Controleur de domaine en DMZ ??

par **yoann-38** » 20 Août 2003 10:15

Salut ! Voila, j'ai un souci : voici la config actuelle du probleme :

Code: Tout sélectionner:  FAI | | IpCop | | LAN

Les besoins sont : un serveur de fichiers/ controleur de domaine / serveur mail . Le probleme, c'est qu'il n'ont le budget que pour un seul serveur. Est il totalement nul au nivo sécurité de mettre le controleur de domaine et serveur de fichiers dans la DMZ sachant que je le place ds la DMZ a cause du serveur de mail !!! Que dois-je faire ??

par **tomtom** » 20 Août 2003 10:24

Ben ce qui est bien ennuyeux, c'est que si un pirate reussit à exploiter une faille sur le serveur de mail (et c'est loin d'etre impossible), alors le DC est compromis, et c'est quand meêm ennuyeux pour le reseau vert, tu ne trouves pas ? Franchement, essaye de convaincre ta direction que l'achat d'un serveur dedié au dc (ou même avec un autre serveur du green...) risque fort d'être plus economique que les journées qu'il devra te payer pour remettre d'aplomb en cas de compromission.... T.

par **xjlxx** » 20 Août 2003 10:31

C'est vrai que ce n'est pas logique du tout de mettre un PDC dans une Dmz <IMG SRC="images/smiles/icon_eek.gif"> <IMG SRC="images/smiles/icon_bise.gif">

par **kerozene** » 20 Août 2003 10:33

en plus ca serait le bordel pour le PDC, non, étant donné que DMZ et LAN sont sur des réseaux logiques différents ?

par **yoann-38** » 20 Août 2003 10:38

C clair que ca me parait une abération mais je n'ai pas le choix ( enfin il ne depend pas de moi). Que se passera t'il si qqun a la main sur le PDC ??

par **xjlxx** » 20 Août 2003 10:45

Rien de bon pour toi a mon avi ! Et ca ne sera pas tes têtes pensante qui en prendront la responsabilité, enfin si peu être, j'espère <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_eek.gif"> _________________ je préfère kiffer la bière que faire la guerre ...

par **tomtom** » 20 Août 2003 10:50

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-08-20 10:38, yoann-38 a écrit: C clair que ca me parait une abération mais je n'ai pas le choix ( enfin il ne depend pas de moi). Que se passera t'il si qqun a la main sur le PDC ?? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ben il cree des comptes, il en supprime, il change les mdp, il changes les droits des utilisateurs etc..... Pour Kero : je ne connais pas assez windows, là c'est plutot à toi même de te repondre... Effectivement, je ne sais pas si le PDC n'a pas besoin d'acceder aux machines du domaine directement (sans que la connexion soit etablie par le poste en question). ? Si c'est la cas, il va falloir jour du DMZ Pinholes, et alors là ça veut dire que si un attaquant prend la main sur le DC, il controle tout le reseau.... Ca me fait froid dans le dos !! T.

par **kerozene** » 20 Août 2003 13:01

Pour la question auquel je doit me répondre : bah en fait je sais pas trop, car le DNS Active Directory permet quand même beaucoup de choses. Par exemple, je n'ai aucun problème particulier pour un domaine enfant et un domaine parent dans deux réseaux logiques différents (ils sont interconnectés par un routeur). Par contre je ne sais pas comment par exemple il se comporterait si un client branché sur le réseau logique du domaine parent pourrait dépendre directement du domaine enfant (tiens je m'en vais tester ca rapidement....) mais à mon avis il n'arrivera pas a localiser le contrôleur du domaine enfant.... à moins qu'il lise d'abord les données du contrôleur de domaine parent qui lui localisera le domaine enfant. Ca y'est j'ai testé, bah rien du tout, marche pô, en tout cas par les moyens standard de windows NT pour déclarer un poste dans un domaine dont le contrôleur se situe sur un réseau logique différent. Mais bon, c'est clair que je n'ai pas de problème de port entre ces deux réseaux, tout le trafic de l'un vers l'autre est transmis. Donc en tout cas pour recentrer sur la question, je ne pense pas cela soit possible avec Windows car les clients doivent être dans le même réseau que le PDC... après sous Linux je ne sais pas , mais comme le dit Tom tom, ca nécessitera de faire des grandes ouvertures entre ta DMZ et ton LAN et dans ce cas là, autant tout (clients et serveur) placer dans ta DMZ, qui deviendra alors ton LAN... Hein ? un serveur web et un serveur mail dans un LAN ??? Z'êtes pas fous c'est la porte ouverte à toutes les attaques !!! Comme quoi sécurité et avarice font rarement bon ménage !!!! En fait, c'est surtout le fait de vouloir mettre un PDC qui fout le bordel... si tu n'avais voulu qu'un Serveur de mail et Web on t'aurait dis SME ou CC mais alors là avec ca.... j'ai pas de soluce toute prète.

par **yoann-38** » 20 Août 2003 13:45

Merci de vos réponses pour une question aussi bete !!! Je V poser un ultimatum : 2 serveurs ou pas de serveurs, G pas envie de tt me retaper dans 1 mois !! Merci @++

Controleur de domaine en DMZ ??

Qui est en ligne ?