DNS server(s) locatie

[Verwijderd]

Sinds kort eindelijk een ADSL verbinding voor ons bedrijf aangesloten!
Er zijn 30 werkstations verbonden met een HP procurve switch, en de PDC deelt de ip adressen uit, en de gateway naar de (zyxel) ADLS router.
(de ADSL router hangt rechtstreeks aan de switch)

Nu is het zo ingesteld dat de DNS servers zijn gedefinieerd op de PDC, maar ik vraag me af of het niet logisher is om deze ergens in de router de definieeren!?

Nu is het zo dat als een werkstation een aanvraag doet naar een ip adres buiten het netwerk, deze rechtstreeks via de router wordt omgeleid naar het internet toe. MAAR het werkstation moet OOK naar de (PDC) server toe om zijn DNS gegevens op te halen.. Dit lijkt me niet erg logish? Of vergis ik me?

Ik mis in de router echter de mogelijkheid om DNS gegevens in te voeren! (deze kan ik alleen invoeren in de router, als ik de router instel als DHCP server en dat wil ik niet, want daar heb ik de PDC voor!

Wat is wijsheid in dit geval!?

[egeltje]

Laat je clients alleen naar de pdc-dns gaan en stel op je pdc-dns de dns servers van je provider in als forwarder.

[DaRealRenzel]

Je DNS op de PDC laten draaien en datgene wat hij niet weet laten opvragen aan de buitenwereld is het beste (forwarders instellen), omdat je DNS dan aanvragen gaat cahcen, dus je niet zo vaak het inet op moet om een DNS naam te resolven.

Effe voor mijn idee, zoals jij het verteld hangen alle werkstations, de server en de DSL router allemaal aan dezelfde switch ? Is wel een beetje link... Internet voor alle gebruikers wide open....

[mhr-zip]

Denk dat het wel los zal lopen.

[mhr-zip]

DaRealRenzel schreef op 13 juli 2004 @ 11:24:
Je DNS op de PDC laten draaien en datgene wat hij niet weet laten opvragen aan de buitenwereld is het beste (forwarders instellen), omdat je DNS dan aanvragen gaat cahcen, dus je niet zo vaak het inet op moet om een DNS naam te resolven.

Effe voor mijn idee, zoals jij het verteld hangen alle werkstations, de server en de DSL router allemaal aan dezelfde switch ? Is wel een beetje link... Internet voor alle gebruikers wide open....

Ach ja, wat is link.

[CyBeR]

DaRealRenzel schreef op 13 juli 2004 @ 11:24:
Je DNS op de PDC laten draaien en datgene wat hij niet weet laten opvragen aan de buitenwereld is het beste (forwarders instellen), omdat je DNS dan aanvragen gaat cahcen, dus je niet zo vaak het inet op moet om een DNS naam te resolven.

Hoeft niet per-see met forwarders. Doe ik zelf liever niet, zelfs. Geen afhankelijkheid van ISP's nameservers.

Effe voor mijn idee, zoals jij het verteld hangen alle werkstations, de server en de DSL router allemaal aan dezelfde switch ? Is wel een beetje link... Internet voor alle gebruikers wide open....

Eh.. wat?

[TAMW]

Verwijderd schreef op 13 juli 2004 @ 11:19:
Sinds kort eindelijk een ADSL verbinding voor ons bedrijf aangesloten!
Er zijn 30 werkstations verbonden met een HP procurve switch, en de PDC deelt de ip adressen uit, en de gateway naar de (zyxel) ADLS router.
(de ADSL router hangt rechtstreeks aan de switch)

Nu is het zo ingesteld dat de DNS servers zijn gedefinieerd op de PDC, maar ik vraag me af of het niet logisher is om deze ergens in de router de definieeren!?

Nu is het zo dat als een werkstation een aanvraag doet naar een ip adres buiten het netwerk, deze rechtstreeks via de router wordt omgeleid naar het internet toe. MAAR het werkstation moet OOK naar de (PDC) server toe om zijn DNS gegevens op te halen.. Dit lijkt me niet erg logish? Of vergis ik me?

