Domain Controller -> IPSEC

[Pepa]

Ahoj,

Řeším jednu věc.

Z jedné lokality chci migrovat DC/AC do druhé, síť chci spojit pomocí 2 mikrotiků přes IPSEC, tím, že když se uživatel bude přihlašovat do domény, tak by šel přes Mikrotik -> IPSEC -> Mikrotik -> DC, u uživatelů by žádný server nebyl.

Je toto reálné?

Linka je 10MB/s, celkem cca 10 uživatelů

Ještě je tam fileserver jako synology, na mikrotiku jsem chtěl dát natvrdo DNS A záznam, ale uživatelé se připojují skrz doménu, což nevím jestli by takhle fungovalo, synology bych asi také přesunul a nechal to všechno v jedné serverovně.

Díky moc za odpovědi.

Pepa

[Reklama]

[Lol Phirae]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

[drn]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

Nejake zduvodneni, krome toho prskance by bylo?

Ja to provozuji a pro uzivatele je to pohodlne, na prehravani filmu to neni moc neni, ale jinak to funguje dobre.

[Tuxik]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

Nejake zduvodneni, krome toho prskance by bylo?

Ja to provozuji a pro uzivatele je to pohodlne, na prehravani filmu to neni moc neni, ale jinak to funguje dobre.

Já bych k tomu něco měl... záleží na kvalitě internetu, není to moc zvyklý na ztráty paketů a práce na ne zcela kvalitní lince se takto stává opravdovým utrpením. Nevím, co znamená těch 10 uživatelů celkem, kdyby na té straně bez DC zůstali třeba 2, možná bych popřemýšlel spíš nad TS, ale záleží na tom, co dělají...

[Pepa]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

Nejake zduvodneni, krome toho prskance by bylo?

Ja to provozuji a pro uzivatele je to pohodlne, na prehravani filmu to neni moc neni, ale jinak to funguje dobre.

Já bych k tomu něco měl... záleží na kvalitě internetu, není to moc zvyklý na ztráty paketů a práce na ne zcela kvalitní lince se takto stává opravdovým utrpením. Nevím, co znamená těch 10 uživatelů celkem, kdyby na té straně bez DC zůstali třeba 2, možná bych popřemýšlel spíš nad TS, ale záleží na tom, co dělají...

Jde tam pouze o autentizaci ze strany DC, vše co dělají, tak jde mimo doménu, jediné co potřebuje, tak zapnout počítač, napsat heslo a konec.

10 uživatelů je resp. 10 stanic, někdy 5, člověk přijde do kanclu, přihlásí se do kompu, koukne na maily, zadá objednávky a potom jenom čučí na net.

Mají tam 10MB symetriku, na druhé straně je 1GBps.

[Reklama]

[Cek]

Pokud nepada tunel, není duvod aby overovani nechodilo, staci dat spravny záznamy do DNS (nebo stanicim nastavit DNS na DC - ale tam riskuješ, ze jim nepujde internet pokud nepojede tunel)

Nejdriv testni nejak dlouhodobeji stabilitu tunelu, pokud nepada, overovani problém nebude. Prenos souboru bude po 10Mbit dost utrpeni :-)

[Tuxik]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

Nejake zduvodneni, krome toho prskance by bylo?

Ja to provozuji a pro uzivatele je to pohodlne, na prehravani filmu to neni moc neni, ale jinak to funguje dobre.

Já bych k tomu něco měl... záleží na kvalitě internetu, není to moc zvyklý na ztráty paketů a práce na ne zcela kvalitní lince se takto stává opravdovým utrpením. Nevím, co znamená těch 10 uživatelů celkem, kdyby na té straně bez DC zůstali třeba 2, možná bych popřemýšlel spíš nad TS, ale záleží na tom, co dělají...

Jde tam pouze o autentizaci ze strany DC, vše co dělají, tak jde mimo doménu, jediné co potřebuje, tak zapnout počítač, napsat heslo a konec.

10 uživatelů je resp. 10 stanic, někdy 5, člověk přijde do kanclu, přihlásí se do kompu, koukne na maily, zadá objednávky a potom jenom čučí na net.

Mají tam 10MB symetriku, na druhé straně je 1GBps.

Pokud jde jenom o tohle, s tím by problém být neměl, maximálně to bude občas chvilku dýl trvat, otázkou je, jestli má cenu se do té domény hlásit, respektive, co z toho kdo bude mít? Ale jak říkám, pokud to není nějaká šmejd linka a pokud nejde o nějakou práci na síťových discích, tahání větších dat atd, tak by to mělo jet.

[Tuxik]

Pokud nepada tunel, není duvod aby overovani nechodilo, staci dat spravny záznamy do DNS (nebo stanicim nastavit DNS na DC - ale tam riskuješ, ze jim nepujde internet pokud nepojede tunel)

Nejdriv testni nejak dlouhodobeji stabilitu tunelu, pokud nepada, overovani problém nebude. Prenos souboru bude po 10Mbit dost utrpeni :-)

nejlepší řešení pro malý sítě bylo nastavit přímo na AD serveru DNS a předávání na DNS poskytovatele. DHCPkem potom přidělovat primární DNS AD a sekundár opět na poskytovatele (místo poskytovatele to může být i další vlastní DNS, nebo třeba 8.8.8.8, záleží na síti)

[Pepa]

No, prosímtě, jestli chceš provozovat Sambu přes VPN, tak se na to radši úplně víš co... To ti uživatelé vopravdu poděkujou.

Nejake zduvodneni, krome toho prskance by bylo?

