Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 1189 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Problems with Connection to W2K Servers in DMZ

C.Haecker
Hello,

at the moment we are evaluating the ASL 3.2 for our company.
Yesterday evening we started a test run with the prepared firewall configuration and had to stop it frustrated some hours later :-(.

We have a leased line with two official ip blocks and one private.
The servers (W2K PDC with DNS; Exchange with Outlook Web Access; two Linux systems) should stand in the DMZ and become one official ip block.
Clients and rest of the system should be on the internal site (private IPs).

Internet
    |
 Router
    |
official IP
Astaro-----DMZ (Servers with official IPs)
    |
    |
Intern (private IPs)

The normal Services like HTTP(s), SMTP, POP worked fine - surfing and mailing was no problem. The required windows ports below 1024 were opened (RPC, LDAP, NETBIOS, etc).
BUT we could not give the internal network the DNS address from the W2K Server in the DMZ (causes problems - no login from a client to the server). Outlook clients could not connect to their Exchange in the DMZ.
Livelog showed some blocks on the high ports 1026-1029 and 448...
We opened the high ports above 1024 for intern and voila outlook clients could connect to exchange but using the Windows DNS server was still not possible.

Question: Does anyone knows this problem and the dedicated high ports which has to be opened (we found some stuff in the Internet but nothing really helped)? And how to the Windows Server DNS in the DMZ?

Thanks a lot for help.
Regards.

Christian Haecker


This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to micio
    A List of the Windows 2000 Domain Controller Default Ports (Q289241) 

    But most importantly you have to define the port you want to use for AD logins etc see this page:
     Restricting Active Directory Replication Traffic to a Specific Port (Q224196)

    But you should really assess why you would want your PDC and Exchange server in the DMZ. Opening up AD ports between the DMZ and the green network has been likened to turning your firewall into "swiss cheese".

    There are other options like a VPN between the DMZ and green networks for Active directory traffic, your biggest issue is Outlook web access, as you could keep the PDC in the green network, dnat the DNS traffic to the PDC, put the exchange server in the green network and use the SMTP proxy on Astaro to handle forwarding emails to the exchange server (that way it isn't even available to the outside and fully protected)

    Outlook web access could run on a separate web server or if you are using Exchange 2000 you could split the server using its new features.

    Up to you really, but the DMZ is supposed to be for servers that are isolated from the rest of the network so if anyone gets in they can't get anywhere else.

    Just my 2c
  • 0 in reply to Biffa
    Yes Biffa is right,
    in DMZ nobody could reach from outside your machine so the best ways are no proxy or anything that can allow external users to see wath is into your computer;
    I think only masquerading is the best way for DMZ.