Ik mis in de router echter de mogelijkheid om DNS gegevens in te voeren! (deze kan ik alleen invoeren in de router, als ik de router instel als DHCP server en dat wil ik niet, want daar heb ik de PDC voor!

Wat is wijsheid in dit geval!?

Wijsheid is jouw situatie is een caching-proxy zoals Squid(is er ook voor NT)
Voor 30 gebruikers levert dat echt wel heel wat snelheids winst op en handelt ook de DNS af.
Ook kun je de Internet toegang beter organiseren qua rechten blocking downloads enz.

Dit is bovendien ook veel veiliger dan dat alle 30 werkstations zo alles naar buiten kunnen schreeuwen.

[ Voor 7% gewijzigd door TAMW op 13-07-2004 11:36 ]

[TAMW]

foutje...

[ Voor 97% gewijzigd door TAMW op 13-07-2004 11:32 ]

[DaRealRenzel]

CyBeR schreef op 13 juli 2004 @ 11:26:
[...]


Hoeft niet per-see met forwarders. Doe ik zelf liever niet, zelfs. Geen afhankelijkheid van ISP's nameservers.


[...]


Eh.. wat?

Nee forwarders hoeft niet, maar dat betekend dat je voor elk unknown domain een DNS Root Query uitvoert. En dat heet dus niet meedoen met Netiquette (dus je niet aan de ongeschreven regels van het Internet houden). DNS Root Queries duren ook langer. Gewoon naar je ISP DNS Servers forwarden is het snelst en het netst...

ZOals hieronder al gezegd wordt, elke user kan kei lekker naar het internet zitten bleren. Voro jezelf thuis met je broertje en je pa is dat niet zo erg, maar met 30 PC's die je een beetje schoon wilt houden... Ga er maar aan staan.

Zelf sluit ik voor bedrijfjes met 5 users al rechtstreekse internet toegang af, alles via proxy. EXE, BAT, SCR en zo direct blocken. Downloaden doe je maar thuis.

[TAMW]

DaRealRenzel schreef op 13 juli 2004 @ 11:24:

Effe voor mijn idee, zoals jij het verteld hangen alle werkstations, de server en de DSL router allemaal aan dezelfde switch ? Is wel een beetje link... Internet voor alle gebruikers wide open....

Opzich is het niet erg dat ze aan dezelfde switch hangen als de workstations de gateway niet op de DLS router hebben staan kunnen ze niets, en onder windows heb je als normale gebruiker geen rechten om een route toe te voegen.

[CyBeR]

DaRealRenzel schreef op 13 juli 2004 @ 11:38:
[...]


Nee forwarders hoeft niet, maar dat betekend dat je voor elk unknown domain een DNS Root Query uitvoert. En dat heet dus niet meedoen met Netiquette (dus je niet aan de ongeschreven regels van het Internet houden). DNS Root Queries duren ook langer. Gewoon naar je ISP DNS Servers forwarden is het snelst en het netst...

Je merkt er niets van, en in de ongeschreven regels van 't internet staat niet dat je de root-servers niet mag gebruiken. Waarom denk je dat die dingen er zijn

ZOals hieronder al gezegd wordt, elke user kan kei lekker naar het internet zitten bleren. Voro jezelf thuis met je broertje en je pa is dat niet zo erg, maar met 30 PC's die je een beetje schoon wilt houden... Ga er maar aan staan.

Zelf sluit ik voor bedrijfjes met 5 users al rechtstreekse internet toegang af, alles via proxy. EXE, BAT, SCR en zo direct blocken. Downloaden doe je maar thuis.

Mja, als dat de enige manier is waarop jij 't kunt beveiligen moet je dat lekker zo doen. Ik hou van wat meer vrijheid en geef anderen dat ook.

*zucht* Windows attitude..

[DinX]

CyBeR schreef op 13 juli 2004 @ 11:57:
[...]

Je merkt er niets van, en in de ongeschreven regels van 't internet staat niet dat je de root-servers niet mag gebruiken. Waarom denk je dat die dingen er zijn


[...]

