Sette opp NAT

[stigfjel]

En ting du ikke har tatt med i regnestykket ditt er dette:

Å drifte en Win2003 server med ISA klarer enhver som har gått på IT-Akademiet osv.  Å drifte en BSD/Linux krever mere kunnskap (snakker nå ikke om på "gutterommet").  Dermed spørs det ikke om man tjener inn de kr. Win2003+ISA lisensen koster bare på lønnsbudskjettet.

8732203[/snapback]

Er litt uenig i den påstanden der. Når en OpenBSD-boks først er satt opp, skjer det veldig lite tull med den. Og OpenBSD har mye mindre maskinkrav enn Windows Server 2003 med ISA Server. Ingen ting er mer sikkert enn det svakeste leddet. Og da er kompetanse og kunnskap en fordel. Serveren blir satt opp på en bedre måte, og man unngår sikkerhetsbrister. At "hvem som helst som har gått på IT-Akademiet" kan drifte en maskin med Windows Server 2003 med ISA er ikke synonymt med kvalitet. Argumentasjonen din holder ikke i mine øyne. Ville du ha stolt på en admin som kun har et kurs på IT-Akademiet og bare kan ett system? Jeg ville ikke ha gjort det.

[Langbein]

En ting du ikke har tatt med i regnestykket ditt er dette:

Å drifte en Win2003 server med ISA klarer enhver som har gått på IT-Akademiet osv.  Å drifte en BSD/Linux krever mere kunnskap (snakker nå ikke om på "gutterommet").  Dermed spørs det ikke om man tjener inn de kr. Win2003+ISA lisensen koster bare på lønnsbudskjettet.

8732203[/snapback]

Hvis du følger eksempelet mitt med monowall/pfsense, så er det like enkelt å sette opp som en helt vanlig SOHO-ruter, og det klarer jo til og med bestemor Duck*. Det er altså vesentlig enklere og raskere enn å måtte sette opp enn tung Win2003 server.

 

At man i tillegg bør ha litt generell peiling på nettverk er jo alltid en fordel, men det gjelder uansett hvilket OS man benytter.

 

 

* som ikke har tatt overprisede kurs på Microsoft-akademiet.

Endret 29. mai 2007 av Langbein

[stigfjel]

Å bruke Linux/UNIX har lært meg masse om nettverk. Trenger ikke MCSE fra IT-akademiet til det.

[covah]

En ting du ikke har tatt med i regnestykket ditt er dette:

Å drifte en Win2003 server med ISA klarer enhver som har gått på IT-Akademiet osv.  Å drifte en BSD/Linux krever mere kunnskap (snakker nå ikke om på "gutterommet").  Dermed spørs det ikke om man tjener inn de kr. Win2003+ISA lisensen koster bare på lønnsbudskjettet.

8732203[/snapback]

Er litt uenig i den påstanden der. Når en OpenBSD-boks først er satt opp, skjer det veldig lite tull med den. Og OpenBSD har mye mindre maskinkrav enn Windows Server 2003 med ISA Server. Ingen ting er mer sikkert enn det svakeste leddet. Og da er kompetanse og kunnskap en fordel. Serveren blir satt opp på en bedre måte, og man unngår sikkerhetsbrister. At "hvem som helst som har gått på IT-Akademiet" kan drifte en maskin med Windows Server 2003 med ISA er ikke synonymt med kvalitet. Argumentasjonen din holder ikke i mine øyne. Ville du ha stolt på en admin som kun har et kurs på IT-Akademiet og bare kan ett system? Jeg ville ikke ha gjort det.

8732350[/snapback]

 

Det kommer litt an på hvilken setting du bruker brannmuren på. Hos gjør vi kanskje 2-3 endringer i regelsettet hver uke. Dette er nok noe over gjennomsnittet, men skal man gjøre endringer, og ikke har kompetanse selv, må ma leie inn konsulenter. En dags konsulentarbeid (la oss si 1000kr timen x 8) er 8000 kr. Dette er jo mer enn det lisensene for Win2003 + ISA koster.

[Gunn@r]

Tips. DHCP er ikke helt det beste å ha på en domenekontoller, ei heller printserver.

Min løsning på denne oppgaven ville vært 3 maskiner.

1. Router.

2. DHCP og printserver (Windows 2003 for integrering av AD)

3. Domenekontroller (Windows 2003 med AD og DNS)..

 

OT. Når brukeren spør om Windows 2003 Server, så hold annet utenfor...

