Como você impede que um controlador de domínio do Active Directory 2012 R2 anuncie o domínio em uma interface específica?

Question

Versão resumida: Como você impede que um controlador de domínio do Active Directory 2012 R2 anuncie o domínio em uma interface específica? Eu quero que essa rede não seja sinalizada como uma rede de domínio, e nenhum serviço de domínio deve estar disponível.

Ambiente: Um AD independente para gerenciar um pequeno cluster do hyper-v e as VMs relacionadas. O controlador de domínio também executa o servidor do VMM e tem acesso à rede de produção devido à necessidade de alcançar o console do VMM.

Objetivo de longo prazo / Solução potencial: Eu gostaria de não ter absolutamente nenhum tráfego não-VMM chegando à rede de produção. Considerei apenas bloquear todas as conexões de saída não-vmm com o Firewall do Windows, mas não sei como forçar um perfil específico em uma interface.

Obrigado!

    

Answer 1

Se o controlador de domínio não fizer parte de seu AD de produção, mas gerenciar seu próprio, ele não anunciará a si mesmo como um controlador de domínio para seu (s) domínio (s) de produção. É claro que ele deve usar a si mesmo como seu servidor DNS, assim ele nem sequer irá falar para seus servidores DNS de produção.

Além disso, você pode desabilitar todos os protocolos de rede da Microsoft na rede de produção desmarcando o "Cliente para redes Microsoft" e "Compartilhamento de arquivos e impressoras para redes Microsoft" na interface de rede conectada à sua rede de produção e também desabilitando o NetBIOS nas propriedades TCP / IP da mesma interface; O TCP / IP permanecerá operacional e, assim, você poderá RDP no servidor e até mesmo se conectar ao console do VMM, mas nenhuma rede no estilo do Windows ocorrerá nessa interface.

Você também deve desabilitar o registro de DNS na interface de rede de produção, ou seu DNS interno será poluído pelo DC registrando seu endereço IP de produção para serviços de domínio interno.