Abschlussprojekt: Read-Only DC in der DMZ

[Chris25046]

Hallo,

bald steht auch meine Prüfung mit dazugehörendem Abschlussprojekt an.

Als Thema wird es wohl "Read-Only AD in der DMZ" werden.

Wir hatten uns früher auch über WDS bzw automatisierte Installation von Betriebssystemen unterhalten das wurde jedoch verworfen.

Mir persönliche hätte vom Gefühl her dieses Thema besser gelegen mit dem RO-DC kann ich zwar was anfangen habe aber das Gefühl das das schlichtweg zu wenig für ne Projektarbeit ist.

Der RO-DC wird benötigt da bei uns Mitarbeiter einer anderen Firma zwingen auf nen Terminalserver zugreifen müssen und das ganze soll wohl über diesen RO-DC abgewickelt werden.

Mir fehlt bei dem Projekt bisschen die Entscheidungsfreiheit wie ich sie beim "Automatisierten installieren eines OS" gehabt hätte...

Wie seht ihr das kann man mit dem Thema was anfangen oder doch besser was anderes suchen?

Projektantrag folgt noch...

[robotto7831a]

Und was machst Du noch außer zu installieren und im Assistenten auf Weiter klicken?

[Chris25046]

dadrum gehts ja meiner meinung nach ist es net viel mehr mein ausbilder meint zwar das man das ja toll erklären und dokumentieren könnte warum wir das machen und so weiter aber am ende bringt mir das auch nix wenn die eigentliche arbeitsleistung so gering ausfällt...

muss aber eh nochmal vertieft mit ihm drüber reden was genau der rahmen ist und was tatsächlich noch zu tun ist ausser dem assistenten klicken....

wollte jetzt im vorraus schonmal wissen ob RO-DC prinzipiell was hergibt oder nicht

[robotto7831a]

Um es ganz deutlich zu sagen. Du sollst ein Projekt durchführen. Also gehören Entscheidungen und Problemlösungen dazu.

Schau dir doch mal andere Projektanträge hier an. Da wirst Du hoffentlich einen Unterschied zwischen deinem Vorhaben und den anderen Anträgen erkennen.

[Chris25046]

Problemlösung wäre in dem Falle schon gegeben da die Momentan eben auf nen normalen DC zugreifen sprich das nen Sicherheitsrisiko darstellt.

Das mit der Entscheidung natürlich nicht...

Und wie gesagt was heisst meinem Vorhaben wurde im Endeffekt so auserkoren....

[robotto7831a]

Wenn Du es vielleicht so drehst, dass RO-DC die Lösung ist und nicht vorher schon fest steht, dann könnte vielleicht etwas daraus werden. Dann müssen aber auch mögliche Alternativen / andere Lösungsmöglichkeiten betrachtet werden und dann nachvollziehbar eine Entscheidung für den RO-DC getroffen werden. Warum also genau das die beste Lösung ist.

Frank

[Chris25046]

jops soweit bin ich auch schon gekommen denke nur das das net so einfach wird das umzuwerfen... wie gesagt Problemstellung wäre: Zugriff eines Dritten auf eigenes Netz (AD) Die Nutzer des Dritten müssen eben gegen unseren AD authentifiziert werden und da wir im mom noch Server 2003 benutzen haben die eben nen vollwertigen DC da in der DMZ stehen das soll eben nen RO-DC (Win 2008) werden sprich es sollen keine Schreibzugriffe auf den AD sondern nur noch Lesezugriffe möglich sein.

Mir fehlt da iwie der knackige suchbegriff um nach ner Lösung auf Linuxbasis oder ähnlichem zu suchen...

Wie ich das ganze ungefähr aufbauen müsste dämmert mir schon nur nicht wie ich das bei dem Thema so umschmeissen könnte das nen Schuh draus wird... steh da irgendwie aufehm Schlauch

Und Danke für deine Antworten und Hilfe!

[robotto7831a]

Geht RODC nicht erst ab einen 2008er DC?

Bearbeitet 2. Januar 2012 von robotto7831a

[robotto7831a]

Wo steht eigentlich der Terminalserver wo die sich anmelden sollen?

