Respuestas en línea

--

Guillermo Delprato
MVP - MCT - MCSE
Buenos Aires, Argentina

Este mensaje se proporciona "como está" sin garantías de ninguna clase,y no
otorga ningún derecho. Ud. asume los riesgos
This posting is provided "AS IS" with no warranties, and confer no rights.
You assume all risk for your use.
------------------------------------------------


"Jordi Maycas" <jmaycasNOSPAM***hotmail.com> wrote in message
news:%23f$FsQMkIHA.4140***TK2MSFTNGP04.phx.gbl...
> respecto a lo de que el DC conectado a inet es grave, entonces haber como
> me lo monto yo.

[Guillermo]
Lo que estoy diciendo no es que el DC no tenga conexión a Internet. Lo que
estoy aclarando es que no conviene que el DC sea la máquina que provee
conexión a Internet al resto de la red.
A ver si un ejemplo aclara. Supongamos que tienes un ahorro de dinero en tu
casa (es el AD) ¿dónde lo guardas? ¿Lo pones en la puerta de entrada?

>
> Tengo un server 2003, DC (para pruebas), con todos los archivos del curro,
> y aparte con el IIS y un par e de paginas mias de pruebas, y con un nat
> redireccionando el 80 al server para acceder a las webs.

[Guillermo]
El NAT te provee cierta seguridad, pero básica. Las recomendaciones de
seguridad básicas son que ninguna máquina de la red interna (dominio) debe
poderse acceder desde Internet.
Claro que hay pequeñas oficinas, con poco presupuesto, donde lo anterior no
es posible. Pero hay que ser consciente de los riesgos involucrados

>
> Para hacerlo mejor... le quito de la configracion de red, las IP's del ISP
> y la puerta de enlace, y asi me quedaria sin internet en el server que era
> el problema grave.

[Guillermo]
Si la máquina es parte de un dominio, como taaaantaaasss veces se comentó,
no debe conocer que el ISP tiene DNSs. Sólo si necesita el DNS resolver
Internet se le deben configurar Reenviadores en el DNS

>
> Por otro lado me puedo instalar el virtual pc, con un 2003 server y ese si
> ponerle internet y el IIS.

[Guillermo]
Tenerlo en virtual sobre la misma máquina es prácticamente lo mismo

>
> Y por otro lado, los XP's..... los tengo no entrados en el dominio, o sea,
> con dns las del ISP, y unicamente se conectan a unidades mapeadas del
> server y nada mas, ni cuentas, ni nada.

[Guillermo]
¿Para qué usas el dominio si los clientes no están en él? :-)
Bueno, si es para pruebas entonces adelante prueba...

>
> Y unicamente desde uno de ellos, hago pruebas para entrar en el dominio, y
> ver que funcione.

Te compras un avión, y ¿sólo llevas un pasajero para hacer pruebas? :-DDD
Bien, puede ser que lo hagas porque estás aprendiendo a pilotearlo :-DDD

>
> Yo al server ademas, puedo acceder via conexion escritorio remoto, y tengo
> algun usario con permisos, luego si no tienes permisos no p uedes entrar,
> y tampoco puedes entrar a las mapeadas pq esta restringido a la red local
> y no a internet.

[Guillermo]
El tema de fiarse sólo porque no tiene permisos un usuario no es muy bueno.
Normalmente se toman medidas de seguridad en diferentes niveles
Volviendo a un ejemplo de la vida real ¿cierras la puerta de tu casa? ¿y por
las dudas le pones una traba de seguridad? ¿por qué además algunos ponen una
alarma? y además algunos contratan un seguro, y que la policía pase por la
calle cada tanto no viene nada mal, y...

