139078
Goto Top

Domänen Migration von Firma.de auf Firma.local

Hallo alle Zusammen,
ich habe im Januar ein Netzwerk als Admin übernommen welches als interne Domäne firma.de untzer WIndows 2008 nutzt. Ich möchte das ganze auf saubere Beine stellen und eine neue Domäne firma.local unter windows 2019 aufbauen.

Hier mal eine kleine Übersicht über die aktuelle Struktur:

Zwei Standorte per VPN verbunden
Zwei DCs im Standort 1 inkl. DNS. DHCP läuft in jedem Standort über die Firewall
Standort 2 hat keinen DC.

Standort1 :
zwei LANs: 192.168.1.0/24 und 172.17.7.0/24
In Standort 1 mehrere Windows Server mit den unterschiedlichsten Funktionen im 192.168.1.0 Netz und mehrere Linux Server mit LDAP Anbindung im 172.17.7.0 Netz
Clients über alle Netze verstreut.
Eine DMZ in der mehrere Dienste (Chat, etc.) laufen

Standort 2:
ein LAN 172.23.0.0/24, hier sind nur ein paar Clients und Drucker drin.

Mein Gedanke war als ersten ein neues LAN aufzumachen was über die Firewall abgetrennt wird und dort die Domäne mit allen Funktionen DNS, DHCP, WINS, etc aufzusetzten.
Wenn das Ganze läuft wollte ich eine bidirektionale Vertrauensstellung zwischen den Domänen aufbauen und die Userkonten, Clients und Drucker in die neue Domäne umziehen.
Anschließend die Server umziehen und alles Letztes die LINUX Server umziehen und das LDAP neu verbinden.

Wie ist eure Meinung dazu? Würdet ihr es anders machen? Bin für jeden Tipp und Hinweis dankbar.

Content-Key: 433207

Url: https://administrator.de/contentid/433207

Printed on: April 16, 2024 at 21:04 o'clock

Member: falscher-sperrstatus
falscher-sperrstatus Mar 27, 2019 at 07:16:48 (UTC)
Goto Top
Warum willst du denn einen schritt zurück gehen? Firma.de ist immer besser als Firma.local.

Mehr noch, Firma. Local spricht dafür, dass du in den 2000ern fest hängst.

VG
Member: SeaStorm
SeaStorm Mar 27, 2019 updated at 07:22:56 (UTC)
Goto Top
Zitat von @139078:

Hallo alle Zusammen,
hi
ich habe im Januar ein Netzwerk als Admin übernommen welches als interne Domäne firma.de untzer WIndows 2008 nutzt.
ist doch super
Ich möchte das ganze auf saubere Beine stellen und eine neue Domäne firma.local unter windows 2019 aufbauen.
wat? Warum sollte man? .local ist schon seit Jahren nicht mehr gängig und verstößt gegen die Best-Practices.
.de ist super und sollte auch so bleiben.


Zwei DCs im Standort 1 inkl. DNS. DHCP läuft in jedem Standort über die Firewall
Standort 2 hat keinen DC.


Standort1 :
zwei LANs: 192.168.1.0/24 und 172.17.7.0/24
Standort 2:
ein LAN 172.23.0.0/24

Wenn das Ganze läuft wollte ich eine bidirektionale Vertrauensstellung zwischen den Domänen aufbauen und die Userkonten, Clients und Drucker in die neue Domäne umziehen.
1. Nein
2. Nur wenn da kein Exchange läuft
Wie ist eure Meinung dazu? Würdet ihr es anders machen? Bin für jeden Tipp und Hinweis dankbar.
Ich würde die Domäne so lassen wie sie ist.
Gib dem 2. Standort einen RODC mit eigenem DNS und DHCP.
Löse das 192.168.1 Netz auf und migriere das alles in ein neues 172.17 Netz.

und dort die Domäne mit allen Funktionen DNS, DHCP, WINS, etc aufzusetzten.
WINS ? Echt jetzt? Gibts wirklich noch jemand der das nutzt?

WENN du was an der Domäne änderst, dann, das ihr sowas wie AD.FIRMA.DE nutzt um beim Splitdns mit der Website keine Probleme bekommt
Member: emeriks
emeriks Mar 27, 2019 updated at 07:18:51 (UTC)
Goto Top
Hi,
man kann zwar intern auf "local" als TLD für AD Domänen nutzen, aber man sollte es nicht mehr tun. Mögliche Probleme in der Interoperabilität mit Geräten und Software anderer Hersteller wären dann nicht ausgeschlossen.

