Domaine et sécurité...

Hello toutes et tous,

ma question du jour... :

soit un domaine AD 2003 R2

il y a 2 sites physiques avec sur chaque site un firewall routeur 
Hardware avec le monde hostile d'internet entre les 2...

entre  les 2 FW/routeurs, un VPN ipsec permet à tout ce petit monde de 
causer sans trop se soucier des ports à verrouiller...

mais, mais... y'a toujours un mais ...

y'a deux DMZ (une de chaque cotés avec 2 serveurs chacun) pour que les
clients puissent avoir accès aux serveurs ouaibes... et ces serveurs
doivent être membre de l'AD... c'est idiot, dangerous, inadapté, toussa
mais c'est comme ça...

quels sont les ports minimums que je doive laisser ouvert entre la DMZ
et la prod, afin d'autoriser l'ouverture d'une session dans les serveurs
de la DMZ avec un compte de l'AD... ?????

comme un gros cochon, j'ai ouvert tous les ports, (heureusement un câble
croisé simulait l'internet) et j'ai essayé de regarder ce qui se passait
histoire de limiter l'effet "portes ouvertes"

je comprend pas tout, mais les ports en sortie ne correspondent pas aux
ports en entrée... genre 1024 qui cause avec un 445... et 1025 qui cause
avec un 35 (non, un port, pas le département...) comment c'est t'y
que je doive configurer mon firewall ???
je peux créer une règle, du style TCP 1024-2048 vers 1-65535, mais je
suis pas sûr que ce soit très... sécure... ???
si je met un 445-445 vers 445-445, ça sera plus ciblé, mais ça marchera?

quand je cause à un mec windows, il me dit de demander à un expert
réseau et sécurité, et quand je demande à un expert réseau, il me 
demande quels sont les ports à ouvrir...

on tourne en rond, merde, on tourne en rond, merde, on tourne en rond, 
merde, on tourne en rond, merde, on tourne en rond, merde, on tourne e
n rond, merde, on tourne en rond, merde, on tourne en rond, merde, on 
tourne en rond, merde, on tourne en rond, merde, on tourne en rond, me
rde, on tourne en rond, merde, on tourne en rond, merde....

Si vous connaissez un forum plus approprié, faites signe !!!

A+
Benoît.
-- 
attention, adresse email non valide, ne répondez que sur le forum.