>
>
> "Guilermo Delprato [MS-MVP]" <guillermo.delprato.BORRAR***BORRAR.mug.org.ar>
> escribió en el mensaje news:%236I0sFFkIHA.1744***TK2MSFTNGP05.phx.gbl...
>> Respecto a la última pregunta: Si :-DDDDDDDD
>>
>> Hablando en serio ahora, hay varias cosas que no se pueden hacer y otras
>> que no conviene hacer, voy por partes
>>
>> El diagrama que haz puesto se deforma por el cambio de renglón
>> automático, pero voy a ver si comprendo lo que tienes: 3 ADSL conectadas
>> a un switch, y un servidor que tiene una interfaz al switch y otra a la
>> red interna ¿es así?
>>
>> ADSLs
>> - Si las 3 conexiones están en la misma red IP (172.16.y.z supongo con
>> máscara 255.255.0.0) no hay forma de diferenciarlas, para poder hacer
>> como me imagino un balance o reparto de carga que quieres hacer.
>> - La red 172.16.y.z es privada, luego sobre estas IPs no puedes publicar
>> servicios externos
>>
>> SERNET
>> - Que un DC tenga más de una dirección IP te puede traer problemas de
>> autenticación
>> - Que un DC esté conectado directamente a Internet, es un problema de
>> seguridad grave
>> - Que un DC tenga interfaces de red en dos redes físicamente diferentes,
>> pero que desde el direccionamiento IP sea la misma (ambas 172.16.y.z) no
>> tiene forma de pasar tráfico de una a otra
>> - Un Windows Server no maneja lo que buscas
>> - Si el server va a proteger tu red de Internet, deberías instalar un
>> cortafuegos específico, no el integrado. ISA Server por ejemplo. Pero no
>> lo instales en un DC porque te traerá problemas
>>
>> CLIENTES
>> - Si las máquinas van unirse al dominio creado, entonces NO deben tener
>> como DNS los del ISP. Deben tener como DNS UNICAMENTE al DNS que resuelve
>> tu Active Directory
>> - Las máquinas tomarán la puerta de enlace que les asigne el DHCP, y
>> estando todas en la misma red, no hay forma que el DHCP las pueda
>> diferenciar
>>
>> Pensando en lo que creo que buscas, yo comenzaría por ver un dispositivo
>> hardware específico que haga la gestión de 3 conexiones a Internet y
>> además tenga buenas capacidades de cortafuegos.
>> Nunca expondría al DC a Internet, ni tampoco le pondría más de una
>> dirección IP
>>
>>
>>
>> --
>>
>> Guillermo Delprato
>> MVP - MCT - MCSE
>> Buenos Aires, Argentina
>>
>> Este mensaje se proporciona "como está" sin garantías de ninguna clase,y
>> no otorga ningún derecho. Ud. asume los riesgos
>> This posting is provided "AS IS" with no warranties, and confer no
>> rights. You assume all risk for your use.
>> ------------------------------------------------
>>
>>
>> "Brujo" <serjaime78***hotmail.com> wrote in message
>> news:CE9A264A-BFA1-404B-AF90-4840C161E3DE***microsoft.com...
>>> Buenas Noches,
>>>
>>> Ojalá me puedan ayudar .....
>>>
>>> Tengo la Siguiente estructura :
>>>
>>>
>>>
>>> ADSL Nº 1 (172.26.0.1) ADSL Nº 2 ( 172.26.0.55 ) ADSL Nº
>>> 3 (172.26.0.75)
>>>
>>> |________________________ |
>>> _____________________________|
>>>
>>> |
>>> | |
>>>
>>>
>>>
>>>
>>> SWITCH
>>> --------------------- PC'S CLIENTES (ASIGNADO POR DHCP)
>>>
>>>
>>> !
>>>
>>>
>>> SERNET (172.26.0.250)
>>>
>>> SERVIDOR WINDOWS 2003 SERVER STANDARD EDITION (2 TARJETAS
>>> DE RED 10/100/1000)
>>>
>>>
>>>
>>> He seguido el tutorial de Victor Burgos (
>>> http://www.tooltorials.com/como_inst...olador_dominio) y ha
>>> funcionado sin problemas pero me presento con el problema que tengo 3
>>> ADSL para administrar entre los diferentes PC's. Es más lo que pretendo
>>> es que según el Pc el Servidor (SERNET) le asigne la puerta de enlace
>>> por donde debe salir para navegar a internet ..... y que las DNS
>>> primarias y secundarias de proveedor de ISP las asigne también ...
>>>
>>>
>>>
>>> Es una locura lo que quiero ¿?
>>>
>>> Espero que me sepan ayudar porque llevo días como loco buscando la
>>> información si exito.
>>>
>>> Gracias y Saludos
>>>
>>>
>>>
>>
>>
>
>