Domaines NT4 et 2000 au travers un firewall

Recherche :

Dernière réponse

Sujet : Domaines NT4 et 2000 au travers un firewall

Vincelechacal

kfman a écrit :

Bon ben t'a tout pété apparemment... :o
Au moins j'y aurais participé. [:ddr555]

ahhahahaha

non non, jérienpété !

j'étais passé sur une seconde tâche, une histoire de baie de 4 To. (j'ai un gros disque dur de 3911 Go maintenant sous mon 2000 Server :d:d )

Bon, cette histoire de backupExec...
Je crois que je vais laisser tomber.

En tout cas, merci beaucoup de m'avoir aidé comme ca !
Je ne m'y attendais pas !
:jap:

Je pense que ca peut etre intéressant de continuer la discussion, si tant est qu'il y ait quelqu'un qui a la même situation.

Donc, a bientot !

:bounce: :bounce:

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

Vincelechacal

kfman a écrit :

Bon ben t'a tout pété apparemment... :o
Au moins j'y aurais participé. [:ddr555]

kfman

Bon ben t'a tout pété apparemment... :o
Au moins j'y aurais participé. [:ddr555]

Vincelechacal

kfman a écrit :

La requête traverse le firewall ou pas ?

Pour l'instant, je n'en suis pas sûr du tout.

Je cherche à loguer mon iptables.

Ca arrive, ca arrive :)

kfman

La requête traverse le firewall ou pas ?

Vincelechacal

kfman a écrit :

Bah alors... [:le kneu]

bah alors bah alors rien du tout

:pfff: :pfff:

kfman

Bah alors... [:le kneu]

Vincelechacal

kfman a écrit :

Tu prends 1.17 en ping au fait, à partir de 0.1 ?

oui oui, bien sur.

De 10.0.0.1, je pingue :
192.168.1.17
nom_machine_en_192.168.1.17

Et de 192.168.1.17, je pingue :
10.0.0.1
nom_machine_en_10.0.0.1

Là, je cherche à avoir des logs de mon firewall (iptables)

kfman

Tu prends 1.17 en ping au fait, à partir de 0.1 ?

Vincelechacal

serveur a écrit :

[:rarules] lirai tout à l'heure

Et pour que ca aille plus vite pour toi, j'ai posté un rappel des faits un peu plus haut sur cette page.

Vincelechacal

serveur a écrit :

[:rarules] lirai tout à l'heure

ok ;)

:sleep:

serveur

[:rarules] lirai tout à l'heure

kamui36

Spud a écrit :

euh, on ne parle pas de dns

scusez-moi, suis sur un autre post avec des dns :p

mais bon pour les dial, serveurs-client, c kand mm udp car plus rapide et moisn astreignat

kfman

C'est quand même fou ton histoire...

Vincelechacal

kfman a écrit :

Sinon t'en es où de tes essais ?

Ben ca marche keudale

Visiblement, mon 10.0.0.1 va bien interroger 192.168.1.17, mais non seulement il n'y a aucune réponse, mais je crois que la question n'arrive pas à destination.
:cry:

kfman

Sinon t'en es où de tes essais ?

Vincelechacal

Spud a écrit :

et si tu achetais un lecteur de sauvegarde pour ton nt4 en dmz....... ;)

Je vais plutot faire un script qui va copier en local sur mon 10.0.0.44

Vincelechacal

kfman a écrit :

Au fait faire passer dns (53 udp) ne serait pas une mauvaise idée... [:itm]

Humm, ca passe déjà ca :)

kfman

Au fait faire passer dns (53 udp) ne serait pas une mauvaise idée... [:itm]

Spud	et si tu achetais un lecteur de sauvegarde pour ton nt4 en dmz....... ;)

Vincelechacal

Spud a écrit :

euh, on ne parle pas de dns

Et de toute façon, ca ne marche pas mieux

Spud

kamui36 a écrit :

les dial entre dns sont en général fait par udp :lol:

euh, on ne parle pas de dns

kamui36

les dial entre dns sont en général fait par udp :lol:

Spud

vincelechacal a écrit :

mon firewall n'est ouvert qu'en TCP.

Ne me dis pas que...

et si :D, il y a de l'udp aussi

Vincelechacal

kfman a écrit :

As-tu fait attention à TCP, UDP pour les réglages du firewall ?

http://www.microsoft.com/windows20 [...] r_simw.asp

mon firewall n'est ouvert qu'en TCP.

