Windows Serverを管理する人コミュのNATで悩んでます。

はじめまして。当方、某大学の大学院２年で
研究室のサーバーおよびネットワーク管理をしています。

そこで、windows2000server,2003serverの持っている
ルーティングとリモートアクセスサービス(RRAS)の１つである
NAT(ネットワークアドレス変換)について、大先輩方の意見を
教えてください。

現在当研究室は
すべてグローバルIPアドレスをもっていて、それを
ドメインコントローラーであるwindows2000serverで
管理しています。
＜例＞
IPaddress OS 備考
133.*,*,4 Redhat Linux 3 NISserver,DNSserver
133.*.*.2 FreeBSD4.5 DNSプライマリserver
133.*.*.3 FreeBSD3.3 Mailserver
133.*.*.47 Redhat Linux7.3 ファイルserver
133.*.*.71 windows2000server DC

です。unix端末はsamdaを導入し、DC(ドメインコントローラー)であるAD(アクティブディレクトリ)に参加させています。
全部で50台ほどのPCがADにドメイン参加しており、50人程の
ユーザーが在籍しています。

しかし、グローバルIPの枯渇のため、windows2000serverを調べたところ、NAT機能をもっている事がわかり、NATを利用して、
プライベートIPをふって構築しなおそうと考えています。

しかし、ネットや本では、グローバルIPとプライベートIPアドレス
を共存させたNAT詳しい設定方法がなく、わかりかねております。
現在のMAILserver,NISserver,DNSserver等のグローバル
アドレスを変更せずに、それ以外の端末をプライベート化して、
ともにドメインコントローラーである(NAT機能を持たせた)端末
にドメイン参加させ、それぞれ、ADの参加(グローバルIPを持ったsambaを導入した端末)は可能でしょうか?
それとも、やはり、ルーターを別に買わなければならないでしょうか?

また、可能な場合はやり方の伝授(設定方法等)お願いいたします。
これが解決しだい、2003serverへ移行しようと検討しています。

ためしに、現状の状態でNICを2枚さして、本などの方法で(NAT、ルーター)設定してみたら、グローバルアドレスをもった端末がドメインから消失するという結果になってしまいました。

初心者ですので、当り前の知識、間違った表現、記載等あると
思いますが、よろしくお願いします。

コメント(16)

最初
全て
最新の40件

[2] mixiユーザー 05月29日 22:58

LAN アダプタを 2 枚取り付ければ、RRAS を NAT ルータとして設定することはできます。ウィザードで NAT ルータとして動作するように指示するだけなので、設定も難しくありません。

しかし、それでも DC にインターネット側からアクセスできる問題はなくなりません。安全性の面で不安があります。
別途、ルータを 1 台用意して、Active Directory に関連する DC とクライアント一式をプライベート IP アドレス側に入れてしまうのが最善じゃないでしょうか。

[3] mixiユーザー 05月29日 23:47

>かずさん
確かに、セキュリティは問題ありますが、
研究室在室の住人が自宅から、端末に直接リモートアクセス
しています。ですので、プライベート化すると、個人がリモートアクセス
できなくなる可能性があって、グローバルのまま運営しています。

＞www,mail,dns,proxyサーバーについて
＞グローバルIPを割り振るというのは普通だと思いますが
ですが、proxyサーバーは学校側の協力なセキュリティがあり、
その他のサーバは別に強力なセキュリティ対策をしています。
現在、セキュリティが不安があるのが、かずさんの指摘の通り
DCです。

＞井上＠koujiiさん
おっしゃる通りだど思います。ただ、一つ問題があり、
別途、ルーターを一台用意して、Active Directoryに関連するDC
とクライアント一式をプライベートIPアドレス側に入れてしまう
のがいいとは思うのですが、その場合同じルーターの別の口に接続した、グローバルIPアドレスを持った端末をプレイベートIPをもったDCのADに参加させることは可能なのでしょうか？