Ja to provozuji a pro uzivatele je to pohodlne, na prehravani filmu to neni moc neni, ale jinak to funguje dobre.

Já bych k tomu něco měl... záleží na kvalitě internetu, není to moc zvyklý na ztráty paketů a práce na ne zcela kvalitní lince se takto stává opravdovým utrpením. Nevím, co znamená těch 10 uživatelů celkem, kdyby na té straně bez DC zůstali třeba 2, možná bych popřemýšlel spíš nad TS, ale záleží na tom, co dělají...

Jde tam pouze o autentizaci ze strany DC, vše co dělají, tak jde mimo doménu, jediné co potřebuje, tak zapnout počítač, napsat heslo a konec.

10 uživatelů je resp. 10 stanic, někdy 5, člověk přijde do kanclu, přihlásí se do kompu, koukne na maily, zadá objednávky a potom jenom čučí na net.

Mají tam 10MB symetriku, na druhé straně je 1GBps.

Pokud jde jenom o tohle, s tím by problém být neměl, maximálně to bude občas chvilku dýl trvat, otázkou je, jestli má cenu se do té domény hlásit, respektive, co z toho kdo bude mít? Ale jak říkám, pokud to není nějaká šmejd linka a pokud nejde o nějakou práci na síťových discích, tahání větších dat atd, tak by to mělo jet.

Jsou seznámeni s tím, že by se měli do notebooku logovat cca minutu, někdy i déle, chtějí zrušit serverovnu, zbytečně tam je velký rack a v tom jeden server s AD/DC, proto mě napadlo, server odvést do serverovny, na obě strany dát Mikrotik, spojit je IPSEC tunelem a když bude psát heslo do počítače, tak se ověří až v serverovně, je jasné, že to nebude hned, ale jak jsem psal, oni nejsou zvyklí na fofr, hlavně, kdyby to jelo rychle, tak by se u šéfa nemohli vymlouvat, že síť je pomalá a musejí to dělat déle Takže to dělám i pro ně.

[Tuxik]

Ještě mi něco uniká... na druhá straně žádný DC není? Respektive, co je druhá strana? Nějak si začínám odvozovat, že je to nějaký server housing?

[Pepa]

Ještě mi něco uniká... na druhá straně žádný DC není? Respektive, co je druhá strana? Nějak si začínám odvozovat, že je to nějaký server housing?

Jde o přesunutí celého DC jak píšeš do Housingu, na jejich straně DC nebude.

[Cek]

Pokud nepada tunel, není duvod aby overovani nechodilo, staci dat spravny záznamy do DNS (nebo stanicim nastavit DNS na DC - ale tam riskuješ, ze jim nepujde internet pokud nepojede tunel)

Nejdriv testni nejak dlouhodobeji stabilitu tunelu, pokud nepada, overovani problém nebude. Prenos souboru bude po 10Mbit dost utrpeni :-)

nejlepší řešení pro malý sítě bylo nastavit přímo na AD serveru DNS a předávání na DNS poskytovatele. DHCPkem potom přidělovat primární DNS AD a sekundár opět na poskytovatele (místo poskytovatele to může být i další vlastní DNS, nebo třeba 8.8.8.8, záleží na síti)

No ono to fungovani sekundarnich DNS ve Woknech nebyvalo vždycky uplne bezproblemove :-), ale uz jsem dlouho nezkousel jak to ted vypada. U nižších verzi nez Windows 7 bych to spis nedoporucoval.

[samalama]

Nejdriv testni nejak dlouhodobeji stabilitu tunelu, pokud nepada, overovani problém nebude. Prenos souboru bude po 10Mbit dost utrpeni :-)

Mají tam 10MB symetriku, na druhé straně je 1GBps.

ovsem pokial vie, o com pise...

[j]

Pokud to jsou widle, tak se na ne user autorizuje, i pokud nebude DC dostupnej, pokud na tech widlich byl aspon jednou prihlasenej. Ad samba a dalsi ... pouzivam, ale zadnej zazrak to neni. To co naprimo po LANce trva sekundu, trva pres tunel i deset sekund. Samo, porat radove lepsi nez dratem do voka.

Ale je tu jedna zasadni vec, pokud na tom stroji maji data, ktera chteji pouzivat, tak jim celkem schopne zvednes sance na vypadek. Sekundarne ... data v cmoudu.

[Tuxik]

Pokud nepada tunel, není duvod aby overovani nechodilo, staci dat spravny záznamy do DNS (nebo stanicim nastavit DNS na DC - ale tam riskuješ, ze jim nepujde internet pokud nepojede tunel)

Nejdriv testni nejak dlouhodobeji stabilitu tunelu, pokud nepada, overovani problém nebude. Prenos souboru bude po 10Mbit dost utrpeni :-)

nejlepší řešení pro malý sítě bylo nastavit přímo na AD serveru DNS a předávání na DNS poskytovatele. DHCPkem potom přidělovat primární DNS AD a sekundár opět na poskytovatele (místo poskytovatele to může být i další vlastní DNS, nebo třeba 8.8.8.8, záleží na síti)

No ono to fungovani sekundarnich DNS ve Woknech nebyvalo vždycky uplne bezproblemove :-), ale uz jsem dlouho nezkousel jak to ted vypada. U nižších verzi nez Windows 7 bych to spis nedoporucoval.

Ano, chovalo se to dřív velmi pochybně, zeptalo se to snad obou na jednou a pokud jedna DNS odpověděla SERV FAILED jako první, odpověď z druhé už se nebrala v potaz, i když byla korektní. Ale tuším už tohle chování není delší dobu pravda?