Domänencontroller hinter Fritzbox

[Master112]

Hallo Jungs und Mädels,

ich habe ein lokales Netzwerk mit ca 20 Clients und 5 Druckern, aktuell ohne Domäne.

Diese sind über einen Standard Switch verbunden und der Switch mit einer Fritzbox 7490.

 

Nun soll das Netzwerk um einen Domänencontroller erweitert werden, sodass wir zukünftig eine saubere Benutzerverwaltung haben und die Clients nicht mehr lokal im Netzwerk rumgeistern.

Die Installation vom Domänencontroller inkl. DNS ist mir klar. 

Ziel soll sein, dass die Clients nach Domänenaufnahme über die Fritzbox weiterhin ins Internet können.

Frage1) Muss ich auf dem DC inkl. DNS noch zusätzlich einen DHCP Server installieren und falls ja,  welchen Netzdaten muss ich wo eintragen (Clients / Fritzbox), damit diese Geräte weiterhin als Domänenmitglieder ins Internet können?

 

Es wird sich hierbei um eine produktive Umstellung handeln. 

Für Kritik und Verbesserungsvorschläge, wie ich am besten einen DC in diese Struktur implementieren, immer her damit :)

Bitte um kurze Infos von euch Windows Experten :)

 

Vielen Dank und Gruß

Michael

[Thanks-and-Goodbye]

Mach es wie der Highlander: es kann nur einen geben!

DHCP wird vom DC übernommen, auf der FB deaktiviert.

DNS-Auflösung im Netz muss vom DC übernommen werden, im DNS Server wird dann eine Weiterleitung auf die Fritzbox eingestellt - diese wird erst dann abgefragt, wenn der interne DNS nicht mehr weiterweiss.

[charmanta]

... war das nicht so dass dann aber auch für jeden Drucker ne CAL gekauft werden muss ? Wär mir das nicht wert

[Maniska]

vor 1 Minute schrieb Master112:

Muss ich auf dem DC inkl. DNS noch zusätzlich einen DHCP Server installieren und falls ja,  welchen Netzdaten muss ich wo eintragen (Clients / Fritzbox), damit diese Geräte weiterhin als Domänenmitglieder ins Internet können?

Kommt drauf an.

Wenn die Fritzbox für immer und ewig da stehen soll, kann die auch weiterhin DHCP machen.

Sauber wäre es, wenn DHCP auch von einem eigens dafür konfigurierten Server kommt, ich nehm mittlerweile den DC nicht mehr für die DHCP Rolle, sondern (eine) separate Maschine(n).

vor 1 Minute schrieb charmanta:

... war das nicht so dass dann aber auch für jeden Drucker ne CAL gekauft werden muss ? Wär mir das nicht wert

Ditt is m.W.och ohne Domäne de Fall!

Jedes Gerät oder User benötigt eine CAL wenn auf einen Windows server zugegriffen werden soll. Afaik ist es dazu nicht nötig eine Domänenstruktur zu haben.

 

[charmanta]

Stimmt. Aber für Drucker brauchst Du die CAL dann ja nur weil die ne IP vom Server kriegen. Ne IP von der FB für die Drucker wäre kostenlos ...

[Maniska]

vor 31 Minuten schrieb charmanta:

Ne IP von der FB für die Drucker wäre kostenlos ...

Und umsonst, da du dann auch keine Dokumente drucken darfst die auf nem Server liegen. Vom Einsatz eines Printservers ganz zu schweigen. Und Scan to Folder kannst du dann auch vergessen...

[Master112]

Ok danke für die Info.

Könnt ihr mir noch einen kurzen Screenshot oder Info geben, wo ich im DNS genau die Weiterleitung zur FRITZ!Box eintragen muss?
 

Gibt es eine gute Übersicht im Inter, wie die Microsoft Lizenzierung genau funktioniert?
 

vielen Dank und Grüße 

michael 

[Maniska]

vor 1 Stunde schrieb Master112:

Gibt es eine gute Übersicht im Inter, wie die Microsoft Lizenzierung genau funktioniert?

Ernsthaft:

MS Lizenzierung ist alles andere als unkompliziert.

