70-291

Eine IPSec-Verbindung kann man einfach über IP-Sicherheitsrichtlinien einrichten. Hier soll die Verbindung zu einem anderen Host ausschließlich über IPSec erfolgen.

Da beide Rechner nicht in der selben Domain sind, kann für den Schlüsseltausch kein Kerberos verwendet werden, sondern es wird auf einen Pre-Shared-Key zurückgegriffen (ähnlich wie bei WPA, hier "12345", sollte natürlich deutlich komplexer sein).


Der Assistent für die Standard-Verbindung kann so durchgeklickt werden. Wichtig ist die spezielle Verbindung zu dem gewünschten Host:


Dazu muss eine Filterregel eingerichtet werden. Solche Regeln kann man für alles definieren, spezielle Ports, Ziel-IPs oder Protokolle:


Danach muss die GPO nur noch zugewiesen und die Gruppenrichtlinien aktualisiert werden. Man kann sich dann mit einem Ping davon überzeugen, dass erst die IP-Sicherheit verhandelt wird bevor Daten übertragen werden.


Im vorgestellten Fall wäre eine lokale Konfiguration einfacher. Der hier vorgestellte Weg verwendet eine GPO, auf diesem Weg kann man am einfachsten die Kommunikation einer ganzen OU auf IPSec umstellen.

Mehrere logische IP-Netze auf einem physikalischen Segment werden im Microsoft-Umfeld auch als Multinet bezeichnet.

­Mit einer Bereichsgruppierung (plattdeutsch: "Superscope") kann ein DHCP-Server den Clients IP-Adressen auch aus Netzen anbieten, für die der Server eigentlich nicht konfiguriert ist (für DHCP ist nämlich keine korrekte IP-Konfiguration erforderlich).

So kann ein Server auf dem Netz 192.168.10.0/24 auch Adressen aus dem Netz 192.168.11.0/24 vergeben, falls dies aus irgendwelchen Gründen erforderlich sein sollte.

Bei der Vergabe werden allerdings zunächst die Adressen aus dem eigenen Netz vergeben und die Adressen aus den zusätzlichen Bereichen erst dann wenn der eigene Bereich ausgeschöpft ist.

Mit DHCP-Relay-Agents funktioniert das auch über Segment-Grenzen hinaus, bei Verwendung von bootp auch über passende Router hinweg.