[Win2K server] Norton Firewall houdt DNS tegen.

[TheLemon]

Ik heb een Win2K server als PDC met DNS en DHCP en AD, de hele reut. Werkt allemaal perfect, behalve één terugkerende fout in het app log:
ID 1000, userenv, de bekende fout dat er geen DNS-record voor de PDC gevonden kan worden.

Ik ben er inmiddels achter dat het door Norton Personal Firewall 2002 komt, als ik die uitzet is er geen enkel probleem. Het gekke is alleen dat alle DNS verkeer in- en uitgaand volgens de firewall toegestaan is. Ik heb ook voor de ip-range van mij eigen LAN alle toegang van- en naar de server opengezet.

Hoe kan het dan nog niet werken?

[Kabouterplop01]

conflict in de rules. Niet complete acces-list (als het een router met firewall features is)

[TheLemon]

Nou, ik neem aan dat de DNS-requests voor mijn LAN alleen binnen mijn LAN blijven en niet door mijn ADSL-router heen hoeven? Voor de volledigheid: ik heb een ADSL Router/modem met ingebouwde switch, die staat ingesteld als standaardgateway en de DNS/DCHP functie daarvan staat uit, want die staat aan op de Domain controller.

Het probleem is er ook echt alleen als Norton Firewall aanstaat op de server, als hij uit staat met verder precies dezelfde settings op de router enzo, gaat het prima.

Maar hoe kan ik een conflict in de rules krijgen? Ik heb gewoon de default instellingen gelaten en alleen ff gechecked of alle DNS-verkeer (in- en uit) toegstaan is, en dat is zo.

[Zwelgje]

TheLemon schreef op 28 juli 2003 @ 12:48:
Nou, ik neem aan dat de DNS-requests voor mijn LAN alleen binnen mijn LAN blijven en niet door mijn ADSL-router heen hoeven? Voor de volledigheid: ik heb een ADSL Router/modem met ingebouwde switch, die staat ingesteld als standaardgateway en de DNS/DCHP functie daarvan staat uit, want die staat aan op de Domain controller.

Het probleem is er ook echt alleen als Norton Firewall aanstaat op de server, als hij uit staat met verder precies dezelfde settings op de router enzo, gaat het prima.

Maar hoe kan ik een conflict in de rules krijgen? Ik heb gewoon de default instellingen gelaten en alleen ff gechecked of alle DNS-verkeer (in- en uit) toegstaan is, en dat is zo.

als je een adsl router hebt heb je op je server geen firewall meer nodig, die router blokeert het inkomende verkeer wel (tenzij je die server in de DMZ hebt staan natuurlijk)

dus uitzetten dat ding, norton heb je niet nodig op die server

[TheLemon]

Als je ziet hoeveel aanvallen ik krijg in het log van Norton (1 per minuut ofzo ), dan laat ik die er toch echt liever opstaan (of een andere, maar die heb ik niet).
Die router (E-tech) heeft een ingebouwde firewall waar je niks kunt instellen, die zet ik liever niet aan, want ik heb geen idee wat hij doet, volgens mij krijg ik dan ook problemen met online games enzo. Server staat zeker niet in de DMZ . Op de router staan alleen poorten 21 en 80 doorgestuurd naar de server, want er draait IIS op.

[Zwelgje]

TheLemon schreef op 28 July 2003 @ 17:14:
Als je ziet hoeveel aanvallen ik krijg in het log van Norton (1 per minuut ofzo ), dan laat ik die er toch echt liever opstaan (of een andere, maar die heb ik niet).
Die router (E-tech) heeft een ingebouwde firewall waar je niks kunt instellen, die zet ik liever niet aan, want ik heb geen idee wat hij doet, volgens mij krijg ik dan ook problemen met online games enzo. Server staat zeker niet in de DMZ . Op de router staan alleen poorten 21 en 80 doorgestuurd naar de server, want er draait IIS op.

als je alleen poort 80 en 21 doorstuurd is er niks aan de hand, dat je daar op gescanned wordt is normaal

als ie niet de DMZ staat is je pc ook niet te bereiken (tenzij je dus zoals je nu doet aan portwarding (specifieke poorten)

[Superstudent]

Als Norton irritant blijft doen zou ik overstappen op een Sygate Firewall, dat werkt heel goed samen met win2k. Ik heb evolgens mij ook ergens in de help van Norton gelezen dat die firewall win2k server niet 100% support...im not sure.

[TheLemon]

Ja, klopt heb ik ook ergens gezien, maar ja, hiervan heb ik een legale versie. Maar ik ga wel eens spitten of ik een andere kan vinden. Ik vind het wel een gemis trouwens dat MS niet zelf een firewall meelevert met IIS bijvoorbeeld.

[Kabouterplop01]

Als je een eigen (geregistreerde) domeinnaam hebt zou ik toch poort 53 maar openzetten. je wilt toch internetten? Anders zou je alle websites in IP adressen moeten benaderen. En die portscans zouden best wel eens een connectie naar je IIS bak kunnen zijn... Hoeveel hits krijgt je webserver? m.a.w. het kan bijna niet anders dat je een eigen domein hebt. Waarom zou je anders IIS draaien ( niet om de hele dag naar je eigen website te kijken )

[Kabouterplop01]

Kabouterplop01 schreef op 29 juli 2003 @ 08:12:
Als je een eigen (geregistreerde) domeinnaam hebt zou ik toch poort 53 maar openzetten. je wilt toch internetten? Anders zou je alle websites in IP adressen moeten benaderen. En die portscans zouden best wel eens een connectie naar je IIS bak kunnen zijn... Hoeveel hits krijgt je webserver? m.a.w. het kan bijna niet anders dat je een eigen domein hebt. Waarom zou je anders IIS draaien ( niet om de hele dag naar je eigen website te kijken ) Als dit openstaat moet je een DNS forwared gebruiken

[TheLemon]

Kabouterplop01 schreef op 29 July 2003 @ 08:12:
Als je een eigen (geregistreerde) domeinnaam hebt zou ik toch poort 53 maar openzetten. je wilt toch internetten? Anders zou je alle websites in IP adressen moeten benaderen. En die portscans zouden best wel eens een connectie naar je IIS bak kunnen zijn... Hoeveel hits krijgt je webserver? m.a.w. het kan bijna niet anders dat je een eigen domein hebt. Waarom zou je anders IIS draaien ( niet om de hele dag naar je eigen website te kijken )

Nee ik heb geen eigen domein, ik draai gewoon een site en FTP-server voor mijn bandleden (die hebben mijn ip-adres gewoon gebookmarked). Ik heb misschien maar een paar hits per week, maar het aantal aanvallen met scripts-gedonder op IIS is echt in de orde van elke paar seconden, als ik het log van Norton mag geloven.
Maar wat jij zegt over poort 53 openzetten, die staat open zoals ik reeds vermeldde, ik kan vanaf de server ook gewoon internetten.