Nur im LAN eingesetzter Server 2003 vom Internet isolieren.

Je nach Netztopologie schießt du dir damit mächtig in den Fuß.

Schwarze Grüße,
Tom

Naja - "kein Internet -> mehr sicherheit" stimmt generell schon - solange man eben das ganze RICHTIG macht!

Es bringt natürlich nichts nur das Gateway rauszunehmen und sich dann zurückzulehnen. Wenn man das ganze richtig macht und z.B. noch die Sicherheitsupdates via WSUS, Virenscanner-Updates ebenfalls via Mgmt-Server macht usw. dann bringt es schon was -> der Server kann in dem Fall nicht direkt angegriffen werden (und natürlihc nicht auf dem Server wahrlos Software installieren - versteht sich wohl von selbst...)

Warum muss ein DNS-Server im AD zugriff aufs Internet haben?!? Was soll der dort -> den intressieren für die funktion des AD nur die "internen" Clients und diese stehen bei mir selten im Provider-DNS oder sonstwo! Von daher geht das auch noch ohne Anbindung an externe Netze.

Ob das ganze "viel nutzen" hat hängt arg von dem Anwendungsfall ab und was auf dem Server drauf ist. Generell würde ich aber sogar sagen das ein Fileserver normal sogar vom Internet abgekoppelt sein sollte -> er hat schlicht und ergreiffend dort nichts verloren! Egal ob es nun ist das man nicht will das der Daten an MS sendet (Fehlerbericht, Aktivierung,...) oder ob das Software ist die darauf läuft und meint die muss dem Hersteller regelmäßig berichten wie es ihm so geht... Hier kann es ggf. allerdings Sinn machen das man (je nach Hardware und Supportvertrag) z.B. bestimmte Ports explizit freischaltet -> damit das Gerät z.B. bevorstehende Ausfälle direkt an den Hersteller melden kann und dieser dann mit Ersatzteilen direkt vor der tür steht)

Kommen wir jetzt zur Fragestellung: Das "WIE"! WICHTIG: Ob das so geht oder nicht hängt arg von der Netzwerk-Stuktur ab. Wenn z.B. via VPN auch Rechner an den Server sollen wäre Gateway wegnehmen fatal - ansonsten wäre es ein guter Schritt... Ich würde allerdings eher gucken das ich den Server in eine spezielle Firewallregel packe die eben den Traffic nach aussen speziell für den Server blockt bzw. nur die wirklich benötigten Ports explizit freischaltet. Damit einhergehend ist natürlich das auch der REST des Netzes dieser expliziten Regelung unterworfen ist (z.B. Internet nur über nen Proxy und ggf. ne Download-Sperre). Hier ist es ganz einfach so das man bei der Sicherheit nicht nur den Server nehmen kann/darf und danach alles sicher ist -> hier muss das ganze Netz betrachtet werden...