8718497[/snapback]

Tråden begynte tross alt med spørsmål om bare NAT/DHCP, så da er det vel ikke så rart om noen trekker inn andre OS enn Win2003?

 

Skal du sette opp en domenekontroller, så for all del, bruk Win2003. Det var vel også påkrevd som en del av en skoleoppgave.

 

Men å installere Win2003 på en dedikert maskin som kun skal brukes til DHCP/NAT er - unnskyld uttrykket - idiotisk.

 

Men i et såpass enkelt scenario ville jeg nok heller ikke anbefalt openbsd til uerfarne, men jeg ville gått for en forenklet distro ala monowall eller pfsense. Dette er jo hundre ganger enklere å sette opp en Win2003 i tillegg til at det såklart er gratis og krever langt mindre av hardwaren

8732099[/snapback]

Serveren har følgende roller:

Domenekontroller

DHCP

DNS

Print

 

Så det e ikke BARE DHCP og NAT som serveren skal brukes til...

[stigfjel]

@nilsrune: Nei, sånn skal du ikke gjøre det, ikke med Windows. Det kunne kanskje gått med Solaris 10, der har man verktøy som gjør at sikkerheten blir ivaretatt. Men i Windows? Nope, prøv igjen. Man er nødt til å fordele alle de oppgavene på mer enn en maskin for at man skal få god nok redundans og for at sikkerheten skal bli ivaretatt, noe som ikke er tilfelle her. Router-funksjonen bør ligge på en helt separat maskin.

 

@covah: Hvor har du det i fra at man bruker en hel dag for å skrive et par endringer i regelsettet? Dette kan gjøres ganske så effektivt. På en OpenBSD-boks kan en konsulent logge seg på utenfra på en sikker måte og gjøre endringer direkte uten at dette går utover driften. Hvis kunden spesifiserer på forhånd hva som skal gjøres av endringer, er dette noe som tar svært kort tid for konsulenten å ordne. Konsulenten skriver inn endringene, og i de fleste tilfeller kan konsulenten aktivere endringene uten at problemer oppstår. PF er ganske så fleksibelt. Så jeg får ikke det du sier til å stemme. Der jeg har jobbet, og skal jobbe i sommer, har vi en UNIX-admin som bl.a. administrerer en FreeBSD-boks. Hvis han skal gjøre noen endringer logger han seg bare på systemet via SSH utenfra, gjør de endringer han skal gjøre, og så logger seg ut igjen, uten noe mer om og men. Det er ikke verre enn det. Linux/BSD/UNIX kan administreres ganske så effektivt og kostnadsbesparende.

[Gjest Slettet-t8fn5F]

Men...som sagt...har bare ett nettverkskort...

Noen som har noen idèer om det å sette om en virtuell kobling? Hvordan det gjøres og om det er en mulighet i det hele tatt?!

8586596[/snapback]

Hvis domenekontolleren brukes slikt du selv foreslo tidligere, er det bare å sette default gateway i dhcp-scopet til routeren eller tilsvarende.

Når Domenekontrolleren kommer seg på nettet, skal klientene også klare det.

[Pondi]

Står da ingenting i oppgaven at den Win2k3 serveren skal brukes til å route trafikk med / være gateway? Sett som *sa, i dhcp-scoopet setter du bare en gateway adresse. La oss si du bruker 10.0.0.0/24 nettet og så setter du 10.0.0.1 til gateway, 10.0.0.2 til dns og domenekontoller ( som også er ipadressen på serveren ) og så setter du 10.0.0.3 - 254 som dhcp adresser du deler ut.

Skriv i oppgaven at du da på forhånd fra kunden har fått vite at det allerede finnes en router på kontoret de har og at du da vil fortsette og bruke denne. bla bla bla =)

Er sannelig ikke værre.

[stigfjel]

Skriv i oppgaven at du da på forhånd fra kunden har fått vite at det allerede finnes en router på kontoret de har og at du da vil fortsette og bruke denne. bla bla bla =)

 

Er sannelig ikke værre.

8753892[/snapback]

Problem løst!

[Gunn@r]

 

 

Står da ingenting i oppgaven at den Win2k3 serveren skal brukes til å route trafikk med / være gateway? Sett som * sa, i dhcp-scoopet setter du bare en gateway adresse. La oss si du bruker 10.0.0.0/24 nettet og så setter du 10.0.0.1 til gateway, 10.0.0.2 til dns og domenekontoller ( som også er ipadressen på serveren ) og så setter du 10.0.0.3 - 254 som dhcp adresser du deler ut.