Weiterhin:
Inwiefern wird das Ganze "sauberer", wenn Du von ".de" auf eine anderer TLD änderst? Musst Du mit Macht Zeit und Geld totschlagen?

E.
Member: sk
sk Mar 27, 2019 at 07:21:21 (UTC)
Goto Top
Überprüfe mal Deiben Kenntnisstand.
Den öffentlichen Adressraum auch intern zu nutzen ist seit einigen Jahren sogar empfohlen (z.B. ad.firma.de).
".local" ist m.W. jedenfalls eine schleche Idee, da reservierter Adressraum für mDNS.

Gruß
sk
Member: Lochkartenstanzer
Lochkartenstanzer Mar 27, 2019 updated at 07:27:10 (UTC)
Goto Top
Moin,

Bevor Ihr auf den TO lostretet solltet Ihr bedenken, daß vielleicht die "Firma.de" von jemandem eingerichtet wurde, der keine Ahnung von DNS hat nicht darauf geachtet hat, daß entweder die Domain auch reserviert wurde oder sauber in dire DNS-Struktur eingebunden wurde oder vielleicht gar jemand anderem gehört.

Daß man aktuell keine .local-Domains mehr einrichtet ist zwar richtig, aber es wäre sicher interessant zu wissen, warum die .de-domain geändert werden soll/muß.

lks
Member: falscher-sperrstatus
falscher-sperrstatus Mar 27, 2019 at 07:48:50 (UTC)
Goto Top
Zitat von @Lochkartenstanzer:

Moin,

Bevor Ihr auf den TO lostretet solltet Ihr bedenken, daß vielleicht die "Firma.de" von jemandem eingerichtet wurde, der keine Ahnung von DNS hat nicht darauf geachtet hat, daß entweder die Domain auch reserviert wurde oder sauber in dire DNS-Struktur eingebunden wurde oder vielleicht gar jemand anderem gehört.

Daß man aktuell keine .local-Domains mehr einrichtet ist zwar richtig, aber es wäre sicher interessant zu wissen, warum die .de-domain geändert werden soll/muß.

lks

Moin LKS,

wie du sicher weisst, braucht man bei 99% der Eröffnungen hier im Forum gar nichts mehr sagen, da schlicht die Infos fehlen. Ob der Vorgänger nicht das Know How hatte, oder seines Veraltet war werden wir - wenn - sowieso nur sehr sehr bedingt einsehen können. Was aber Fakt ist: .de ist optimaler (Störung, Best Practice) als .local, das wars auch schon. Alles andere ist Glaskugeln saubermachen face-wink
Member: Bem0815
Bem0815 Mar 27, 2019 updated at 09:08:31 (UTC)
Goto Top
Ich kann nicht wirklich zustimmen, dass man noch in den 2000ern festhängen sollte wenn man Firma.local verwendet.
Das ganze ist für mich eher eine Frage der technischen Gegebenheiten.

Nehmen wir mal an ich habe einen öffentlichen DNS Eintrag für Firma.de
Nun habe ich für die Firma auch eine Webseite, diese hoste ich allerdings nicht auf meinen eigenen Servern in der Firma sondern nutze hier einen externen Server.

Das kommt ja eigentlich häufig vor. Der DNS Eintrag für Firma.de verweist also auf einen externen Server.

In diesem Szenario bekomme ich ggfs. Probleme von innerhalb meiner Firma die Webseite richtig aufzulösen, wenn die Interne Domäne den exakt gleichen Namen hat.

Wenn man in diesem Fall schon eine in diesem Fall .de verwenden möchte dann sollte man die Interne Domäne lieber z.B. intra.firma.de nennen.

Spätestens wenn man in der Firma z.B. noch eine UTM hat und hier einen Proxy + WPAD benutzt mit der Regel, dass alles interne den Proxy umgehen soll (Firma.de) hat man sich hier ganz schnell ein Eigentor geschossen.
Member: falscher-sperrstatus
falscher-sperrstatus Mar 27, 2019 at 09:05:01 (UTC)
Goto Top
Zitat von @Bem0815:

Ich kann nicht wirklich zustimmen, dass man noch in den 2000ern festhängen sollte wenn man Firma.local verwendet.
Das ganze ist für mich eher eine Frage der technischen Gegebenheiten.

