Windows vServer als Domain Controller

[Duke2011]

Moin!

Ich hab einen Windows vServer gemietet und frage mich ob man den als Domain Controller einsetzen kann...

Auf dem vServer läuft Windows Server 2019 Datacenter und ich hab die DHCP + DNS + AD Domaindienste hinzugefügt.

Der Server hat eine statische IP, die ich mit einem A-Record an meine Domain geknüpft habe.

Mein Gedanke war, dass man sich so an den DC anmelden kann, aber ich hab mit Sicherheit irgendwo einen fetten Denkfehler :-)

Der Server ist von außen erreichbar, aber wie kann man einen externen Client mit der Domain verbinden?

 

[Masamune2]

Und wozu? Welche PCs willst du in diese Domäne aufnehmen?

 

[Tom_123]

Hi,

ganz schlechte Idee
Ein Domaincontroller sollte immer direkt am Netzwerkwerkstandort direkt stehen, da dieser essenzielle Funktionen (AD, DNS, DHCP) bereitstellt. Bei einem Internetausfall/Serverausfall steht dann das ganze Netzwerk.

 

[Duke2011]

Hi,

ganz schlechte Idee
Ein Domaincontroller sollte immer direkt am Netzwerkwerkstandort direkt stehen, da dieser essenzielle Funktionen (AD, DNS, DHCP) bereitstellt. Bei einem Internetausfall/Serverausfall steht dann das ganze Netzwerk.

Das stimmt natürlich, ich möchte trotzdem wissen ob es technisch gehen würde...

 

[xexex]

Wenn du den Zugriff auf diese Adresse über VPN abgesichert hast oder auf die WAN Adresse deines Netzwerkes beschränkt hast, dann sollte es gehen. Ansonsten hast du dir ein dickes Sicherheitsloch gebaut.

Bei einem Internetausfall/Serverausfall steht dann das ganze Netzwerk.

Das kann man heute auf zig verschiedene Arten absichern.

 

[Duke2011]

Und wozu? Welche PCs willst du in diese Domäne aufnehmen?

Ich will nur wissen ob es gehjt

 

[Tom_123]

Hi,

klar würde dies gehen -> direkte VPN-Verbindung zum v-Server. Ich rate aber dringend aufgrund der genannten Gründe von diesem "Konzept" ab.

 

[Masamune2]

Ja gehen würde das. Du musst auf den PCs nur den Controller als DNS eintragen und ihn dann zur Domäne hinzufügen.

 

[xexex]

Ich rate aber dringend aufgrund der genannten Gründe von diesem "Konzept" ab.

Quatsch mit Soße! Praktisch jedes mobil verwendete Gerät ist genau so angebunden. Ein PC/Notebook lässt eine Anmeldung auch zu, wenn mal der Server nicht erreicht werden kann.

Wenn du mal ein grösseres Netzwerk mit mehreren Zweigstellen aufbaust, stellst du nicht in jeder Zweigstelle extra einen Server hin. Kann man machen, ist in der heutigen Zeit aber Unsinn.

 

[Duke2011]

Hi,

klar würde dies gehen -> direkte VPN-Verbindung zum v-Server. Ich rate aber dringend aufgrund der genannten Gründe von diesem "Konzept" ab.

Wie genau?

Ergänzung (15. März 2020)

Ja gehen würde das. Du musst auf den PCs nur den Controller als DNS eintragen und ihn dann zur Domäne hinzufügen.

Du meinst bei IPv4 in den Eigenschaften der Netzwerkkarte? Ich dachte eher an eine VPN Verbindung

 

[Masamune2]

Ein VPN ist nicht unbedingt nötig, du kannst den Server ja auch so im Internet erreichbar machen. Wie sinnvoll das ist steht auf einem anderen Blatt.
Um einen Client der Domäne hinzuzufügen musst du nur in der Netzwerkkarte den Controller als DNS nutzen.

Wenn das deine Frage war ist sie damit beantwortet. Wenn du das wirklich vor hast: Lass es bitte! So macht man das nicht.

 

[xexex]

Ein VPN ist nicht unbedingt nötig, du kannst den Server ja auch so im Internet erreichbar machen.

Das Problem dabei wäre, wenn du in den Zweigestellen keine feste IP Adresse hast (LTE Backup), müsstest du dann zwangsweise alle IP Adressen zulassen. Eine grössere Sicherheitslücke kann man sich nicht bauen.

