separates Netzwerk für Windows Testumgebung einrichten

[Mausbiber]

Hallo,
ich bin gerade am Verzweifeln.
Und zwar möchte ich zu Test Zwecken ein Windows Netzwerk mit 2 x Windows Servern und 2-3 x Clients aufbauen.
Das Ganze möchte ich gerne mit der kostenlosen Version vmware ESXi 7 ans Laufen bringen.
In diesem Netzwerk soll der Windows Server dann logischerweise auch DHCP & DNS Server sein.
Und das alles soll wie erwähnt in einem separaten vmware-Netzwerk ablaufen.
Wichtig hierbei, der Windows Server und die Clients sollen weiterhin Zugriff auf das Internet haben.
Und hierbei scheitere ich komplett.
Alle Anleitungen die ich finde behandeln deutlich ältere Versionen oder gehen in eine andere Richtung.
Ich habe zuhause in meinem Netzwerk den IP-Bereich:
192.168.64.xxx
192.168.64.1 Gateway(Fritzbox)
192.168.64.2 DNS-Server(piHole)
192.168.64.3 vmware ESXi
In vmware würde ich jetzt gerne einen extra Bereich einrichten:
192.168.65.xxxx
192.168.65.1 IP des Windows-AD-Servers / interner DNS
Die PC’s in dem separaten Netzwerk sollen aber weiterhin Zugang zum Internet haben, sprich irgendwie müsste das Gateway weitergereicht werden.
Wie richte ich das Netzwerk in vmware ein?

[~thc]

Du brauchst im ESXi einen vSwitch ohne physischen Uplink (isoliert) - der stellt das interne Netz dar
Dazu brauchst du einen zweiten vSwitch mit Uplink in dein Heimnetz - das in diesem Kontext "externe".

Entweder du erstellst eine zusätzliche VM mit einem OS als Software-Router (z.B. IPFire) oder du lässt diese Funktion einen der Windows-Server ausführen. Egal wie, nur diese VM bekommt zwei Netzwerkkarten in beide vSwitche - alle anderen nur für das interne Netz.

[rprengel]

Du brauchst im ESXi einen vSwitch ohne physischen Uplink (isoliert) - der stellt das interne Netz dar
Dazu brauchst du einen zweiten vSwitch mit Uplink in dein Heimnetz - das in diesem Kontext "externe".

Entweder du erstellst eine zusätzliche VM mit einem OS als Software-Router (z.B. IPFire) oder du lässt diese Funktion einen der Windows-Server ausführen. Egal wie, nur diese VM bekommt zwei Netzwerkkarten in beide vSwitche - alle anderen nur für das interne Netz.

Hallo,
wäre auch meine Antwort gewesen .
Eine klassische Berufsschulaufgabe.
2 Tips
1)
die Netzwerkarten und switche sprechend benennen
2)
Wenn du ipfire , sophos utm oder was auch immer nutzt gehe wie folgt vor
a)
virtuelle Netzwerkkomponenten einrichten
b)
eine interne Windows oder linux Admin VM aufsetzten die in diesem neuen Netz steht
nutze feste IPs um Fehlerquellen zu vemeiden und zrenne die IP Kreise numerisch deutlich um Lesefehler im müden Kopf schneller zu finden
c)
die Firewall installaieren
d)
von dem System aus 2 auf das interne Interface der Firewall zugreifen um die Aussenseite schon direkt zu zu haben.
Es läuft wenn dein Amin-System einen ping auf eine externe Ip Adresse durch bekommt. Ping auf externen Namen bedarf ggf. etwas mehr Konfiguration der Regeln.

Gruß

[Dayworker]

Das Vorhaben läßt sich auch ohne Firewall sauber umsetzen. Um jedoch eine saubere Trennung zu erreichen und damit gleichzeitig unerwartete Seiteneffekte auszuschliessen, würde ich die Netmask des gesamten Heimnetzes auch passend verkleinern, sprich auf den Bereich von 192.168.64.0 einschränken. Damit die Fritzbox jedoch einen ihr unbekannten IP-Bereich trotzdem weiterleitet und nicht verwirft, richtet man in der Fritzbox zusätzlich eine feste Route zu dem Rechner ein, der den neuen Adreßbereich verwaltet.

Mit dem von "~thc" beschriebenen Vorgehen, richtest du dann eine vom restlichen Netzwerk getrennte Insel ein, die durch den Win-Server verwaltet wird.

[rprengel]

Das Vorhaben läßt sich auch ohne Firewall sauber umsetzen. Um jedoch eine saubere Trennung zu erreichen und damit gleichzeitig unerwartete Seiteneffekte auszuschliessen, würde ich die Netmask des gesamten Heimnetzes auch passend verkleinern, sprich auf den Bereich von 192.168.64.0 einschränken. Damit die Fritzbox jedoch einen ihr unbekannten IP-Bereich trotzdem weiterleitet und nicht verwirft, richtet man in der Fritzbox zusätzlich eine feste Route zu dem Rechner ein, der den neuen Adreßbereich verwaltet.

Mit dem von "~thc" beschriebenen Vorgehen, richtest du dann eine vom restlichen Netzwerk getrennte Insel ein, die durch den Win-Server verwaltet wird.

Ich würde von der Fritzbox und allem produktiven komplett weg bleiben um nicht versehentlich was zu zerschiessen.
So ist alles rum um die Übungsumgebung komplett getrennt.
Gruß

[Dayworker]

Um nicht etwas versehentlich zu zerschiessen, bin ich bei dir, aber wenn die produktive Box denselben Adreßbereich wie eine eigentlich davon getrennte Umgebung bearbeitet, wird es über lang oder kurz zu Überschneidungen kommen. Spätestens wenn man die Ablage in der getrennten Umgebung testweise auch von anderen Rechnern netzwerkweit erreichen will, gibt es Chaos und dann ist es auch egal, ob man sophos, ipfire & Co einsetzt. Genau das war mir passiert, als eine Appliance-Verwaltungsoberfläche unerwarteterweise fast uneingeschränkt im Netzwerk erreichbar war.

Daher fährt man am sichersten, wenn man sein Heimnetz einmal aufräumt und an die Realität anpaßt. Zuindest Zuhause werden wohl die wenigsten mehr als 250 Geräte haben. Dazu kommt, daß VMware die Remote-Console des ESXi nur als Administrationszugang und nicht für die tägliche Arbeit versteht. Ohne Remote-Zugriff auf den Win-Server dürfte sich das nur schwerlich realisieren und bevor man da aufwändig eine SW-Firewall dazwischenschaltet, die ihrerseits noch Administrationsaufwand erfordert, kommt man mit einem per Fester Route in der Fritzbox verankerten, eigenständigen IP-Bereich deutlich einfacher ans Ziel. Falls sophos & Co natürlich schon laufen, wäre es kein Problem die bestehende Config dahingehend zu erweitern. Aus den bisher vom TE gelieferten Daten würde ich das jedoch nicht schliessen und die neuen Gäste sollen auch noch Inet-Zugang erhalten.