Skriv i oppgaven at du da på forhånd fra kunden har fått vite at det allerede finnes en router på kontoret de har og at du da vil fortsette og bruke denne. bla bla bla =)

Er sannelig ikke værre.

8753892[/snapback]

Men da må jo routeren konfigureres til å ha uoffisiell IP-adresse 10.0.0.1, må den ikke det? Teit spørsmål kanskje, men må ha alt på det rene her...

[Pondi]

10.0.0.1 er en offisiell ip hehe. husker ikke hva de kaller disse subnetta men men, uansett.

 

Går helt fint det. Eneste problemet er at du KAN få noe tull med tanke på å bruke clientene fra en remote connection. Det kan derimot løsnes med og sette opp en vpn tilkobling mot serveren slik at clientene lander "lokalt" selvom de ikke er plugget lokalt i nettverket.

 

Tror derimot du ikke skal legge deg så veldig opp i den internett biten da det ikke står noe om det i oppgaven / punktene over hva du skal kunne. Du kan allikevel nevne hvis du føler det nødvendig og si at du har satt 10.0.0.1 som gateway i dhcp'en med hensyn til at det finnes en router i nettverket fra før og du vil at clientene skal bruke denne til å komme seg ut på nett med. Drit i alt med og få kontakt med AD serveren fra web o.s.v. Du må nesten spørre læreren din om det er nødvendig og ha satt opp AD serveren slik at du får kontakt med den fra ipadresser utenom det lokale nettverket.

[stigfjel]

Nei, 10.0.0.1 er ikke en offisiell adresse som finnes på nettet. Med en "offisiell IP" menes en IP-adresse som finnes på internet, en "public IP" (det finnes ikke en god norsk oversettelse). Det er hva vi kaller en RFC1918-adresse. RFC1918-adressene består av følgende subnett:

 

10.0.0.0-10.255.255.255

172.16.0.0-172.31.255.255

192.168.0.0-192.168.255.255

 

Disse adressene finnes ikke på nettet, og alle routere er satt opp til å ikke route disse adressene videre. Maskiner satt opp med slike adresser kan ikke brukes direkte på internet, men må tilknyttes en router/brannmur som er satt opp til å bruke NAT. Dette for å løse problemet med adressemangelen som IPv4 har. For ikke å snakke om sikkerhet. IPv4 kan bare romme 2^32 adresser, og det kan bli i minste laget i dag med tanke på hvor mange maskiner og enheter som kobler seg på samme nettet, altså Internet. IPv6 skal løse dette, siden IPv6 kan romme 2^128 adresser. Men av sikkerhetsmessige grunner kan det likevel være klokt med NAT. Ved å bruke et RFC1918-subnett kan et ubegrenset antall maskiner i et LAN bruke samme offisielle IPv4-adresse (eller IPv6 for den saks skyld) som routeren/brannmuren har som sin offiselle IP-adresse.

Endret 1. juni 2007 av stigfjel

[Gunn@r]

Nei, 10.0.0.1 er ikke en offisiell adresse som finnes på nettet. Med en "offisiell IP" menes en IP-adresse som finnes på internet, en "public IP" (det finnes ikke en god norsk oversettelse). Det er hva vi kaller en RFC1918-adresse. RFC1918-adressene består av følgende subnett:

 

10.0.0.0-10.255.255.255

172.16.0.0-172.31.255.255

192.168.0.0-192.168.255.255

 

8757730[/snapback]

Det var som jeg sa....hehe

 

Uansett...dette er en oppgave jeg selv "bestemmer over", og viss jeg ikke vil ha internett, nei da blir det ikke internett i nettverket mitt! Men saken er jo den at jeg vil ha internett hehe.

Er det nok å bare kjøpe en router, sette 10.0.0.1 (i mitt tilfelle: 192.168.147.1) som uoffisiell IP og en IP-adresse som jeg har fått av leverandøren av linja, som offisiell IP på routeren? Eller er det mer "hokus-pokus"?!

[stigfjel]

Det er ikke så mye mer hokus pokus. Men man må konfigurere NAT riktig på routeren for at maskinene på nettverket skal kunne kontakte internet.

[Gunn@r]

takker for alle svar