[Chris25046]

Sind im mom am Umstellen und haben atm noch Mischbetrieb sprich 2003 DCs sind vorhanden wie auch 2008 DCs

Der RO wird wie gesagt nen 2008er

Der Terminal steht auch in der DMZ

[Chris25046]

Hallo ich mal wieder^^

hatte meinen Projektantrag abgegeben jetzt wurde er mit Änderungen abgelehnt... Zeitplanung überarbeiten (z.b Planung) siehe Handreichung IHK steht da...

hier mal mein Projektantrag: (name Firma wurde gesternt + Firmenumfeld entfernt )

Projektantrag zur Abschlussprüfung im Beruf Fachinformatiker Systemintegration

Thema:

Installation eines „read only“ Verzeichnisdienstes in einer demilitarisierten Zone

Inhaltsverzeichnis:

1. Projektthema

1.1 Firmenumfeld

1.2 Kurze Projektbeschreibung

1.3 Ist-Analyse der Ausgangssituation

2. Ziel

3. Soll-Konzeption

3.1 Welche Aufgaben müssen übernommen werden?

4. Auflistung der Projektphasen incl. Zeitansatz

1. Projektthema

Installation eines „read only“ Verzeichnisdienstes in einer demilitarisierten Zone

1.2 Kurze Projektbeschreibung

Auf einem Server soll ein Serverbetriebssystem installiert werden, dass die Funktion eines „read-only“ Verzeichnisdienstes unterstützt. Der Server ist als weiterer Domänencontroller im „read only“ Modus in die Domänengesamtstruktur der **** zu integrieren.

1.3 Ist-Analyse der Ausgangssituation

Zurzeit betreibt die ****** einen Windows Server 2003 Domänen Forrest mit 25 dezentralen Standorten. Aktuell steht die Gesamtstruktur vor einer Portierung auf Microsoft Windows Server 2008. Ein Zugriff von fremden Netzen in das interne Netz ist nicht möglich, soll aber anlassbezogen realisiert werden.

2. Ziele

Ziel soll sein eigenständig einen „read only“ Verzeichnisdienst in einer DMZ zu konfigurieren und in die Gesamtstruktur der ****** zu integrieren. Eine detaillierte Dokumentation ist zu erstellen. Aufgrund der knappen Haushaltslage im Saarland ist ein besonderer Aspekt auf die Wirtschaftlichkeit zu legen.

3. Soll Konzeption

Um einen „sicheren“ Zugang aus einem Fremdnetz in das Netz der ******* zu gestatten rät das BSI (Bundesamt für Sicherheit in der Informationstechnik) zu einer DMZ (demilitarisierte Zone). Dies bedeutet ein 2-Stufiges Firewallkonzept. Ihre Schutzwirkung entfaltet eine DMZ durch die Isolation eines Systems gegenüber zwei oder mehr Netzen. In diesem Fall trennt eine Firewall das Fremdnetz von der DMZ und eine weitere Firewall die DMZ vom eigenen Netz. Genau an dieser Stelle wird ein „read only“ Verzeichnisdienst platziert, um die interne eigene Domäne weiter vor Manipulationen von außen zu schützen. Hintergrund ist der Zugriff von einer anderen Firma auf eine Anwendung, die in dem internen Netz der ***** gehostet wird. Da im internen Netz der **** mit sensiblen Daten gearbeitet wird ist ein hohes Maß an Datensicherheit zwingend notwendig. Das Einsetzen des „read only“ Verzeichnisdienstes ist die konsequente Fortsetzung der Maßnahmen zum Erhalt dieser Sicherheit.

3.1 Welche Aufgaben müssen übernommen werden?

Eine detaillierte IST-SOLL-Analyse ist durchzuführen. Es muss eine Entscheidung unter kaufmännischen sowie praxisorientierten Aspekten getroffen werden, welches Betriebssystem eingesetzt wird. Unter wirtschaftlichen Aspekt sowie unter Beachtung der benötigten Hardwareanforderung ist ein Server zu beschaffen. Die Beschaffung an sich erfolgt durch die Abteilung „Beschaffungen“ nach festlegen der Hardwareanforderungen.

