07.06.2016, aktualisiert um 15:08:47 Uhr

4795

IP Adressen in DMZ von DHCP in LAN

gelöstFrage Netzwerke LAN, WAN, Wireless

Moin

Ich spiele momentan mit dem Gedanken eine DMZ einzurichten. Jetzt habe ich eine ganz grundlegende Frage.
Ich habe einen DC mit DHCP und DNS.. Diesen würde ich ja im LAN lassen. Ich würde allerdings gerne die IP-Adressverteilung für die DMZ vom DC aus machen sowie die AD Credentials nehmen um mich anzumelden. Sehe ich das richtig, dass dies nicht möglich ist? Ausser ich würde dem DC eine zweite NIC verpassen und die eine ins LAN packen und die andere in die DMZ. Was aber Sicherheitstechnisch total idiotisch wäre?

LG Luca

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 306418

Url: https://administrator.de/forum/ip-adressen-in-dmz-von-dhcp-in-lan-306418.html

Ausgedruckt am: 22.04.2025 um 00:04 Uhr

9 Kommentare

Neuester Kommentar

Diesen würde ich ja im LAN lassen.

Bei einem Windows OS ist das auch besser so...

Etwas ungewöhnlich für eine DMZ wo es meistens um statische IP Adressen geht. Allein schon wenn IP Port Forwarding oder ACL dort im Einsatz sind da wären dynamische IP Adressen ziemlich kontraproduktiv. Es sei denn du machst ein DHCP Mac Nailing also die IP Adresse fest auf die Hardware Mac bezogen.

Generell ist das natürlich technisch sehr einfach machbar. Was du dafür brauchst ist ein UDP Forwarder oder DHCP Relay oder wie man es auch immer nennt, der die DHCP Requests aus anderen IP Segmenten an den DHCP Server forwardet.
Bei Routern wird das auch oft ip helper address genannt.
Wie gesagt...nicht unbedingt üblich in einer DMZ.

Sehe ich das richtig, dass dies nicht möglich ist?

Nein, das siehst du grundsätzlich vollkommen falsch. Vermutlich aber fehlen dir da wohl die technischen Backgrounds ?!

Ausser ich würde dem DC eine zweite NIC verpassen

Tödlich für eine DMZ die dann natürlich keine mehr ist über so eine gefährlich Backdoor ! Absolutes NoGo wenn du eine DMZ einrichten willst die nur ansatzweise den Namen verdient.

Was aber Sicherheitstechnisch total idiotisch wäre?

Du hast es erfasst !!

Moin,

lies dir diesen Artikel bitte einmal aufmerksam durch. Dann wirst du evtl. selbst verstehen, wo dein "Denkfehler" ist.

Gruß Krämer

Zitat von @aqui:
Etwas ungewöhnlich für eine DMZ wo es meistens um statische IP Adressen geht.

Mir geht es hier einzig und alleine darum die IPs statisch zu vergeben ohne das an jedem Gerät einzeln zu machen.

Es sei denn du machst ein DHCP Mac Nailing also die IP Adresse fest auf die Hardware Mac bezogen.

Du hast es erfasst

Könnte ich logischerweise z.B. auch an einem Router machen. Es wäre aber schön gewesen alles zentral regeln zu können.

Es hat klick gemacht, danke!

Danke dir

Du bist dir aber bewusst, das du damit das DMZ-Gebilde aufreißt, und dieses irgendwie absichern musst?

Zitat von @Kraemer:
Du bist dir aber bewusst, das du damit das DMZ-Gebilde aufreißt, und dieses irgendwie absichern musst?

Ja, wie bereits gesagt hat es nun klick gemacht

Ich dachte mir ja bereits schon, dass es nicht geht ohne ein Loch aufzutun.
Siehe mein Startpost

LG Luca

AH OK - ich dachte es hätte an anderer Stelle bei dir geklickt

Es wäre aber schön gewesen alles zentral regeln zu können.

Es spricht ja nichts dagegen das so zu machen. Der UDP Forwarder oder DHCP Relay ist dein freund hier !

Ich dachte mir ja bereits schon, dass es nicht geht ohne ein Loch aufzutun.

Das ist ja Unsinn solange du den Relay verwendest und nicht eine 2te NIC als Bypass !

Zitat von @aqui:
Das ist ja Unsinn solange du den Relay verwendest und nicht eine 2te NIC als Bypass !

Und dabei noch einige andere Sachen beachtest, wie die richtige und restriktive Konfiguration der Firewall, die Bindung der Dienste an IP-Adressen, usw. usw. usw.