Ne me dis pas que...

kfman

As-tu fait attention à TCP, UDP pour les réglages du firewall ?

http://www.microsoft.com/windows20 [...] r_simw.asp

Vincelechacal

Bon, alors j'ai du nouveau.

J'ai mis ethereal sur les 2 serveurs Wins :
10.0.0.1 et 192.168.1.17

J'ai bien renseigné ces deux serveurs en référant leur serveurs Wins respectifs.

Sur 10.0.0.1, quand je veux voir WORKGROUP, je constate qu'il envoie bien la requete à 192.168.1.17 (et non plus à 10.0.0.255 comme hier).
Mais par contre, sur 192.168.1.17, je n'ai pas de trace de cette demande.

Je mets vraiment en cause le firewall...

J'essaie en l'ouvrant en grand.

Vincelechacal

brainbugs a écrit :

question...tu as bien installé les agents backupExec sur les machines à sauvegarder ?!

C'est justement pour installer les agents que j'ai besoin de ca.
Pour les installer, il demande de choisir le domaine, puis la machine.
Bon, c'est vrai, tu peux ecrire le domaine/machine à la main, ou mieux, tu peux installer l'agent directement en local sur la machine cible.

Mais c'est apres, dans le logiciel, pour sélectionner la machine à sauvegarder, il faut absoluement voir le domaine (ou groupe de travail).

Vincelechacal

kamui36 a écrit :

Tout serait bien plus simple si toutes tes machines se trouveraient dans le même ranch d'adresses IP :sarcastic:

A titre de curiosité, as-tu réellement besoin de mettre ton PDC en classe A ou bien as-tu réellement 2 puissance 24 machines sur ton réseau?

La solution de kfman devrais jouer normalement... si ce n'est pas le cas, faudrait faire des manipulations d'adresse IP afin de déterminer d'où vient le problème (firewall, PDC ou DMZ) et seulement après on pourrait résoudre ceci. :sweat:

non, je n'ai pas 2^24 machines dans mon LAN ;)

Quand je suis arrivé, les adresses etaient comme telles.
Et de toute façon, notre masque est de 255.255.255.0, non, no problemo.

De plus, je ne peux pas me permettre de commencer à changer les IPs des serveurs.
Je préfère encore faire un script qui copiera par xcopy en local sur mon serveur de sauvegarde :)

Vincelechacal

kfman a écrit :

D'accord... :o

Est-ce qu'en faisant ipconfig /all sur 10.0.0.44 il s'agit d'un noeud hybride ?

A mon avis monte un 2ème serveur WINS pour le réseau 192.168.1.x (sur 1.17 par exemple) qui va s'occuper de recueillir les infos pour ce réseau.

Ce serveur créé, configure le lui-même en WINS primaire. Sur ton client à sauvegarder (1.16), configure WINS pour qu'il s'enregistre sur 1.17

(De mémoire, je ne suis plus très sur pour ce qui suit.)

Puis, subtilité, dans les réglages WINS de 10.0.0.1, tu précises 10.0.0.1 en WINS primaire puis 192.168.1.17 en WINS secondaire.

Normalement 10.0.0.44 qui ne voit par WORKGROUP, doit envoyer sa demande sur 10.0.0.1. Lui même n'ayant pas l'info doit transmettre à 192.168.1.17 qui doit retourner la réponse correcte.

Sinon tu peux essayez de préciser l'adresse WINS de 1.17 sur 10.0.0.44 en WINS secondaire.

Au pire, créé une réplication entre les 2 serveurs WINS.

EDIT: As-tu bien coché la case "Activer Netbios avec TCP/IP" sous 2000 ?

Ok, merci pour toutes ces infos !
Désolé, j'ai pas pu me connecter hier soir pour continuer la discussion.
Je reprends pas plus tard que maintenant.

Alors, oui, "Activer Netbios avec TCP/IP" est bien coché.

Je vais essayer l'histoire des 2 serveur Wins, un de chaque coté, et la référence en tant que Wins secondaire.
Ca me parait pas mal, et logique avec le résultat d'ethereal.

brainbugs

question...tu as bien installé les agents backupExec sur les machines à sauvegarder ?!

Spud

kfman a écrit :

T'as pas une aide en ligne de 2k/nt ?
T'es en train de monter un 2ème WINS ? Dans ce cas implémente une réplication entre les 2.