Um eine erhöhte Ausfallsicherheit zu gewährleisten wird ein RAID 5 auf dem Server eingerichtet.

Zwecks Remote-Administration im Fehlerfall muss ein Remote Access Controller vorhanden sein. Dieser ist ebenfalls zu konfiguriert.

In dem Betriebssystem müssen die Netzwerkeinstellungen konfiguriert werden und ein Computername muss gemäß Firmenstandard vergeben werden. Die netzseitige Erreichbarkeit des Servers wird von der Dienststelle „Netzwerktechnik“ gewährleistet. Das Konfigurieren von Routern oder Switches entfällt somit. Desweiteren ist der Virenscanner, der bei der ***** verwendet wird, zu installieren. Ebenso ist der DNS Service zu installieren, zu konfigurieren und zu testen. Der Server muss in die Active Directory Gesamtstruktur der ******* als „read only“ Verzeichnisdienst integriert werden. Die Replikationsmechanismen sind auf Fehlerfreiheit zu kontrollieren. Die betriebssysteminterne Firewall ist so zu konfigurieren, dass nur die zur Administration und Funktion des Servers erforderlichen Ports freigegeben werden. Die Erreichbarkeit des Verzeichnisdienstes durch die externe Firma ist zu testen. Eine Schulung der Mitarbeiter der externen Firma ist durchzuführen. Eine Dokumentation ist anzufertigen.

4. Auflistung der Projektphasen incl. Zeitansatz

Konzeption 8,00 h

• Ist-Analyse 2,00 h

• Soll-Analyse 2,00 h

• Vergleich mehrerer Betriebssysteme mit RO-Verzeichnisdienst-Funktion 2,00 h

• Festlegen der Hardwareanforderungen des Servers 1,50 h

• Netzwerkadressen festlegen 0,50 h

Installation und Konfiguration 13,50 h

• Einrichten + Konfiguration RAID 1,00 h

• Konfiguration Remote Access Controller 1,00 h

• Installation + Konfiguration des Betriebssystems 3,00 h

• Updaten des Betriebssystems auf neusten Stand 1,50 h

• Installation von benötigter Software und Diensten 2,50 h

• Konfigurieren des DNS-Dienstes 1,50 h

• Konfigurieren des Verzeichnisdienstes 1,50 h

• Konfigurieren der Firewall 0,50 h

• Einbau des Servers 1,00 h

Dokumentation 5,00 h

• Erstellen der Dokumentation 5,00 h

Qualitätssicherung 8,50 h

• Testen der Betriebssystemkonfiguration 1,00 h

• Testen des DNS-Dienstes 1,00 h

• Testen der Replikation 1,50 h

• Testen der Erreichbarkeit durch extern 0,50 h

• Testen des Remote Access Controllers 0,50 h

• Testen des RAIDs 1,00 h

• Schulungsmaßnahmen 3,00 h

Gesamt: 35,00 h

Ich denke mal das der IHK Saarland nicht passt das ich zu detailiert aufgeschlüsselt habe oder? Sprich ich sollte mindestens 2 Stundenschritte machen und maximal 3 Stundenschritte?!

Thx für eure Hilfe

Abgabetermin ist btw der 24.02

[s1mPeL]

Dieser ist ebenfalls zu konfiguriert.

"Dieser ist ebenfalls zu konfigurieren." müsste es heißen. Ich kenne das, korrekturlesen der eigenen Ausarbeitung ist meist nicht so erfolgreich.

Ich muss sagen dass ich deinen Projektantrag aber sehr gut finde was Gliederung und Offenheit des Lösungswegs angeht - sprich die Realisierung.

• Netzwerkadressen festlegen 0,50 h

Ich dachte dies wird von den Netzwerkern bewerkstelligt. Oder habe ich das falsch verstanden? Was hast du genau mit den Netzwerkadressen zu tun? Oder meinst du das

Eintragen der Netzwerkeinstellungen seitens deines Servers den du einsetzen wirst?