Mja, als dat de enige manier is waarop jij 't kunt beveiligen moet je dat lekker zo doen. Ik hou van wat meer vrijheid en geef anderen dat ook.

*zucht* Windows attitude..

En als je gebruikers regelmatig dezelfde sites gebruiken zal dat contact met de root-servers nog wel meevallen ook denk ik.

[CyBeR]

DinX schreef op 13 juli 2004 @ 12:00:
[...]


En als je gebruikers regelmatig dezelfde sites gebruiken zal dat contact met de root-servers nog wel meevallen ook denk ik.

Uiteraard. Elke zelfrespecterende recursive DNS server cached die zooi.

[TAMW]

CyBeR schreef op 13 juli 2004 @ 11:57:


Mja, als dat de enige manier is waarop jij 't kunt beveiligen moet je dat lekker zo doen. Ik hou van wat meer vrijheid en geef anderen dat ook.

*zucht* Windows attitude..

Binnen een bedrijf is het ivm met veiligheid zeer nuttig om bepaalde extenties te blokken en met een webproxy te werken.

Zou je dit eens willen toelichten "*zucht* Windows attitude.." slaat imho echt nergens op.

Over vrijheid, het zal een lekker zooitje binnen een bedrijf worden als iedereen admin op zijn PC is en vrije internet toegang (alle poorten, protocollen enz) heeft.

[ Voor 23% gewijzigd door TAMW op 13-07-2004 12:16 ]

[CyBeR]

TAMW schreef op 13 juli 2004 @ 12:11:
[...]


Binnen een bedrijf is het ivm met veiligheid zeer nuttig om bepaalde extenties te blokken en met een webproxy te werken.

Qua e-mail wel ja. Doe ik ook.

Zou je dit eens willen toelichten "*zucht* Windows attitude.." slaat imho echt nergens op.

Dat ik deze 'het is beter als men helemaal niets kan'-mentaliteit eigenlijk alleen bij windows admins tegenkom. Bij UNIX mensen is 't namelijk precies andersom.

Over vrijheid, het zal een lekker zooitje binnen een bedrijf worden als iedereen admin op zijn PC is en vrije internet toegang (alle poorten, protocollen enz) heeft.

Wie zei dat iedereen admin moet zijn op z'n PC? Overigens is dat vaak ook geen probleem hoor, zo doen we 't (uit noodzaak, toegegeven) bij onze eigen PC's op school ook (die van onze opleiding, informatica, dus). En ook daar zie ik dezelfde mentaliteit buiten ons eigen netwerk trouwens: daar moet alles via een proxy. In ons eigen netwerk kun je desgewenst zelfs een publiek, volledig routable, IP-adres gebruiken. Nooit problemen mee.

Op m'n werk idem. Nu zitten daar mensen die weten wat ze doen dus dat admingebeuren is geen probleem (en men wil af en toe wel eens photoshop kunnen installen ofzo). Met de paar Windows machines die er daar zijn houd ik me niet eens echt bezig. Als er een probleem is hoor ik 't wel. De OSX machines doen 't ook altijd perfect. En dat alles zonder 'je-mag-niets-zonder-dat-ik-er-naast-sta'-policy.

Simpel gezegd komt het er denk ik op neer dat de Windows admins geen vertrouwen hebben in hun gebruikers. En soms is dat inderdaad beter, maar vaak gaat 't ten koste van mensen die wel weten wat ze doen. Toch jammer.

[TAMW]

Ik deel je mening totaal niet.
Gebruikers moeten hun werk zonder belemmeringen kunnen doen, buiten dat hoeven ze niks met hun PC te kunnen als ze dat wel kunnen gaat dat bijna altijd ten koste van stabiliteit, veiligheid en legaliteit. Dit zijn factoren die binnen een productie omgeving van groot belangrijk zijn.

Heb even in je profiel gekeken en je bent nog vrij jong. Waarschijnlijk zal de tijd en ervaring je andere dingen gaan leren.

[ Voor 4% gewijzigd door TAMW op 13-07-2004 12:41 ]

[egeltje]

CyBeR schreef op 13 juli 2004 @ 11:57:
[...]
Je merkt er niets van, en in de ongeschreven regels van 't internet staat niet dat je de root-servers niet mag gebruiken. Waarom denk je dat die dingen er zijn
[...]

