Domínio do Windows 2008 - DHCP no servidor versus firewall

Question

Atualmente administro uma rede de domínio do Windows 2008 com o DHCP em execução no DC. Os clientes obtêm endereços dinamicamente e os servidores recebem endereços estáticos.

No caso em que o CD falha durante a noite e os trabalhadores chegam de manhã, eles não terão um endereço IP e não poderão se conectar à Internet. Imaginei que, se eu movesse o DHCP para o firewall, as pessoas ainda seriam capazes de acessar a Internet e a rede ainda seria basicamente funcional, sem recursos do AD.

Estou incorreto com minha lógica? Quais são os prós e contras de ter o DHCP no firewall em uma rede do Active Directory?

    

Answer 1

Não há prós ou contras reais em ter um servidor DHCP em um firewall versus em um servidor. Desde que esteja configurado corretamente, não importa muito. Em alguns casos, os firewalls de hardware têm recursos finitos melhor usados para NAT, filtragem de pacotes e até mesmo terminação de VPN. Adicionar DHCP, DNS e outras funções supérfluas pode reduzir o desempenho.

Com o Windows Server 2012, você pode fazer o HA DHCP sem usar o cluster, para ter parceiros de failover de hot standby. Esta é a nova prática recomendada para o HA DHCP, em oposição ao antigo método de clustering DHCP, que é complicado e complicado. Se você está realmente preocupado com isso, você deve pegar algumas cópias do Server 2012 ou 2012 R2 e configurá-lo.

Parece também que você tem um único controlador de domínio. Isso é muito ruim por vários motivos. Por favor, tenha mais de um DC em seu ambiente.

    

Answer 2

Além da resposta DNUCKLES fornecida, supondo que seu controlador de domínio também seja seu servidor DNS e que você esteja apontando corretamente apenas clientes de domínio para o DC / DNS nas configurações do cliente DNS, o DHCP no firewall não será faça bem aos clientes se eles não tiverem resolução de nomes DNS do DC.

Dito isto, você poderia (deveria) configurar um segundo servidor DC / DNS e então você poderia executar o DHCP neste segundo servidor também. A utilização do assistente de escopo dividido do DHCP permitirá que você divida seu escopo DHCP entre os dois servidores para que, se um estiver inativo, ainda possa fornecer serviços AD, DNS e DHCP aos clientes.

EDITAR

Acabei de ver sua tag windows-server-2008 . O assistente de escopo dividido do DHCP foi introduzido no Windows Server 2008 R2. Você ainda pode dividir seu escopo DHCP entre 2 servidores DHCP do Windows Server 2008, mas você precisa fazê-lo manualmente (divisão 50-50, divisão 80-20, etc.).

    

Answer 3

Correndo o risco de dividir os cabelos, deve-se notar que não há mais PDCs, mas PDC emuladores , que é um papel FSMO. Com isso dito, pedir para fornecer uma lista de prós e contras para isso dependeria do que você espera usar como seu appliance de firewall.

Talvez a diferença mais notável e a desvantagem de usar seu firewall em oposição ao Windows DHCP é que os endereços de seus clientes não serão registrados dinamicamente em seu servidor DNS.