• Einrichten + Konfiguration RAID 1,00 h

Was soll daran eine Stunde dauern? - Eher unrealistisch, oder? Das Einrichten des RAIDs

ist doch die Konfiguration des RAIDs, oder gibt es da einen Unterschied?

• Updaten des Betriebssystems auf neusten Stand 1,50 h

Du musst alle Updates per Hand installieren und zuschauen wie vorher die Updatepackages runtergeladen werden?

• Installation von benötigter Software und Diensten 2,50 h

• Konfigurieren des DNS-Dienstes 1,50 h

• Konfigurieren des Verzeichnisdienstes 1,50 h

Du installierst im ersten Schritt schon Software und Dienste, dann installierst du anschließend einen Dienst, nachdem du das ja eigentlich schon getan hast?

Dokumentation 5,00 h

• Erstellen der Dokumentation 5,00 h

Diese Zeitangabe ist sehr unrealistisch.

• Schulungsmaßnahmen 3,00 h

Meinst du damit kommst du/kommt ihr hin? Soll dies wirklich teil deines Projektes sein?

Dies würde ich vllt rausnehmen, quasi nach dem Projekt als anderes Teilprojekt betrachten und würde die 3h vielleicht auf die Dokumentation aufschlagen.

Ich hoffe ich konnte dir vllt nochmal 1-2 Denkanstöße geben.

Freundlichste Grüße

s1mPeL

[Chris25046]

thx für die Korrektur 2 leute drüber geguckt und keinem ist es aufgefallen... man wird wohl blind mit der zeit xD

Netzwerker sorgen für den "Weg" das der Server an sich erreichbar ist dafür bin ich selbst verantwortlich sprich ja IP-Adresse beantragen und eintragen.

Sowie eben Kabel patchen....

Eine Stunde findest du unrealistisch fürs RAID? Weis ja net aber wenn ich das Ding intialisiere und mich durch die Konfig hangele dauert das schon.... aber vllt isses echt etwas hoch angesetzt...

je nach OS und eingesetzter Software sind das schon einige Updates....

Okay der Punkt mit der Installation der Dienste ist echt seltsam^^ den muss ich iwie nochmal überarbeiten.

Die 5 h sind bei uns festgegeben... 35h gesamt fürs Projekt davon 5h für die Doku steht so in der Handreichung! (15%)

Ich denke die 3 h sind schon okay sind nicht sooo viele Mitarbeiter die darauf zugreifen

Abgesehen davon der Hinweis in der Handreichung 2 - 3 Stundenschritte was sagst du dazu?

[s1mPeL]

thx für die Korrektur 2 leute drüber geguckt und keinem ist es aufgefallen... man wird wohl blind mit der zeit xD

Dafür nicht, mir gehts zur Zeit ja wie dir, und ich bin über jede Hilfe und jeden Denkanstoß dankbar.

Netzwerker sorgen für den "Weg" das der Server an sich erreichbar ist dafür bin ich selbst verantwortlich sprich ja IP-Adresse beantragen und eintragen.

Sowie eben Kabel patchen....

Okay, dann wird es klar für mich, weiß nicht ob man das vllt. schon in der Projektbeschreibung erklären sollte, dass du dafür selbst zuständig bist.

Eine Stunde findest du unrealistisch fürs RAID? Weis ja net aber wenn ich das Ding intialisiere und mich durch die Konfig hangele dauert das schon.... aber vllt isses echt etwas hoch angesetzt...

Vllt. liegt es auch nur daran dass ich erst 2-3 x ein RAID eingerichtet habe, und deswegen nicht ganz so die Erfahrung habe, ich hatte aber das Gefühl dass man in ~ 30 mins damit durch ist. Wie gesagt, sind auch nur Denkanstöße...

je nach OS und eingesetzter Software sind das schon einige Updates....

Aber was machst du denn die 1,5 Stunden? Auf den Monitor starren? Updates downloaden und installieren ist doch nur eine

Prozedur, bei der man ab und an mal auf den Monitor schauen sollte obs schon durchgelaufen ist oder ob ein Restart notwendig

ist, denke ich.

