DNS-Probleme vermeiden Windows in virtuellen Umgebungen mit mehreren Netzwerken sicher betreiben

Server benötigen oft mehrere Netzwerkkarten um alle Verbindungen zu externen und internen Netzen herstellen zu können. Bei einer solchen Konfiguration gilt es aber aufzupassen, denn sonst sind Probleme und Fehler bei der DNS-Auflösung, der Sicherheit oder Netzperformance vorprogrammiert. Um eine sichere und deterministische Kommunikation zu erreichen, ist ein klares Vorgehen notwendig. Wir zeigen hier einen dieser Wege für einen gesicherten Betrieb von Windows in virtuellen Szenarien.

Anbieter zum Thema

SonicWall Germany

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

Die möglichen Fehlerquellen zeigen sich durch Verzögerungen in der Kommunikation oder der Namensauflösung durch DNS. Erschwert wird die Situation außerdem, da die internen Puffer für die IP-Adress, die Namensauflösung oder die MAC-Adressen in Intervallen durch die Systeme geleert werden. In virtuellen Szenarien kommt außerdem die Umsetzung der internen Netzwerkkarte (in der virtuellen Maschine) in den virtuellen Switch und dann in die physische Netzwerkkarte hinzu.

Ausgangsituation für unsere Lösungsbeschreibung ist eine virtualisierte Umgebung mit Hyper-V und mehreren virtuellen Maschinen. Diese waren mit Windows Servern und einem Windows Domänencontroller bestückt. Dabei handelte es sich überwiegend um Windows Server 2008. Das Verhalten ist aber nicht auf den Windows Server 2008 beschränkt. Um die virtuellen Maschinen, je nach Anforderungen der Testumgebung, mit Netzwerkanbindung zu versorgen, wurden in der Hyper-V-Verwaltung drei Netzwerke eingerichtet (siehe Bilderstrecke).

• Ein internes Netzwerk. Dieses ist nur für die virtuellen Maschinen sichtbar und kann nur zur Kommunikation der virtuellen Maschine untereinander und dem Hostbetriebssystem herangezogen werden.
• Ein externes Netzwerk. Dieses wurde mit einem externen Switch verbunden. An dem Switch befanden sich auch weitere physikalische Geräten. Das IP-Segment war 172.16.x.y. (statische IP-Adresse). Über dieses Segment sollte die Kommunikation mit weiteren physischen Servern abgewickelt werden.
• Ein weiteres externes Netzwerk. Auch dieses wurde über einen externen Switch verbunden. Hinter diesem zweiten Switch befand sich ein DSL-Router zur Internetverbindung. Diese zweite Segment und die Netzwerkkarten wurden nur nach Bedarf aktiviert. Dies war beispielsweise zum Aktivieren von Windows oder dem Einspielen von Windows-Updates notwendig.

Die einzelnen Schritte zur Beseitigung des Problems finden Sie in der Bilderstrecke dieses Artikels.

Seite 2: Probleme bei der Namensauflösung

(ID:2046475)