Server farm.

Hvad har du af firewall ?

Og skal der være arbejdsstationer på domænet ?

Server 3 skal bestemt ikke logges på domænet. Faktisk bør du smide den helt ud i en DMZ, så den ikke har direkte kontakt til det interne netværk. :)

Nu ved jeg ikke lige hvad ISA server er, men jeg ville lave 3 net bag 2 firewalls, hvor arbejdsmaskinerne er bag begge to, og exchange er bag den ene og så webserver i DMZ som nanog skriver, med DMZ pinholes mellem web og exchange.

Hvis der kun er en firewall, så skal exchange og arbejdsstationerne på hver sit net, og webserver i DMZ, pgså med pinholes her.

Jeg kunne ikke være mere enig :)

Nanog> kunne du så ikke lige oplyse os om hvad den ISA server er og hvor den skal placeres :)

ISA Server = Internet Security & Acceleration Server = Firewall :)

ISA Server står for Internet Security and Acceleration. Læs mere her: http://www.microsoft.com/isaserver/evaluation/default.asp

Kort sagt er det en udmærket softwarebaseret firewall.

Den bør IKKE ligge på din PDC. Jeg har faktisk svært ved at se et fornuftigt sted at placere den i dit scenarie. Den bør ligge på sin egen fysiske server.

Ville det så ikke være en ide at installere en god gratis Smoothwall på serveren i stedet og så gøre som nanog og jeg mener opsætning skulle være med én firewall. Den der ISA kommer garanteret til at koste en bondegård når den ikke er i beta mere...

SW har både proxy, DHCP og DMZ, og jeg har kun gode erfaringer med den.

Mit net ser sådanne ud:
Sonicwall Soho3 --> ISA server --> og så kommer resten.
Jeg havede en idé om at min webserver også skulle være Exchange front server. ?!?!?
ISA som DC skulle ikke være det store prob. når det er på Backoffice inst.

ISA har jo også nogle ret godt web filtre iglg. isaserver.org Det skulle jo optimere sikkerheden.
Det eneste grund til ISA server køre hos mig er faktisk pga. web cache delen.

En god ting ved ISA er, at den kan sættes op til at authenticere brugere mod Active Directory, hvis dette skulle ønskes.

Er der ikke en der kan komme med en idé til hvordan en komplet struktur ville se ud ??

squashguv-> Det er grund nr. 2 til jeg har ISA sat op. Tillade og hindre adgang til nettet og eller bestemte sider :-)

trumf-> Hvordan???

Jeg skal have en mailserver(exchange) og en Soft. firewall/cache og en web server på 3 maskiner.
Hvordan er det smartest ???

Således vil jeg tro hvis der ikke skal være arbejdsstationer på netværket, ellers skal de sættes på et seperat net fra Sonicwall.

Sonicwall Soho3 net1 --> ISA server --> web og mail
Sonicwall Soho3 net2 --> arbejdsstationer

Her mister du dog Acceleration Server (proxy) fra ISA'en til arbejdsstationerne, men hvis der skal udvikles fra en arbejdsstation mens man skal se resultatet samtidig og siden ligger på engen webserver, så skal der ikke laves cache/proxy, da sider skal opdateres med det samme...

I dette svar går jeg ud fra, at Sonicwall Soho3 kan håndtere zoner, og at ISA'en skal håndtere brugere der skal have adgang til web (FTP) og mail udefra.

Der er PT. et par arbejdsstationer på lan´et og der kommer flere til.
Derfor ville det være lækkert med noget webcahe.
Ville det være en idé at lave ISA til trihomed firewall (poor eman´s DMZ)??
Eller droppe ISA på web og mail linjen ???

Sagen er den at jeg kommer til at stå for den fælles internet adgang.
Min forbindelse delt med nogle andre brugere her i opgangen.
Derfor ville jeg gerne have ISA til at godkende brugere og tildele dem en hvis % del båndbredte.
Samtidigt med at jeg skal hoste et par hjemme sider for kammarater og fam. og andre her i opgangen.

Hvor mange net kan Sonicwall Soho3 håndtere ?