Okay der Punkt mit der Installation der Dienste ist echt seltsam^^ den muss ich iwie nochmal überarbeiten.

Ist doch nur eine Kleinigkeit.

Die 5 h sind bei uns festgegeben... 35h gesamt fürs Projekt davon 5h für die Doku steht so in der Handreichung! (15%)

Das ist krass, bei uns, d.h. bei der IHK Frankfurt, sind so 8 Stunden normal für die Projektdokumentation, und aus eigener Erfahrung muss ich auch sagen, dass die Dokumentation, ist sie gewissenhaft und vollständig gemacht, öfters sogar länger als das Projekt an sich dauert. Dies fiel mir in meiner alten Ausbildung auf, als wir eine Woche Zeit hatten ein Netzteilgehäuse zu bauen, die Dokumentation aber knapp 2 Wochen beanspruchte - dazu zähle ich auch die Planung und etwaiges, aber nunja, wenn eure IHK dies so vorgibt, dann muss das wohl so sein.

Ich denke die 3 h sind schon okay sind nicht sooo viele Mitarbeiter die darauf zugreifen

Das musst du wissen, denn nur du weißt, was du auch wirklich schulen willst.

Abgesehen davon der Hinweis in der Handreichung 2 - 3 Stundenschritte was sagst du dazu?

Diese Frage verstehe ich leider nicht so ganz.

Freundlichste Grüße

s1mPeL

[Chris25046]

Dafür nicht, mir gehts zur Zeit ja wie dir, und ich bin über jede Hilfe und jeden Denkanstoß dankbar.

trotzdem danke

Okay, dann wird es klar für mich, weiß nicht ob man das vllt. schon in der Projektbeschreibung erklären sollte, dass du dafür selbst zuständig bist.

sollte ich vllt drauf eingehen ja ich guck mal!

Vllt. liegt es auch nur daran dass ich erst 2-3 x ein RAID eingerichtet habe, und deswegen nicht ganz so die Erfahrung habe, ich hatte aber das Gefühl dass man in ~ 30 mins damit durch ist. Wie gesagt, sind auch nur Denkanstöße...

Ich werd mas mal nochmal durchspielen aber ich denke ich bin mit dir Zeit relativ nah dran

Und ja weiß ich ja danke dafür

Aber was machst du denn die 1,5 Stunden? Auf den Monitor starren? Updates downloaden und installieren ist doch nur eine

Prozedur, bei der man ab und an mal auf den Monitor schauen sollte obs schon durchgelaufen ist oder ob ein Restart notwendig

ist, denke ich.

Nunja es geht in der Zeit ja auch drum zu prüfen das das alles auch fehlerfrei installiert wurde.

Das ist krass, bei uns, d.h. bei der IHK Frankfurt, sind so 8 Stunden normal für die Projektdokumentation, und aus eigener Erfahrung muss ich auch sagen, dass die Dokumentation, ist sie gewissenhaft und vollständig gemacht, öfters sogar länger als das Projekt an sich dauert. Dies fiel mir in meiner alten Ausbildung auf, als wir eine Woche Zeit hatten ein Netzteilgehäuse zu bauen, die Dokumentation aber knapp 2 Wochen beanspruchte - dazu zähle ich auch die Planung und etwaiges, aber nunja, wenn eure IHK dies so vorgibt, dann muss das wohl so sein.

Nicht das wir hier aneinander vorbei reden es geht um die KUNDENdoku die Projektdoku ist völlig los gelöst von den Bearbeitungszeiten.

Diese Frage verstehe ich leider nicht so ganz.

Bei uns in der Handreichung der IHK Saarland steht folgendes:

Die Projektbeschreibung enthält eine detaillierte (tabellarische) Zeitplanung im

Stundenraster (zu 2-3 Stundenschritten für SE und FS).

[s1mPeL]

Naja, gut über die Zeit für Updates laden/installieren/kontrollieren kann man sich wohl streiten. =) Ist eben Ansichtssache - aber ist ja auch nicht schlimm wenn man mal von der Zeitplanung abweicht - kommt in der Projektdoku später sogar ganz gut, denn es würde merkwürdig aussehen wenn man überall genau so lang gebraucht hat, wie man dafür eingeplant hat.