Nehmen wir mal an ich habe einen öffentlichen DNS Eintrag für Firma.de
Nun habe ich für die Firma auch eine Webseite, diese hoste ich allerdings nicht auf meinen eigenen Servern in der Firma sondern nutze hier einen externen Server.

Das kommt ja eigentlich häufig vor. Der DNS Eintrag für Firma.de verweist also auf einen externen Server.

In diesem Szenario bekomme ich ggfs. Probleme von innerhalb meiner Firma die Webseite richtig aufzulösen, wenn die Interne Domäne den exakt gleichen Namen hat.

Wenn man in diesem Fall schon eine in diesem Fall .de verwenden möchte dann sollte man die Interne Domäne lieber z.B. intra.firma.de nennen.

Nunja, für mich (und wohl einige hier) war klar, dass dies mit einer Subdomain zu lösen ist. und firma.de ist da nur symptomatisch.
Member: Lochkartenstanzer
Lochkartenstanzer Mar 27, 2019 at 09:10:32 (UTC)
Goto Top
Zitat von @Bem0815:

in diesem Fall schon eine in diesem Fall .de verwenden möchte dann sollte man die Interne Domäne lieber z.B. intra.firma.de nennen.

Spätestens wenn man in der Firma z.B. noch eine UTM hat und hier einen Proxy + WPAD benutzt mit der Regel, dass alles interne den Proxy umgehen soll (Firma.de) hat man sich hier ganz schnell ein Eigentor geschossen.

Den Kollegen heir sagst du da nichts neues, das intern.firma.de oder lokation.firma.de statt firma.de genommen werden sollte. Das setzen hier alle mehr oder weniger implizit voraus.

lks
Mitglied: 139078
139078 Mar 27, 2019 at 09:26:16 (UTC)
Goto Top
Danke für die Infos.
Es liegt hier das Problem vor, das die Webseite bei 1und1 liegt. Und die Domäne nicht im Eigentum der Firma ist sondern einer zweiten Tochterfirma. Ich habe schon eine neue Domäne reserviert und würde dahin umziehen. Wenn ich dich richtig vestehe würde ich eher die Domäne intern.firma.de nutzen.
Das bestätigt mich in meinem Vorgehen.
Es macht schon Sinn eine neue Domäne aufzubauen, da im der alten AD so viel Schrott drin ist, daß man erst mal ein Jahr aufräumen müsste.
Member: emeriks
emeriks Mar 27, 2019 updated at 17:43:34 (UTC)
Goto Top
Zitat von @139078:
Es liegt hier das Problem vor, das die Webseite bei 1und1 liegt. Und die Domäne nicht im Eigentum der Firma ist sondern einer zweiten Tochterfirma. Ich habe schon eine neue Domäne reserviert und würde dahin umziehen. Wenn ich dich richtig vestehe würde ich eher die Domäne intern.firma.de nutzen.
Es macht schon Sinn eine neue Domäne aufzubauen, da im der alten AD so viel Schrott drin ist, daß man erst mal ein Jahr aufräumen müsste.
Das mit dem Namen ... ja ok. Obwohl auch dann kein zwingendes Muss.
Das mit dem "viel Schrott drin" allein wäre aber für mich niemals ein Anlass. Entweder ist das AD funktionstüchtig oder nicht.
Wenn nicht und man bekommt es nicht repariert - dann kann es mal "so richtig richtig" machen.
Wenn funktionstüchtig, dann reicht ein Aufräumen allemal aus, ohne die ganzen Folgeaufwände und -kosten, welche eine neuen Gesamtstruktur mit sich bringen.
Member: falscher-sperrstatus
falscher-sperrstatus Mar 27, 2019 at 13:05:05 (UTC)
Goto Top
Zitat von @emeriks:

Zitat von @139078:
Es liegt hier das Problem vor, das die Webseite bei 1und1 liegt. Und die Domäne nicht im Eigentum der Firma ist sondern einer zweiten Tochterfirma. Ich habe schon eine neue Domäne reserviert und würde dahin umziehen. Wenn ich dich richtig vestehe würde ich eher die Domäne intern.firma.de nutzen.
Es macht schon Sinn eine neue Domäne aufzubauen, da im der alten AD so viel Schrott drin ist, daß man erst mal ein Jahr aufräumen müsste.
Das mit dem Namen ... ja ok. Obwohl auch dann kein zwingendes Muss.
Das mit dem "viel Schrott drin" allein wäre aber für mich niemals ein Anlass. Entweder ist das AD funktionstüchtig oder nicht.
Wenn nicht und man bekommt es nicht repariert - dann kann es mal "so richtig richtig" machen.
Wenn funktionstüchtig, dann reicht ein Aufrüumen allemal aus, ohne die ganzen Folgeaufwände und -kosten, welche eine neuen Gesamtstruktur mit sich bringen.

Pauschal das zu sagen ist gefährlich. Wer weiss, welche Rechtemängel sich in alten Konstrukten befinden. Außerdem hat sich über die Jahre doch das eine oder andere geändert. Man muss da nur kleine Dinge begutachten, wie einen frisch installierten Browser zu einem aktuellen. Fällt mir sowohl bei FF als auch bei Chrome auf. Beispielsweise die Backslash-Taste, mit der man früher problemlos zurücknavigieren konnte...
Member: emeriks
emeriks Mar 27, 2019 at 14:49:28 (UTC)
Goto Top
Zitat von @falscher-sperrstatus:
Pauschal das zu sagen ist gefährlich. Wer weiss, welche Rechtemängel sich in alten Konstrukten befinden. Außerdem hat sich über die Jahre doch das eine oder andere geändert. Man muss da nur kleine Dinge begutachten, wie einen frisch installierten Browser zu einem aktuellen. Fällt mir sowohl bei FF als auch bei Chrome auf. Beispielsweise die Backslash-Taste, mit der man früher problemlos zurücknavigieren konnte...
Was sind Rechtemängel?
Und was haben Webbrowser mit diesem Thema zu tun?
Member: BassFishFox
BassFishFox Mar 27, 2019 at 17:05:35 (UTC)
Goto Top
Und schon hat er/sie/es sich abgemeldet.

Wenn sich die Verweildauern vom "Neuen" in diesem Zeitraum einpegeln, braucht sich @Frank keine Sorgen ueber den Krampf hier machen. ;)

BFF
Member: falscher-sperrstatus
falscher-sperrstatus Mar 28, 2019 at 06:30:30 (UTC)
Goto Top
eigentlich nur einfacher AzubiBenutzer wurde vom Chef, um kleinesProblemZ zu lösen zum Admin gemacht. (das kann sich durch ganze Rechtestrukturen ziehen und ist ab und zu nicht so trivial wie hier dargestellt.).

Einfaches Beispiel, dass sich mit Versionen (Sicherheitstechnische) Grundeinstellungen stark ändern können. Diese von alt auf neu anzupassen kann bzw wird bei solchen, wohl relativ kleinen, Umgebungen mehr Aufwand kosten, als eine neu Konzeption.
Member: emeriks
emeriks Mar 28, 2019 at 07:02:58 (UTC)
Goto Top
Zitat von @falscher-sperrstatus:
eigentlich nur einfacher AzubiBenutzer wurde vom Chef, um kleinesProblemZ zu lösen zum Admin gemacht. (das kann sich durch ganze Rechtestrukturen ziehen und ist ab und zu nicht so trivial wie hier dargestellt.).
Du meinst hier aber sicher NTFS?

Einfaches Beispiel, dass sich mit Versionen (Sicherheitstechnische) Grundeinstellungen stark ändern können. Diese von alt auf neu anzupassen kann bzw wird bei solchen, wohl relativ kleinen, Umgebungen mehr Aufwand kosten, als eine neu Konzeption.
Konkretes Beispiel?

Der Azubi warst aber nicht Du? face-wink
Member: falscher-sperrstatus
falscher-sperrstatus Mar 28, 2019 at 07:14:59 (UTC)
Goto Top
Zitat von @emeriks:

Zitat von @falscher-sperrstatus:
eigentlich nur einfacher AzubiBenutzer wurde vom Chef, um kleinesProblemZ zu lösen zum Admin gemacht. (das kann sich durch ganze Rechtestrukturen ziehen und ist ab und zu nicht so trivial wie hier dargestellt.).
Du meinst hier aber sicher NTFS?