T'as peut-être raison finalement, un serveur wins pour le lan et un pour la dmz. Chaque ordi de ces deux zones s'enregistre sur le wins de sa zone et ensuite réplication entre les deux wins.

Mais comme, ils ne sont pas dans le même domaine, je ne sais pas trop ce que va donner la réplication et si c'est faisable ....

kamui36

kfman

Vincelechacal

Alors, rappel des faits !

J'ai 4 serveurs.
2 en DMZ (on va les appeler dmz1 (192.168.1.17 en Win2000) et dmz2 (192.168.1.16 en NT4))
2 en LAN (on va les appeler lan1 (10.0.0.1 en NT4) et lan2 (10.0.0.44 en Win2000))

Entre la DMZ et la LAN, il y a un firewall Linux (iptables)

Les ports 42, 135:139, et 445 sont ouverts dans les 2 sens entre 10.0.0.0/24 et 192.168.1.0/24.

Je veux que 10.0.0.44 voit dans son voisinage réseau 192.168.1.16 (pour pouvoir utiliser BackupExec).

10.0.0.1 est le controleur du domaine NT du LAN (dans lequel il y a 10.0.0.44)
192.168.1.17 est le maitre-browser du groupe WORKGROUP (dans lequel il y a 192.168.1.16)

J'ai un serveur WINS sur 10.0.0.1 (le controleur), dans lequel j'ai ajouté un mappage statique vers 192.168.1.16 (mon serveur NT4) en tant que "unique", et vers 192.168.1.17 (mon serveur maitre-browser) en tant que "groupe".

10.0.0.44 a le serveur Wins dans ses propriétés reseau, et quand je fais ping 192.168.1.16, ca marche (idem avec le nom de la machine).
sur 10.0.0.1, ping 192.168.1.16, ca marche aussi (idem avec le nom de la machine).

Sur 10.0.0.44, quand je recherche l'ordinateur 192.168.1.16, il le trouve (avec son nom aussi), il voit même qu'il est en WORKGROUP.
Quand je double-clique pour ouvrir un partage réseau, je peux aller dedans sans probleme.
Mais quand je fais backspace pour remonter dans WORKGROUP, là, ça déconne.

Et donc, avec Ethereal, même depuis 10.0.0.1, quand je fais ce backspace, 10.0.0.1 envoie le message sur 10.0.0.255, en vain car personne ne lui répond.

kfman

Un firewall "pur" doit laisser passer le broadcast. C'est le routeur qui bloque, car un routeur ne doit JAMAIS transmettre les broadcasts (imagine en sur Internet [:itm]).

La merde est apparemment au niveau de la résolution de noms Netbios (blague).

Le service WINS tourne sur les ordis du LAN ou du DMZ (je suis plus très bien là :o) ?

Peux-tu, à des fins de compréhension, rééditer ton précédent post et bien préciser de quels ordis il s'agit, comme tu avait fait auparavant et tant qu'à faire précise aussi les IP ?

Vincelechacal

Bon, j'ai essayé avec Ethereal.

Il me dit les choses suivantes :

Quand je veux accéder à WORKGROUP (toujours en faisant "rechercher ordinateur" ) depuis mon serveur Win2000, celui-ci demande au controleur du domaine NT du Lan, et ce dernier renvoit qu'il ne connait pas WORKGROUP.

Quand je fais la même chose depuis le controleur du domaine, celui-ci envoie la question "qui est WORKGROUP" sur tout le broadcast (10.0.0.255). Mais personne ne lui répond.
Evidemment puisque mon serveur dmz n'est pas en 10.0.0.xxx

donc, je me dis qu'en ouvrant totalement le firewall ca devrait passer un jour !
Et bien non.

Alors, question, est-ce que mon firewall laisse bien passer le broadcast ?
Qu'est-ce que je peux tirer de ces informations ?

Vincelechacal

kfman a écrit :

Sinon t'as essayé de capturer ton réseau (avec ethereal par exemple), pour voir ce qui merde lors de l'exploration ?

Paske là quand même...

hummm, ah oui, j'avais même pas pensé à réutiliser ce ptit bijoux :)
Merci de me donner plein de bonnes idées comme ca !

kfman

Sinon t'as essayé de capturer ton réseau (avec Ethereal par exemple), pour voir ce qui merde lors de l'exploration ?

Paske là quand même...