我正在寻找一种保护我的服务器的好方法，我有一组不在我办公室但由外部提供商托管的专用服务器。所有服务器只有一个公共（WAN）IP。

我不想使用 VPN，因为我的用户不愿意有这个限制，所以我去了我的 Windows 服务器的防火墙配置（通过 GPO）在域隔离中启用 IPSec。

每台服务器都需要一个安全的入站连接，从我的角度来看，这是非常安全的。

但有一件事困扰着我，为了使默认身份验证模式（涉及 Kerberos）在我的域隔离中工作，我必须使用“请求入站和出站”设置我的 DNS/DC 服务器的防火墙（而不是默认的“必需”）入站和请求出站”）。我想 Kerberos 身份验证必须工作。

同样，据我了解，它使 DNS/DC 服务器不受 IPCSec 的保护（尽管我不完全知道什么是“请求”而不是“必需”）。

我的第一个问题是：它足够安全吗？第二个问题：如何将 IPSec 配置为与其他服务器一样受保护的 DNS/DC 服务器？

谢谢你的时间。