[5] mixiユーザー 05月30日 02:07

>確かに、セキュリティは問題ありますが、
研究室在室の住人が自宅から、端末に直接リモートアクセス
しています。ですので、プライベート化すると、個人がリモートアクセス
できなくなる可能性があって、グローバルのまま運営しています。

であれば，ドメインコントローラやワークステーションを LAN 上において，VPN でアクセスするのがよいかと思います。

例えば YAMAHA ルータとかを使って，こんな感じでどうかと。

http://netvolante.jp/solution/vpn/case1/example5.html

あと一つ経験則上の話を書きますと，ドメインコントローラを NAT サーバとしても使うと，かなりパフォーマンスに影響がでます。
パケットフィルタリングはそれなりに大きな仕事と思われ，フィルタルールなどをきちんと組み立てて運用すると，ドメインコントローラとしてのパフォーマンスにかなりの影響が出るようです。

# トピ主さんが目指していると思われる構成と似たような環境を一時的に組んだことがありましたが，そのサーバではかなりのパフォーマンス低下が観察されました。
# 後でルータを置いてみたら打って変わって軽やかな動作で拍子抜け･･･。

ドメインコントローラをインターネット上にさらすことに伴うセキュリティ面の影響も考えると，やはりルータを間に入れたほうがいろいろと安全だと思います。

[6] mixiユーザー 05月30日 03:14

はじめの質問だけ読んで書いてますので既出だったらごめんなさい。
Active Directory サーバーはその性質上、NIC を 2 枚指した環境での動作を保障していません。NetBIOS によるコンピュータ一覧アドレスを 2 つの NIC で共有できないことが主な原因です。質問にあります問題がまさにこの事象です。
そのため、今回の例では、ルーター類が別途必要になります。

[7] mixiユーザー 05月30日 03:17

あと、4. の以下の質問に対する回答も。
> 別途、ルーターを一台用意して、Active Directoryに関連するDCとクライアント一式をプライベートIPアドレス側に入れてしまうのがいいとは思うのですが、その場合同じルーターの別の口に接続した、グローバルIPアドレスを持った端末をプレイベートIPをもったDCのADに参加させることは可能なのでしょうか？

NAT 環境での Active Directory へのドメイン参加もサポートされていません。これは、今回の環境のケースも、サーバーとクライアントが逆のケースも同様です。
Active Directory はサーバー/クライアント間の双方向のアクセスを必要としています。

[8] mixiユーザー 05月30日 03:19

そのほかの方が実験された際に遭遇している事象も、ほとんど上記の問題で説明ができますが、詳細は割愛します。。。
無事に運用できる環境ではありません。動作が重くなるということはどこかの処理でタイムアウトが発生しているということです。タイムアウトが発生しているということはその処理が成功しないということで、そのような環境はうまく動作するはずがありません。
眠い頭で書いてるので、きつい文面ですみません。
その件で悩まれるより、ほかの方法考えたほうが良いと思うので、勢いで書いてます。すみません。

[10] mixiユーザー 05月30日 11:51

> かずくんさん
> 各サーバーはグローバル/プライベート共に持たせることで

DMZ に配備するサーバーは二本足でなくて大丈夫です。DMZ のみ接続し、DMZ - "プライベート IP Zone" 間は NAT でなくルーティングしてください。これが一般的な DMZ 構築方法です。
ルーティングさせることで、DMZ へのアクセスがシームレスに可能となり、また必要に応じてそこに端末を設置することも可能となります。

ただ、非常に残念なのですが、その構成を実現するルータや FW 機器は、一番安価なものでも、15 万程度します。思いつく機器は、NetScreen-5GT Extended、VPN-1、Safe@Office、あたりです。
もし速度懸念がなければ、ルータ部位を Linux サーバーや Windows サーバーでまかなうのもひとつの手でしょう。我が家の実験環境では、そのポジションを ISA Server 2004 という製品でまかなっています。

[11] mixiユーザー 05月30日 11:59

あーあと、そういった構成をサポートし、かつ Active Directory サーバーも稼動可能にする製品がありました。
Small Business Server です。略称 SBS。
http://www.microsoft.com/japan/windowsserver2003/sbs/default.mspx

