GateProtect Firewall konfigurieren

#1 Hi@all !
Ich habe folgendes Problem und würde Mich über hilfreiche Antworten freuen.
Der Server von GP ist aufgesetzt und funktioniert wunderbar. (macht er ja von alleine ). Die Clientsoftware tut auch ihren Dienst. Das Problem ist, das Ich noch nicht so ganz durchgestiegen bin wie Ich sie genau konfigurieren kann. Das Netzwerk hat drei Bereiche: Router/Schulung/Mitarbeiter. Abgesehen vom Router haben die beiden anderen Gruppen jeweils einen Domaincontroller. Nun treten die Probleme auf. 1.Wie verteile Ich die Rechte zwischen Clients und dem Server einer Domaine und wie ist das mit den Rechten wenn die gesamte Domaine in einer Gruppe ist? 2.Was mache Ich mit den Druckern, sie sollen von allen Rechnern aus erreichbar sein(natürlich nur zum Drucken)? Und zum Schluss: Gibt es irgendwo eine Anleitung was die einzelnen Regeln bedeuten? Die meisten sind ja klar aber was bringt es z.B. Netbios nur in eine Richtung zu erlauben? So, das war es erstmal. Ich danke euch im vorraus für eure Hilfe.

so Long...

Olli[/b]

#2 tja. gateprotect ist ne prima firewall.
nur überfordert dein vorhaben meine begrenzten kenntnisse mit dieser firewall.
habe nur einen rechner per isdn ins netz gebracht.
musst einfach mal schauen- irgendwogeht das bestimmt.....

#3 Deine Anforderung ist nicht wirklich schwer durchzusetzen.
Du solltest die zwei Netze als Netzwerksymbole (Gruppensymbol mit dem Status Netzwerk) definieren, dann kannst du die Entsprechenden Freigaben machen.

z.B. Sieht deine Konfiguration jetzt so aus:
Internetsymbol (deine Routerverbindung)
Gruppensymbol "Schulung" - Adresse: 192.168.1.0/255.255.255.0
Gruppensymbol "Mitarbeiter" - Adresse: 192.168.2.0/255.255.255.0



Die beiden Gruppensymbole haben eine Verbindung zum Internetsymbol. Dort sind die Standard Webdienste eingebunden (HTTP,FTP,POP...)

Wichtig für dein Vorhaben ist die gelbe Verbindung, hier solltest du die Dienste: Kerberos, LDAP, NetBIOS integrieren, damit die Windowsmaschinen untereinander kommunizieren können (Verzeichnisfreigaben und Domänenanmeldung)
Hinweis: Im lokalen Netz brauchst du kein NAT und bei "Aktion" kannst du einen Doppelpfeil einstellen (so wie die Standardregel aussieht)

Wenn du jetzt in deinen Windowsexplorer (Dateiexplorer) eine Windows IP aus dem Anderen Netzsegment eingibst, dann kannst du auf alle Freigaben zugreifen (Verzeichnisse und Drucker)
Beispiel: Du bist im Netz "Schulung" und möchtest auf einen Rechner im Netz "Mitarbeiter" zugreifen. Du gibst in die Adresszeile folgendes ein:

Zitat

\\192.168.2.123\Freigabe\

Beachte: Die Windows Namensauflösung funktioniert hier nicht direkt, da Windows seine Namen über Broadcasts verteilt (bleiben an Routern und damit an der Firewall hängen) oder über Domaincontroller.
Damit sind wir schon bei deiner nächsten Frage, für die Domaincontroller:
Du musst die beiden Domaincontroller dazu bringen den jeweils Anderen als trusted Zone zu akzeptieren, das ganze funktioniert natürlich nur über die IP des Anderen Systems (siehe oben). Leider kenne ich mich mit Windows Servern nicht so gut aus, dass ich dir jeden einzelnen Menüpunkt erläutern könnte...
Wenn du bei Mitarbeiter nur wenige Rechner hast (oder bei Schulung) kannst du dir einen Domaincontroller sparen, wenn du den jeweiligen Rechnern per c:\Windows\system32\drivers\etc\lmhosts die Domäne bekannt machst (wieder über IP).

Generell sollte dir eine google oder Microsoft KB Suche weiterhelfen.

Hinweis: Wenn du Windows XP Kisten in deinem LAN hast, solltest du zu Testzwecken die Firewall von SP2 abschalten und später entsprechend konfigurieren.
Windows lässt im ersten Moment nur Zugriffe aus dem eigenen Subnetz zu.

#4 Hallo! Danke für die Antworten!
@BSteffen, danke für die detalierte Hilfe. Mittlerweile habe Ich die Firewall soweit konfiguriert, ähnlich wie Du es beschrieben hast. Zum testen habe ich einfach mal den Pingbefehl (Netzwerkübergreifend) gespert bzw. freigegeben. Witzigerweise hatte das keine Auswirkungen. Ich konnte bei deaktivierten Ping für Mitarbeiter- und Schulnetz immernoch munter umherpingen. Kann es sein das das mit den Switches bzw. Hub`s zu tun hat? nu ja, Ich werde noch etwas rumtesten, da ich jetzt bis Anfang Januar aufschub bekommen habe. Der Weinachtsboom im IT-Bereich hat jedemenge Vorzüge ! Nochmals danke und wenn noch etwas einfällt bitte posten!

so Long...

Olli

#5 Logischerweise kannst Du mit dem Verbieten des Ping-Befehls nur Pings blockieren, die durch die Firewall gehen.
Also von Schulung nach Mitarbeiter und umgekehrt.

#6 @all
Danke für die Tips. Habe die Firewall fertig konfiguriert. Nach anfänglichen Problemen funktioniert nun alles wunderbar. Ich habe mich einfach an die Grundlagen einer Firewall erinnert und schon hat es funktioniert. Back to the Roots!!!