Über VPN sehe ich hier aber kein Problem, wenn es aber eh nur um ein paar PC geht, würde ich sowieso stattdessen auf Azure AD zurückgreifen.

 

[Duke2011]

Ein VPN ist nicht unbedingt nötig, du kannst den Server ja auch so im Internet erreichbar machen. Wie sinnvoll das ist steht auf einem anderen Blatt.
Um einen Client der Domäne hinzuzufügen musst du nur in der Netzwerkkarte den Controller als DNS nutzen.

Wenn das deine Frage war ist sie damit beantwortet. Wenn du das wirklich vor hast: Lass es bitte! So macht man das nicht.

Aber via VPN könnte man es machen

 

[Masamune2]

Das Problem dabei wäre, wenn du in den Zweigestellen keine feste IP Adresse hast (LTE Backup), müsstest du dann zwangsweise alle IP Adressen zulassen. Eine grössere Sicherheitslücke kann man sich nicht bauen.

Richtig, daher sagte ich ja das es geht aber man das auf keinen Fall so macht.

Aber via VPN könnte man es machen

Ja in dem Moment ist es ja nichts anderes mehr als ein Domaincontroller im lokalen LAN.

 

[Duke2011]

Richtig, daher sagte ich ja das es geht aber man das auf keinen Fall so macht.


Ja in dem Moment ist es ja nichts anderes mehr als ein Domaincontroller im lokalen LAN.

Aber wie mach ich das genau ?

 

[Tom_123]

Hi,

das kommt darauf an, wo der v-Server gehostet wird und ob der Anbieter VPN-Tunnel anbietet. Wenn ja, dann einen entsprechenden Tunnel zum "Firmennetzwerk" einrichten.

Ansonsten kannst du auch direkt über den Windows Server eine VPN-Verbindung zum Gateway des "Firmennetzwerkes" aufbauen -> https://www.hosteurope.de/faq/server/windows-server/realisierung-vpn-windows/

Ich persönlich halte von der Windows VPN Lösung relativ wenig und würde auf dedizierte Hardware/Services setzen.

 

[Masamune2]

Da gibt es nicht die eine richtige Methode sondern viele Wege mit Vor- und Nachteilen.
Wenn der Hoster das anbietet könntest du einen zwei vServer anmieten der als Firewall/VPN Server dient und da deine Tunnel hin laufen lassen. Oder gleich einen physikalischen Server auf dem du selbst mehrere VMs betreiben kannst du diese Jobs übernehmen.
Es gäbe auch die Möglichkeit das direkt mit dem Windows Server zu machen, da bietet Windows einen klassischen IPSec Tunnel oder AnyVPN als Nachfolger von Direct Access.

 

[mofa84]

@TE
hast du das jetzt schon umgesetzt?

Stehe vor der selben Idee: ein Bekannter hat 2 getrennte Werkstätten, da wurde (von jemand anderem) ca. 2013 in beiden Werkstätten ein DL380 (völlig übertrieben) installiert und eine Domain eingerichtet mit einmal 2011 SBS, einmal 2008 Standard. Er hat jedoch nie die VPN-Verbindung eingerichtet so dass sich beide Server seitdem nie wieder gesehen haben und der eine Standort sowieso nicht auf den Exchange zugreifen konnte.

Da die Kisten ja noch 2008 sind, und eigentlich beide mehr oder weniger überflüssig sind (eigentlich nur als DHCP, DNS, DC, WSUS und Printserver genutzt sowie eine läpprige Anwendung), hatte ich auch die Idee, den DC in eine Cloud zu schieben.

Mittlerweile haben beide Standorte halbwegs brauchbare Leitungen (glaube 1x 16Mbps DSL und einmal ca. 50) und eine FritzBox. WSUS ist meiner Meinung nach somit überflüssig, könnten sich die Kisten auch direkt von MS ziehen (einstellige Client-Zahl an beiden Standorten), VPN, DHCP und DNS sollen die FritzBoxen machen.

Somit müsste nur noch die eine Anwendung mit auf den virtuellen Server, Printserver würde ich weg lassen, geht auch ohne.

Wie ist da eure Meinung?

Eine Migration der beiden Server auf 2019 lohnt sich meiner Meinung nach nicht, Lizenzkosten zu hoch, Garantie haben sie auch keine mehr und als Rack-Geräte sind sie meiner Meinung nach sowieso völlig fehl am Platz.

 

[Masamune2]

Wozu dann noch nen eigenen AD betrieben? Azure AD wäre da wesentlich einfacher.