Controleur de domaine et DMZ

[fleib]

Bonjour,

Savez vous comment se comporte un Contrôleur de Domaine s'il est positionné en DMZ?

Je m'explique, désirant plus de sécurité au niveau du contrôleur de domaine, je souhaite l'héberger dans une DMZ privée (non accessible depuis Internet). Je me posais la question de la possibilité, dans ce cas là d'enregistrer une nouvelle machine dans le domaine, comment faire pour que le serveur reçoive la requête du client?

Ai je été clair? Si non, je peux éclaircir ma question.

Merci d'avance pour votre aide.

Fr@n6

[ccnet]

Je ne suis pas un spécialiste de l'environnement Microsoft et en particulier Active Directory.

A priori compte tenu du babillage intensif des OS de l'éditeur je crains (j'en suis sûr en fait) qu'il faille ouvrir un grand nombre de ports TCP, UDP entre la dmz et le Lan. Bien sûr (et heureusement on peut tout fermer côté internet). Il faudra être vigilant sur le trafic sortant, en particulier http, autorisé. La réalisation des mises à jour sur le site de Microsoft devient alors un problème.

Je sais qu'il existe sur le site MS un document décrivant les contraintes et possibilités de fonctionnement dans le cas de serveurs placés dans des zones différentes. Avez vous connaissance de ce document ?

Si ce n'est pas le cas j'ai peut être encore un signet pour vous le retrouver.

[jdh]

Curieuse question !

Le propre d'une DMZ est de réunir les machines pouvant accéder à Internet ou pouvant être accédé depuis Internet ! On met, donc et typiquement, dans une DMZ : un serveur web, un relais mail, un serveur ftp, ...

Mais un serveur Windows de type DC, qui n'a besoin d'être accédé depuis Internet, n'a pas vraiment sa place en DMZ !

Par ailleurs, il faudrait, au niveau du firewall, autoriser tous les protocoles utilisés. (Bon courage !)

Par ailleurs, il est connu que cela va jouer dans la détection des ressources : par défaut une machine Windows en trouve une autre si elle est dans le même réseau de broadcast, ce ne sera pas le cas.


Je ne mettrais donc pas une serveur de type dans une DMZ.

[SINE QUA NON]

+1
Il est impensable de placer un DC dans une DMZ au vue du nmbre de port à ouvrir (ldap/kerberos/dns/netbios etc ...)

[Franck78]

microsoft a rendu public (enfin, grace au pressionde l'europe) les specs de ses protocoles réseaux.

Il suffit de lire. Beaucoup de lecture, certes, mais comme tout repose sur trois ou quatre protocole de base, (mailslot, cifs,...)

ce qui donne au hazard:
http://msdn.microsoft.com/fr-fr/archite ... 64653.aspx

et encore:WSPP
http://msdn.microsoft.com/en-us/library ... 10%29.aspx

Je comprend l'envie que l'on peut avoir de planquer des serveurs sensibles dans des zones controlées.
DMZ n'est pas le terme adéquat. C'est plutôt BASTION qui convient.