これなら、いくつか制限がありますが、AD を NAT にして・・・という環境を作ることができます。ファイアウォールも搭載しているので、セキュリティ問題もばっちりです。
端末をグローバル系に配備する、という点さえあきらめてもらえれば、これでいけると思いますよ。

[12] mixiユーザー 05月30日 12:33

うちの実験環境はこんな感じ。
やまにょんさんの提示されたSBSでネットワーク組んでます。
VPNでもつながるし、プライベートPCへ外部からVNCでつないだりできます。
ご参考までに。

[13] mixiユーザー 05月30日 14:52

＞Felice☆Im@sさん
＞ロードスターくんさん
＞やまにょんさん
＞かずさん
＞安藤＠大分さん

とても、参考になります。ありがとございます。
特にやまにょんさん。

＞あと一つ経験則上の話を書きますと，ドメインコントローラを N＞AT サーバとしても使うと，かなりパフォーマンスに影響がでま＞す。
＞パケットフィルタリングはそれなりに大きな仕事と思われ，フィ＞ルタルールなどをきちんと組み立てて運用すると，ドメインコン＞トローラとしてのパフォーマンスにかなりの影響が出るようで＞＞す。

＞# トピ主さんが目指していると思われる構成と似たような環境を＞一時的に組んだことがありましたが，そのサーバではかなりのパ＞フォーマンス低下が観察されました。
＞# 後でルータを置いてみたら打って変わって軽やかな動作で拍子＞抜け･･･。

＞ドメインコントローラをインターネット上にさらすことに伴うセ＞キュリティ面の影響も考えると，やはりルータを間に入れたほう＞がいろいろと安全だと思います。

の説明がとても、参考になりました。この経験話をきくと、
例え、構築できたとしても、快適な環境を提示できない事
になりますね。ドクターの方から、環境の移行後、問題なく運用できるのがが一番心配されてる点ですので、先輩方のおっしゃるとおりルーターを購入しようと考えています。

しかし
一つ気になる点があるのですが、

＞SBSでネットワーク組んでます。
VPNでもつながるし、プライベートPCへ外部からVNCでつないだりできます。
と大変興味深いお話しがあるのですが、WINDOWS2003SERVER,ENTERPRISEエディション R2で上記ネットワーク
は可能でしょうか？
なぜかというと、先日上記2003サーバーを
アカデミパックで購入済みのためです。
ですので、ＳＢＳではなく、2003SERVERエンタープライズエディションでも、ＶＰＮで繋げて、プライベートＰＣへ外部からVNCでつないだりできる環境があるのでしたら、ルーターを買わなくても、
安藤＠大分さんのネットワーク環境でいけるかなと思っているからです。
よろしくお願いします。
後、もう一つ質問があります。
研究室にリモートで繋ぐ場合、学校側のＶＰＮサーバーに繋いでから、
アクセスしています。ただ、そのＶＰＮサーバーは学校側
で管理しているため、いじることができません。ですので、
別途、ＶＰＮサーバーをたてる必要があるという意味でしょうか？
当方、サーバーをいじるのが大変面白く、研究よりも、
管理のほうをメインでやってます。きつい言い方でも、ぜんぜんかまいません。より、快適な環境を提示できるのであれば、問題ないです。よろしくお願いします。

[15] mixiユーザー 05月30日 15:41

Enterprise Edition でも可能だと思います。SBSだとこのあたりの設定はすべてWizardで勝手にしてくれますが、Enterprise Edition はすべて手動で行う必要があります。

グローバルIPアドレスがあり、pptpが解放できれば直接そのコンピュータにVPNで接続できると思います。

ちなみに外部から内部の複数のマシンにVNCでつなぐ場合は、当然ですがポート番号をずらす必要があります。

[16] mixiユーザー 05月31日 08:54

＞かずさん
たびたびの意見ありがとうございます。
＞安藤＠大分さん
了解です。Enterprise Editionで
やまにょんさんもおっしゃってた
構成でやってみようかなと思います。

ログインすると、残り4件のコメントが見れるよ