Om het Internet overeind te houden natuurlijk. Dat wil nog niet zeggen dat iedereen ook alleen maar deze servers moet gebruiken. Je ISP biedt je juist de service aan om een (redelijk) lokale dns server te gebruiken.
Als je al geen vertrouwen hebt in die dns servers, hoe is dan je vertrouwen in de rest van die ISP???

CyBeR schreef op 13 juli 2004 @ 11:57:
[...]
Mja, als dat de enige manier is waarop jij 't kunt beveiligen moet je dat lekker zo doen. Ik hou van wat meer vrijheid en geef anderen dat ook.

*zucht* Windows attitude..

Vrijheid is een groot goed. Maar op kantoor moet er gewoon gewerkt worden. Degene die mij kan overtuigen dat ie een p2p applicatie nodig heeft, mag van mij naar buiten. Geen probleem. Tot die tijd blijft die poort dicht!
Wacht maar tot iemand een keertje een worm download... Moet je eens kijken hoe snel ook jij de toegang naar internet gaat beperken.

[ Voor 3% gewijzigd door egeltje op 13-07-2004 13:02 ]

[DaRealRenzel]

TAMW schreef op 13 juli 2004 @ 12:11:
[...]


Binnen een bedrijf is het ivm met veiligheid zeer nuttig om bepaalde extenties te blokken en met een webproxy te werken.

Zou je dit eens willen toelichten "*zucht* Windows attitude.." slaat imho echt nergens op.

Over vrijheid, het zal een lekker zooitje binnen een bedrijf worden als iedereen admin op zijn PC is en vrije internet toegang (alle poorten, protocollen enz) heeft.

I rest my case

[Apache4u]

DaRealRenzel schreef op 13 juli 2004 @ 11:38:
[...]

Zelf sluit ik voor bedrijfjes met 5 users al rechtstreekse internet toegang af, alles via proxy. EXE, BAT, SCR en zo direct blocken. Downloaden doe je maar thuis.

Is dat niet aan die bedrijfjes om te beslissen? Ik vind het nogal stoere praat.
Als jij daar als externe even beleid gaat zitten bepalen.
Het uitleggen van de voor- en nadelen van zoiets aan de betreffende verantwoordelijke persoon en hem/haar de beslissing laten nemen lijkt me handiger.
Voor sommige bedrijfsdoeleinden kan het nodig zijn dat mensen .exe bestanden moeten kunnen downloaden en als jij die dan fijn hebt afgesloten zullen ze ook niet blij met je zijn.

[CyBeR]

TAMW schreef op 13 juli 2004 @ 12:35:
Ik deel je mening totaal niet.
Gebruikers moeten hun werk zonder belemmeringen kunnen doen, buiten dat hoeven ze niks met hun PC te kunnen als ze dat wel kunnen gaat dat bijna altijd ten koste van stabiliteit, veiligheid en legaliteit. Dit zijn factoren die binnen een productie omgeving van groot belangrijk zijn.

Juist. Daarom hebben we ook zo min mogelijk Windows PC's
Daarbij, internet limiteren zou bij mij een belemmering van het werk van de andere mensen zijn. Die moeten namelijk op internet komen, en dan bedoel ik niet alleen webpaginaatjes. Dan bedoel ik bijvoorbeeld ook de productieservers die we hebben hangen in Redbus, en de productieservers van andere organisaties waarop wij bijvoorbeeld een online monument ontwikkelen. Vroeger was het overigens nog 'erger'*, toen had iedere PC/Mac/Server een eigen publiek IP-adres, gefirewalled per machine.

Heb even in je profiel gekeken en je bent nog vrij jong. Waarschijnlijk zal de tijd en ervaring je andere dingen gaan leren.

Dat weet ik zo net nog niet. Ik ben niet van plan me met Windows bezig te houden, en dan sla je al een boel van het gezeik waar jij (en anderen) het over hebt over.

_{*) Sarcastisch bedoeld.}

egeltje schreef op 13 juli 2004 @ 12:58:
[...]

