RODC promoten in lan of DMZ

[Peter F]

Ik heb een vraag waar ik niet direct antwoord op heb.

We hebben een internet pagina , draaiend op IIS , en de pagina zelf is van Joomla.

Van binnenuit log je in met behulp van SSO. van buiten af moet je inloggen met je AD credentials.

Om toch een wat betrouwbaar gevoel te krijgen komt deze in het DMZ te draaien, icm met een RODC Core Server (2008r2). Nu las ik op de white paper van MS dat je kan kiezen om DCpromo te draaien in het LAN of in de DMZ. maar welke het beste van toepassing is voor deze situatie krijg ik niet boven tafel.

Het idee is overigens om het volgende op de firewall vrij te geven

WAN -> port 443 Internet IIS Server -> port 53 / 88 -> RODC -> naar gewone DC's

[Razwer]

SSO? je bedoeld Windows Integrated Authentication.
Waar je de dcpromo doet maakt niet veel uit. Belangrijkste is dat de juiste firewall poorten open staan naar de rest van je DC's, vooral de FSMO rol servers.
https://technet.microsoft...d728028%28v=ws.10%29.aspx

Als je dat doc al gelezen hebt en jouw vraag stamt uit deze:

Which network should the RODC be connected to during the promotion process—the internal network or the perimeter network?

The decision about which network to promote the RODC in is important when there is a domain-based network access security policy, such as Internet Protocol Security (IPsec), in place. In this case, you must ensure that the RODC has the IPsec policy in place before it is exposed in the perimeter network.

moet je nog eens goed lezen wat er staat.
Het is namelijk alleen relevant in het geval je gebruik maakt van ipsec en dergelijken.