Auch für die Kundendoku finde ich, das ist aber meine persönliche Meinung, fünf Stunden zu wenig. Aber die IHK wirds ja besser wissen.

Was ist mit diesem Stundenraster gemeint? Ich kapiere das immer nocht nicht. I'm sry.

Freundlichste Grüße

s1mPeL

[Chris25046]

Jo bins grade etwas am umbauen ich poste es gleich dann mal vllt wirds dann deutlich.

So wie ich es verstehe wollen die nur Einträge haben die zwischen 2 und 3 Stunden liegen sprich: Festlegen der Netzwerkadresse 0,5h geht nicht das muss irgendwo sonst mit Einfließen so das es nen Punkt gibt der dann heisst: "Festlegen der Hardwareanforderungen des Servers + Sicherstellen

Erreichbarkeit über Netzwerk" und der dauert dann eben 2h

[SilentDemise]

Ich würde auch mal vergleichen ob ein RO DC denn tatsächlich die beste Lösung ist. Ich implementiere mittlerweile lieber ein separates AD in der DMZ und mache einen Domaintrust vom Intranet AD ins DMZ AD, so dass die Accounts auf den DMZ Maschinen weniger Angriffsfläche auf das Intranet bieten.

[Chris25046]

so das is hier mir mal vorläufig das was ich jetzt habe:

4. Auflistung der Projektphasen incl. Zeitansatz

Konzeption 8,00 h

• Ist-Analyse 2,00 h

• Soll-Analyse 2,00 h

• Vergleich mehrerer Betriebssysteme mit RO-Verzeichnisdienst-Funktion 2,00 h

• Festlegen der Hardwareanforderungen des Servers + Sicherstellen

Erreichbarkeit über Netzwerk 2,00 h

Installation und Konfiguration 13,00 h

• Konfiguration RAID und RAC 2,00 h

• Installation + Konfiguration des Betriebssystems 3,00 h

• Installation von benötigter Software + Updates 3,00 h

• Konfigurieren der Dienste 3,00 h

• Einbau des Servers 2,00 h

Dokumentation 5,00 h

• Erstellen der Dokumentation 5,00 h

Qualitätssicherung 8,50 h

• Testen der Software des Servers 3,00 h

• Test der Hardware des Server + Test netzwerkmässige Erreichbarkeit 2,50 h

• Schulungsmaßnahmen 3,00 h

Gesamt: 34,50 h

mir fehlt natürlich jetzt ne halbe stunde....

[Chris25046]

sprich du meinst ne exta domäne? muss ich abklären wäre ne idee als alternative! thx für die anregung

[s1mPeL]

Die halbe Stunde könntest du als Beispiel auf die Schulungsmaßnahme aufschlagen.

Neue Ausarbeitung finde ich recht gut - jetzt kommt z.B. das mit den 1,5h für Updates

nicht mehr so blöd raus.

Freundlichste Grüße

s1mPeL

[Chris25046]

gute idee dachte ich auch schon dran^^

aber geht ja net wegen dem 2-3 stundenraster *ko tz*

Wobei das doch iwie total sinnlos ist....

Und thx für deine Hilfe und Anregungen s1mPel

Und auch nochmals für deine Anregung SilentDemise!

[s1mPeL]

Ich rall diese Regelung sowieso nicht, finde bei euch ist alles schon ganz schön in Stein gemeiselt wie was zu sein hat. :\

Ich würde die halbe Stunde trotzdem an die Schulung hängen, und wenn sie das bemängeln, kannst du ja argumentieren,

dass dies eben so lang dauert, und nur wegen der 2-3 Stunden Regelung die Schulung nicht so kurz ausfallen kann.

[Chris25046]

naja ich hab se jetzt der soll-analyse gegeben denke schon das ich dafür etwas länger brauchen werde als für die IST

[s1mPeL]

Ja, haste schon recht.

Freundlichste Grüße

s1mPeL