windows-server-2008 – NAT上的域控制器

发布时间：2020-12-13 23:40:00 所属栏目：Windows 来源：网络整理

导读：我的组织正在托管服务提供商处为一个非常大的应用程序项目建立一个新网络.由于整个系统使用Active Directory,我们计划在那里使用一对域控制器,通过VPN复制到我们的总部.这些DC还可以作为我们现有系统的备份,因此我们可能会在我们的总部完全失去连接或电源,并

我的组织正在托管服务提供商处为一个非常大的应用程序项目建立一个新网络.由于整个系统使用Active Directory,我们计划在那里使用一对域控制器,通过VPN复制到我们的总部.这些DC还可以作为我们现有系统的备份,因此我们可能会在我们的总部完全失去连接或电源,并且远程系统可能会保持正常状态并且仍然可以让人们登录.

我们的托管服务提供商已将10.180.87.0/24设置为我们与其一起使用的子网.但是因为我们的内部IP是192.168.1.0/24并且它们已经在使用它们,它们要求我们NAT到192.168.50.0/24.这部分不是一个大问题,可以使用我们的Watchguard防火墙设备轻松设置.

麻烦的第一个迹象是当我将两个服务器放在域上时,他们根本无法连接或找到域.我最终将DOMAIN.LAN的NAT后地址放入两台服务器上的hosts文件中.然后他们能够找到并加入域名.

然而,使它们成为域控制器一直是个问题.他们一直通过设置,然后当他们尝试使用“RPC服务器不可用”设置所有复制时失败并出现错误.我知道域名已正确准备,上周我做了所有准备工作,将新服务器推广到DC,以取代经过精细处理的旧机器.

我怀疑NAT是问题,服务器正试图用NAT前地址设置自己.我们的提供商希望我们重新映射我们的IP方案以适应他们的网络,我对这个想法并不十分兴奋.我们正在考虑的一个选项是在192.168.50.0/24上创建一个服务器和网络,并使用站点间复制从10.180.87.0/24到192.168.50.0/24到192.168.1.0/24(虽然这可能是凌乱的网络配置明白.)但我不完全相信这是否能解决问题. DMZ是另一种选择,但在我尝试让我们的提供商进行设置之前需要更多地研究它.

有没有人有类似设置的经验或在远程连接上获得DC设置的替代方案？

您不希望通过NAT执行此操作.您可以构建一个噩梦般的场景,您可以在其中管理DC的DNS记录,并在DNS中手动注册NAT“外部”地址.通过NAT使用正确的端口转发,您可以将其全部工作.

您最好使用站点到站点VPN,以允许DC具有透明通信并允许它们在DNS中注册其NIC分配的地址.关于公共IP地址的IPSEC也是可能的.

但是,除了网络通信问题之外,我认为您还有一个安全架构问题.

我认为你需要两个AD森林.您的“后台办公室”AD林应该与运行您的应用程序的AD林分开.您当然可以从物理总部位置的应用程序林中获得副本DC,但我强烈警告不要在林之间建立双向信任.我当然不希望这两个域都属于同一个AD林.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!