Om het Internet overeind te houden natuurlijk. Dat wil nog niet zeggen dat iedereen ook alleen maar deze servers moet gebruiken. Je ISP biedt je juist de service aan om een (redelijk) lokale dns server te gebruiken.
Als je al geen vertrouwen hebt in die dns servers, hoe is dan je vertrouwen in de rest van die ISP???

Het enige wat we van onze ISP gebruiken is de verbinding naar het internet. Geen pop3, geen dns, geen smtp, niets. Dat regelen we allemaal zelf. Overigens is onze ISP InterNLnet, dus die verbinding zit wel snor. D'r was een plan om via SURFnet dingen te doen maar dat is voorlopig aan de kant gezet.

[...]

Vrijheid is een groot goed. Maar op kantoor moet er gewoon gewerkt worden. Degene die mij kan overtuigen dat ie een p2p applicatie nodig heeft, mag van mij naar buiten. Geen probleem. Tot die tijd blijft die poort dicht!
Wacht maar tot iemand een keertje een worm download... Moet je eens kijken hoe snel ook jij de toegang naar internet gaat beperken.

Tsja. Ik weet niet hoe 't bij jou zit, maar hier zit niemand te p2p'en en te downloaden hoor (buiten dan downloads die ze nodig hebben). Dus ik weet niet precies hoe een eventuele worm binnen zou moeten komen, anders dan e-mail. En daar block ik 't Overigens geldt dit dus alleen voor de 6 Windows PC's die we in gebruik hebben, van MacOS X worms heb ik nog niet gehoord.

[Verwijderd]

CyBeR schreef op 13 juli 2004 @ 22:35:
offtopic discussie:
Het enige wat we van onze ISP gebruiken is de verbinding naar het internet.

/me gebruikt ook altijd root hints met w2k dns servers...

het is me al te vaak gebeurt dat via forwarders ik onjuiste of onvolledige info heb gekregen waardoor mail niet meer fatsoenlijk verzonden werd bijvoorbeeld...
Ben hiervoor al bij diverse bedrijven geweest om de configuratie aan te passen waarna er totaal geen problemen meer waren met dns

mijn tip gebruik geen forwarders...

my 2 cents

[TAMW]

CyBeR schreef op 13 juli 2004 @ 22:35:
[...]


Juist. Daarom hebben we ook zo min mogelijk Windows PC's
Daarbij, internet limiteren zou bij mij een belemmering van het werk van de andere mensen zijn. Die moeten namelijk op internet komen, en dan bedoel ik niet alleen webpaginaatjes. Dan bedoel ik bijvoorbeeld ook de productieservers die we hebben hangen in Redbus, en de productieservers van andere organisaties waarop wij bijvoorbeeld een online monument ontwikkelen. Vroeger was het overigens nog 'erger'*, toen had iedere PC/Mac/Server een eigen publiek IP-adres, gefirewalled per machine.

[...]

Dat weet ik zo net nog niet. Ik ben niet van plan me met Windows bezig te houden, en dan sla je al een boel van het gezeik waar jij (en anderen) het over hebt over.

_{*) Sarcastisch bedoeld.}


[...]


Het enige wat we van onze ISP gebruiken is de verbinding naar het internet. Geen pop3, geen dns, geen smtp, niets. Dat regelen we allemaal zelf. Overigens is onze ISP InterNLnet, dus die verbinding zit wel snor. D'r was een plan om via SURFnet dingen te doen maar dat is voorlopig aan de kant gezet.


[...]

Tsja. Ik weet niet hoe 't bij jou zit, maar hier zit niemand te p2p'en en te downloaden hoor (buiten dan downloads die ze nodig hebben). Dus ik weet niet precies hoe een eventuele worm binnen zou moeten komen, anders dan e-mail. En daar block ik 't Overigens geldt dit dus alleen voor de 6 Windows PC's die we in gebruik hebben, van MacOS X worms heb ik nog niet gehoord.

Uit al je antwoorden blijkt dat je een aversie tegen windows hebt en dat komt je objectiviteit zeker niet ten goede.
Ook heb je geen ervaring met de "echte kantoor automatisering" waar dit topic over.