Nicht unbedingt, das können auch sämtliche andere Dienste sein, die sich an Rechtegruppen bedienen. Nutzt Ihr Gruppen nur für Fileshares?

Einfaches Beispiel, dass sich mit Versionen (Sicherheitstechnische) Grundeinstellungen stark ändern können. Diese von alt auf neu anzupassen kann bzw wird bei solchen, wohl relativ kleinen, Umgebungen mehr Aufwand kosten, als eine neu Konzeption.
Konkretes Beispiel?

Der Azubi warst aber nicht Du? face-wink

Nene, als ich Azubi war, durfte ich dort erstmal ein Rechtekonzept erstellen, bzw hab es damals erstellt.
Member: emeriks
emeriks Mar 28, 2019 updated at 13:18:03 (UTC)
Goto Top
@certifiedit.net
Ich will da auch nicht drauf rumreiten.
Ich meine nur, dass man hier viel zu oft liest: "alles neu machen" damit es mal "so richtig sauber" wird, o.ä.. Die Folgen und die daraus resultierenden, meistens vollkommen unnötigen Aufwände werden dabei gerne unter den Tisch gekehrt.
Ich kann von mir behaupten, dass ich mir mein Know-How vor allem dadurch erarbeitet habe (und immer noch erarbeite), dass ich mir die Fälle genau ansehe und versuche zu verstehen, warum etwas ist wie es ist. Und dann gezielt gegensteueren, wenn nötig. Aus der Erfahrung heraus kann dann sicher auch mal die eine oder andere Entscheidung "neu machen" lauten, wegen Aufwand-Nutzen-Verhältnis. Aber das kommt eher selten vor.
Member: falscher-sperrstatus
falscher-sperrstatus Mar 28, 2019 at 09:44:16 (UTC)
Goto Top
Zitat von @emeriks:

@certifiedit.net
Ich will da auch nicht drauf rumreiten.
Ich meine nur, dass man hier viel zu oft liest: "alles neu machen" damit es mal "so richtig sauber" wird, o.ä.. Die Folgen und die daraus resultierenden, meistens vollkommen unnötigen Aufwände werden dabei gerne unter den Tisch gekehrt.
Ich kann vom mir behaupten, dass ich mir mein Know-How vor allem dadurch erarbeitet habe (und immer noch erarbeite), dass ich mir die Fälle genau ansehe und versuche zu verstehen, warum etwas ist wie es ist. Und dann gezielt gegensteueren, wenn nötig. Aus der Erfahrung heraus kann dann sicher auch mal die eine oder andere Entscheidung "neu machen" lauten, wegen Aufwand-Nutzen-Verhältnis. Aber das kommt eher selten vor.

Willst nicht drauf rumreiten, aber tust es trotzdem?

Nun, ich könnte hier Seitenweise schreiben, was ich schon an Netzen vor fand. Will ich aber nicht, natürlich gibt es einige Szenarien, in denen sich der Kunde scheut alles neu zu machen, aus der Erfahrung heraus - und, wenn man es "gescheit" macht, kostet das aber mehr, als das neu machen. Ist natürlich proportional zur Anzahl der eingebundenen Systeme, da geb ich dir Recht - aber bei der größere der Systeme ergibt sich (hoffentlich auch eine andere Fragestellung).

Nebenbei: Wie immer gilt, das Forum hier ist sowieso der falsche Platz für eine fundierte Antwort, es gibt ggf. Ansätze, diese zu Tode diskutieren wurde hier oft genug getan. Führte effektiv bisher zu wenig.
Member: emeriks
emeriks Mar 28, 2019 at 13:25:19 (UTC)
Goto Top
Zitat von @falscher-sperrstatus:
Willst nicht drauf rumreiten, aber tust es trotzdem?
Tja... Hä?
.... kostet das aber mehr, als das neu machen. Ist natürlich proportional zur Anzahl der eingebundenen Systeme, da geb ich dir Recht - aber bei der größere der Systeme ergibt sich (hoffentlich auch eine andere Fragestellung).
Ich versuche diesen versuchten Satz mal so zu verstehen, dass Du mir zustimmst. face-smile