Ganz vereinfacht gesagt benötigt man:

• Eine Lizenz für das Server OS, lizenziert nach Cores (im Regelfall)
• für jedern Teilnehmer der auf einen MS Server (OS) zugreifen möchte eine CAL (Client Access License). Dabei ist es egal ob das Gerät (DeviceCAL) oder der Benutzer (UserCAL) lizenziert ist, aber einer von beiden muss es sein.
• Eine Lizenz für das Programm (Serverseitig zB Exchange oder MSSQL) lizenziert nach Cores oder Zugriffsrechten (zugreifenden Usern/Drittprogrammen/Usern in den Drittprogrammen...)
• CALs für das Serverprogramm, im Regelfall das dann pro User
• ggf. CALs für die Anwendung (Office) im Regelfall auch pro User

Um das Ganze noch etwas spaßiger zu gestalten: DeviceCALs sind deutlich günstiger als UserCALs und ein Mischbetireb ist möglich. Das Alles gibt es dann noch mit SA (Software Assurance) oder ohne. Manchma benötifgt man die SA nur für das Recht die jeweils aktuellste Version nutzen zu dürfen (Server 2012 mal gekauft, SA immer bezahlt, Server 2019 Nutzungsrecht),manchmal ist die SA zwngen mit dem Nutzungsrecht verknüpft (Win10 Enterprise anyone?)

Oder man sagt "schei* drauf", nimmt M365 und macht sich abhängig von der abonnierten MS Wolke im Datenschützerwunderland.

Ich kann jedem nur empfehlen sich da mit einem Profi zusammen zu setzen.

 

[charmanta]

Wenn Du das ohne Win Srv machst und stattdessen mit Samba kostet das auf einmal nix mehr

20 Clients und 5 Drucker macht ne kleine Linux Kiste nebenbei...

Das kann sogar ne Qnap

[Thanks-and-Goodbye]

vor 4 Stunden schrieb Maniska:

Wenn die Fritzbox für immer und ewig da stehen soll, kann die auch weiterhin DHCP machen.

Ja, ne, nicht so richtig... kann die FB im DHCP den DC als DNS verteilen oder verteilt die FB sich selber als DNS (was ja im Homeusernetzwerk Sinn macht)?

Es wird die wunderlichsten Phänomene geben, wenn man nicht den DNS vom DC nutzt - das kleinste Übel ist es, dass man kaum einen Client ins AD gehieft bekommt.

[Enno]

@Chief Wiggum
Ja kann Sie:

[Thanks-and-Goodbye]

Danke für die Info @Enno

[Maniska]

vor 22 Stunden schrieb Chief Wiggum:

Es wird die wunderlichsten Phänomene geben, wenn man nicht den DNS vom DC nutzt - das kleinste Übel ist es, dass man kaum einen Client ins AD gehieft bekommt.

Ich hab gesagt dass es geht, nicht dass es klug ist

Ich würde es allein schon deswegen nicht machen weil ich nur einen DHCP Bereich angeben kann und auch ohne Klimmzüge keine anständige Firewall mehr dazwischen klemmen kann.

[Master112]

Erschwerend kommt jetzt noch hinzu, dass hinter dem internen Lan noch eine Firewall installiert werden soll.

Vom Prinzip her müsste dann die Firewall von der Fritzbox Lan1 (bspw) angeschlossen werden an die Firewall an einen dort freien Eth Port, richtig? Ich suche tendenziell schon längere Zeit bei Youtube und Google eine Verfahrensbeschreibung, wie man physikalisch eine Firewall in einem kleinen Unternehmen in Betrieb nimmt. 

Einfach nur das know how erlangen, welches Kabel in welche Buchse muss. 

Aktuell haben wir eine Fritzbox, die direkt ins LAN durch routet. 

Zukünftig soll halt eine Hardware Firewall implementiert werden als Webfilter bspw.

Danke und Gruß

Michael

[awesomenik]

Ist relativ simpel: Fritzbox->Firewall->LAN
Heißt also: Ein Kabel von Fritzbox an den WAN-Port der Firewall und alle Internen Geräte gehen an die Firewall (ggf. über einen Switch).

Zusätzlich kannst du in der Fritzbox noch einstellen, dass die Firewall als exposed host genutzt werden soll. So kannst du ggf. benötigte Portweiterleitungen direkt in der Firewall einrichten und musst das nicht noch zusätzlich in der Fritzbox tun.

Wenn du eh eine Hardwarefirewall nimmst, kannst du dann darüber DHCP machen, falls das vorher über die Fritzbox gelaufen ist.

[Maniska]

Am 7.1.2021 um 12:56 schrieb awesomenik:

Wenn du eh eine Hardwarefirewall nimmst, kannst du dann darüber DHCP machen, falls das vorher über die Fritzbox gelaufen ist.

Oder - zugegeben, verrückte Idee - man könnte auch einen eigenständigen DHCP Server hinstellen. Vor allem dann wenn es Netze mit DHCP Bereich geben könnte, die die Firewall nicht kennen muss.