Serverstrategi - behöver råd...

Teoretiskt låter det som en utmärkt setup så inget att invända i sak. Personligen är jag nog lite fegare och vill inte gärna ha min filserver direkt exponerad mot nätet. Därför kör jag hellre firewall i en extern burk.

Jag vet ju inte exakt vilka problem du haft med att låta din server agera DNS i det interna nätet. Ett tips är att inte konfigurerar DNS:en med Apples egna verktyg för det fungerar riktigt dåligt.

Vi kör själva en kombination av namn som bara finns internt och sådana som ligger i publika DNS:er och det fungerar utmärkt.

Jag tycker det låter jättebra - det är väl så Apple vill att man kör?

Ge servern ett fast ip på det interna nätet. Se till att din server är DNS för datorerna på det interna nätet. Lägg in intern.foretaget.se i din servers DNS. Ställ in DNS:en så att den i sin tur frågar er ISP:s DNS vid uppslagning av externa domäner inklusive foretaget.se. Sen borde det rocka.

Servern får inte sitt IP via DHCP. Du ger servern ett fast IP på det interna nätet. Ställ in Firewall/DHCP-burken att dela ut delar av det interna adressintervallet. Sedan ger du servern ett fast IP utanför detta. Firewall/DHCP-burken delar sedan ut serverns interna fasta IP som primär DNS och er ISP som sekundär.

OBS! Vi har haft vissa problem med Windows-burkar som hoppat över på den sekundära DNS:en och därmed tappat kontakten med de interna adresserna, men i teorin borde det funka. Om det händer får man ta bort den sekundära servern och leva med risken att DNS stannar om servern går ner.

Inte svårt alls, vanligaste är att man ställer DNS daemonen på brandväggen att alltid fråga servern om det är adresser som den inte vet (kan även ha andra som sekundär för att inte stanna om servern dött), vilket gör att alla DNS uppslagg som inte är cachade går genom servern. Då får brandväggen rätt uppgifter och servern avlastas en massa onödiga DNS uppslag.

Fördelen (beroende på setup självklart) är att med en lösning som dnsmasq så får du även namn som klient1.internal.företag.tld på alla klienter oavset vad för IP som de har, detta namn följer de runt om du sedan ställer att DHCPn skall dela ut servern som sekundär DNS server så kan du tappa antingen FW maskinen eller Servern och klienterna märker väldigt lite, endast de tjänster som har antingen fw eller server som single point of failiure dör.

För hemmabruk skulle jag köra så här, och har kört liknande lösningar.. för ett företag (även ett litet) så är det lite för mycket av alla ägg i en korg för min del.

Tappar du servern tappar du DNS, internet access samt disk och AD funktioner..

Personligen hade jag delat upp det i 3 delar, en router/brandvägg kombination som kan göras gratis beroende på budget, servern som hanterar AD och en NAS låda för disk hanteringen..

Disk och server går ju att kombinera om en NAS låda är för dyr, men brandväggen och router funktionen skulle jag som sagt dela på. Går att få mycket smidiga lösningar med exempelvis dnsmasq som fixar split horizon DNS så du kan köra internal.företag.tld för intärna saker samt ha externa pekare för den delen med (kan även filtrera DNS så reklam/spam sidor resolvas som ej existerande och DDNS för klienter som får IP av DHCP serven i dnsmasq)

Men framför allt så har du fysisk separation på delarna för säkerhet, så även om du lyckas ställa in något galet så innebär det inte automatiskt att en elaking har access till datan som du har på filservern..

Beror helt på budget och vilken form av support som ni vill ha på lösningen..

Då var det ju bara support delen kvar och den brukar ju vara 99% av beslutet, om det är du som skall drifta och supporta eller om de har någon intärn och vill handla en paketerad lösning etc..