging of qua faciliteit an zich?

[ Voor 41% gewijzigd door UniPer op 11-02-2012 20:34 ]

[Glashelder]

Poort 445 wordt door veel providers - vanwege het risico (SMB is een protocol wat je echt niet naar buiten open wilt zetten) - geblokkeerd. Ik denk dat het daarom niet werkt.

Maar waarom geen VPN

[UniPer]

Glashelder schreef op zaterdag 11 februari 2012 @ 20:40:
Poort 445 wordt door veel providers - vanwege het risico (SMB is een protocol wat je echt niet naar buiten open wilt zetten) - geblokkeerd. Ik denk dat het daarom niet werkt.

Maar waarom geen VPN

Hmm..inmiddels heb ik het dus wel werkend..weet alleen niet of het nog steeds werkt als ik port 445 dicht zet

VPN..ja dat zou kunnen natuurlijk alleen moet dan elke client PC hier apart verbinding maken met VPN voordat ze het domein op kunnen en anders moet ik een router aanschaffen die standaard vpn kan maken, of een server hier neer zetten die de verbinding in stand houd.

[Rolfie]

Is het zo riskant om dit rechtstreeks zonder vpn te doen? Loop je dan zoveel risico?

Sorry hoor, maar hoe dom niet zo slim" kun je zijn. Dit is het het meest domme wat ik in een lange tijd hen gehoord.

Poort 445 wordt door veel providers - vanwege het risico (SMB is een protocol wat je echt niet naar buiten open wilt zetten) - geblokkeerd. Ik denk dat het daarom niet werkt.

Wat dacht je van RPC? Das nog veel erger.

[ Voor 65% gewijzigd door Rolfie op 11-02-2012 23:59 ]

[UniPer]

Rolfie schreef op zaterdag 11 februari 2012 @ 23:57:
[...]


Sorry hoor, maar hoe dom niet zo slim" kun je zijn. Dit is het het meest domme wat ik in een lange tijd hen gehoord.


[...]

Wat dacht je van RPC? Das nog veel erger.

Bedankt voor deze zinvolle toevoeging...hier kan ik wat mee!

[WhizzCat]

UniPer schreef op zondag 12 februari 2012 @ 11:06:
[...]


Bedankt voor deze zinvolle toevoeging...hier kan ik wat mee!

Hij bedoelde het wel goed denk, het komt er alleen wat l*llig uit

Het is gewoon een gigantisch risico wat je neemt als je dit zonder VPN op wil zetten. Dat raadt ik echt helemaal compleet af. Het opzetten van wat documentatie over hoe mensen een VPN moeten instellen hoeft ook niet de grootste klus te zijn.

Wat je je wel moet afvragen, wil jij ongecontroleerde PC's op je domein hebben? Of zijn deze PC's die ergens anders staan ook door jou geleverd? Als dat is zo, dan is er helemaal geen probleem natuurlijk, maar ik zou geen PC's van thuisgebruikers op mijn domein willen hebben, brrr

[Trommelrem]

Is Branch Cache niet een mogelijke oplossing?

Opzich werkt een DC op een public IPv4 prima hoor, maar zet er wel een goede hardware firewall tussen. Wanneer je provider IPv6 uitrolt, zitten plotseling al je DCs direct op het internet.

[Turdie]

Trommelrem schreef op zondag 12 februari 2012 @ 11:30:
Is Branch Cache niet een mogelijke oplossing?

Opzich werkt een DC op een public IPv4 prima hoor, maar zet er wel een goede hardware firewall tussen. Wanneer je provider IPv6 uitrolt, zitten plotseling al je DCs direct op het internet.

.
Branch Cache is alleen voor het repliceren van data tussen "branch offices". Een VPN achtige oplossing is Direct Access. Direct Access vergt wel veel kennis van de meeste aspecten van Windows Server 2008 R2. Wij gebruiken zelf ook Direct Access omdat we niet op kantoor zitten en dan toch aan het domein van de zaak verbonden zijn en ook file-shares kunnen benaderen die op een server op kantoor staan.
Technical Overview of DirectAccess in Windows 7 and Windows Server 2008 R2. Als je al aan het domain gejoined bent, vindt er ook ieder uur communicatie plaats (Group Policy updates), dus joinen en dan de poorten dicht zetten dat gaat niet werken. Daarnaast maak je een enorm security lek wat voor iedere hacker een enorme pot met honing is.

[ Voor 39% gewijzigd door Turdie op 12-02-2012 17:23 ]

[Trommelrem]

Excuses, ik bedoelde inderdaad DirectAccess.