(als je denkt dat ik only windows minded bent heb je het verkeerd, alles wat ik in dit topic geschreven heb komt uit de praktijk als Systeem/netwerkbeheerder bij een grote retail keten)

[TAMW]

.

[ Voor 100% gewijzigd door TAMW op 13-07-2004 23:03 ]

[Verwijderd]

los van al het windows/linux/unix gezever.. je gebruikt proxies in een bedrijf ook voor logging.. en je logt ook op je fw.. je moet weten wat er op je netwerk gebeurd..

dus een mail server, een dns server, een proxy.. en als het moet bouw je een tcp plug server.. (ik beheer er een paar.. erg leuk)

ff aanvullen, dat draai je intern, en dat mag naar buiten.. en die plug server is een intern gebakken module, op solaris/bsd, en werkt als volgt, connect naar ip/poort en de daar luisterende server gooit je door naar aangevraagd ip/poort alsof het intern is..

[ Voor 31% gewijzigd door Verwijderd op 13-07-2004 23:22 . Reden: ehh aanvulling ]

[CyBeR]

TAMW schreef op 13 juli 2004 @ 23:01:
[...]


Uit al je antwoorden blijkt dat je een aversie tegen windows hebt en dat komt je objectiviteit zeker niet ten goede.

Ik gebruik het liever niet, inderdaad. Maar ik doel al een tijdje op het verschil in mentaliteit tussen Windows-only beheerders en beheerders die ook andere platformen kennen. Voorbeeld: universiteiten, met vaker dan niet veel UNIX machines, hebben voor al hun machines publieke IP-adressen. Uiteraard wel via een centrale firewall (bij meer dan 2 machines elk apart een firewall instellen is ook in mijn boekje geen goed idee), maar you get the point.

Ook heb je geen ervaring met de "echte kantoor automatisering" waar dit topic over.

Eh, nee. Dit topic ging eigenlijk over waar een DNS server te plaatsen

(als je denkt dat ik only windows minded bent heb je het verkeerd, alles wat ik in dit topic geschreven heb komt uit de praktijk als Systeem/netwerkbeheerder bij een grote retail keten)

Mja, je mentaliteit t.o.v. gebruikers leidt me wel te denken dat je (in ieder geval in den beginne) Windows-only bent ja.

[egeltje]

CyBeR schreef op 13 juli 2004 @ 23:36:
[...]
Ik gebruik het liever niet, inderdaad. Maar ik doel al een tijdje op het verschil in mentaliteit tussen Windows-only beheerders en beheerders die ook andere platformen kennen.
[...]

Hahaha, dan ben ik benieuwd hoe je over mij denkt (zie avatar).
En het zal je verbazen hoe slecht sommige universiteiten security voor elkaar hebben...

<way-off-topic>
Hoe je je gebruikers behandelt heeft niet zo veel met het platform te maken. Veel meer met wat gebruikers je vroeger allemaal al eens geflikt hebben.

Daarnaast ben jij als beheerder (ook juridisch) verantwoordelijk voor het bijhouden wat er op je netwerk gebeurt en het nemen van corrigerende maatregelen.
Voorbeeldje: iemand is allerlei (wettelijk) illegale plaatjes aan het downloaden op kantoor en wordt gesnapt. Als jij als beheerder dan niet kunt aantonen dat je een degelijke (kan best 1 A4-tje zijn) internet policy hebt en dat je in ieder geval hebt nagedacht over dit soort dingen, loop je het risico om medeverantwoordelijk gehouden te worden. Ik zal zo de links even bij elkaar harken, maar hier is jurisprudentie over.

Persoonlijk voorkom ik dat liever door het een en ander vooraf te beperken.
Als er een goede reden is om exotische dingen te doen, krijgen ze direct toegang. Voor al het andere: secure by default
</way-off-topic>

<on-topic>
Ook ik heb wel eens lopen mieren met de forwarders van Win2k, maar ik moet zeggen dat ik daar sinds SP3 nooit problemen meer mee heb gehad.
</on-topic>