Altså dem i opgangen skal under ingen omstændigheder have adgang til dit net eller webserveren. Tænk på at din overbo der ikke ved noget om sikkerhed sætter en trådløs forbindelse op fordi hans netværksstik sidder i stuen og hans PC er i soveværelset, og så finder hackeren over på den anden side af vejen ud af at der er forbindelse.........................

->Hvor mange net kan Sonicwall Soho3 håndtere ?
Det ved jeg faktisk ikke.....
Jeg kan godt se dit agument, hvordan skulle strukturen så se ud ???
Optimalt ??? Hvis det skulle være køber jeg en server mere hvis det virkeligt er nødvendigt....

Så køb en mere til at håndtere båndbredde til dem i opgangen, det skal bare være en gammel spand, som kan køre det softvare der skal til, og så sætter du den til at uanset hvor mange der er på, har de max 50% af den samlede forbindelse.

Sonicwall Soho3 har 2 netstik. http://www.sonicwall.com/products/soho3.html

ISA server --> Sonicwall Soho3 net1 --> web og mail
ISA server --> Sonicwall Soho3 net2 --> dig
ISA server --> gammel spand --> opgang

Jeg ved det ikke men mon ikke ISA serveren kan klare spandens arbejde.

Hvis jeg havde en Sonicwall ville jeg dog gøre det anderledes.

<-- Red SmoothWall DMZ --> web og mail
<-- Red SmoothWall Green --> gammel spand --> Sonicwall Soho3 net1 --> mig
<-- Red SmoothWall Green --> gammel spand --> opgang

Hov, nej jeg ville gøre det sådan

<-- Red SmoothWall DMZ --> web
<-- Red SmoothWall Green --> gammel spand 50-100% --> Sonicwall Soho3 net1 --> mail
<-- Red SmoothWall Green --> gammel spand 50-100% --> Sonicwall Soho3 net2 --> mig
<-- Red SmoothWall Green --> gammel spand max 50% --> opgang

Det er ikke traditionelt at sende mail ud på green, men når Sonicwall'en er der så er det vel OK :-)

Nu er Snoothwall ikke et option det bliver med før nævnte software.

Det er også ligemeget hvilken firewall det er, bare den kan håndtere to zoner.

Læs det som

<-- internet ISA zone 1 --> web
<-- internet ISA zone 2 --> gammel spand 50-100% --> Sonicwall Soho3 net1 --> mail
<-- internet ISA zone 2 --> gammel spand 50-100% --> Sonicwall Soho3 net2 --> mig
<-- internet ISA zone 2 --> gammel spand max 50% --> opgang

Programmet til at styre brugere skal nok være noget i stil med Wingate.

Godt så, det du mener er en ISA server som poor man´s  DMZ med flere zoner.
Hvorfor vil du have Sonicwallen efter ISA ??
Wingate ?? hvorfor ? Det kan ISA serveren styre.
Kunne jo feks. se sådanne ud...
Sonicwall -> ISA server -> Web/mail
Sonicwall -> ISA server -> Intern / Mig
Sonucwall -> ISA server -> opgang.
Så har jeg 3 interne sub.
Ville det virke på en forholds sikker måde ?

ja, forholdsvis, men du skal stadig have web og mail adskilt i hver sin zone, og jeg bryder mig heller ikke om at web og det interne ligger i samme lag...

ISA ligger først for at få fordelt båndbredde og håndtere brugere.
Jeg vil også mene at der hvor der skal være størst sikkerhed, er der hvor din maskine står, så derfor lægger jeg så "stor afstand" mellem den og de andre.

Når ISAen kan det med brugerne kan du jo lave det som
ISA zone 1 --> web
ISA zone 2 --> Sonicwall Soho3 net1 --> dig
ISA zone 2 --> Sonicwall Soho3 net2 --> opgang
ISA zone 3 --> mail

Evt byt rundt på mail og opgang, hvis de selv skal stå for sikkerhed!

Takker :-)

Fik du det op at køre og evt hvordan ?

Sonicwall -> ISA -> Intern net indtil vidre.
Sætter sikkert et netkort mere i til at køre DMZ.