Forefront TMG in DMZ, Domänenanbindung?

Hallo

Ich würde gerne einen Forefront TMG Server als VPN-Anmeldeserver (und nur als das) in der DMZ platzieren. Da sich dort Domänenuser anmelden müssen, muss irgendwie eine Verbindung zu ActiveDirectory bestehen.

Gibt es da BestPractices das zu lösen? Im Internet finde ich sehr unterschiedliche Meinungen dazu.
Mir fällt da z.B. RDOC ein? oder soll ich die Firewall dermassen öffnen (das sind ja sehr viele Ports), dass DC und TMG ihre AD Informationen austauschen können?

Grüsse
Michael