0

我们正在构建一个客户端解决方案，该解决方案将托管在数据中心的服务器上。它由几个与提供客户端解决方案相关的服务器组成。没有要保护的内部网络，但由于某种原因，我们的 UAT 环境在服务器图中具有 DMZ 的概念。

我们有一个 IIS 盒子，它有一个公共 IP。然后我们有两台服务器DB（Sql Server）和APP，它们只在内部局域网上，没有公共IP。您只能通过 VPN 对这些服务器进行 RDP。我们的 IIS 服务器需要 sql 访问，因此端口 1433 从 IIS 框（DMZ）打开到 sql 服务器。我们还开放了几个从 IIS 服务器到托管 WCF 服务的 APP 服务器的端口。

我的理解是，DMZ 旨在保护内部专用网络，并且这些网络不应从 DMZ 访问，但我们现在正在向我们的 APP 和 DB 服务器开放端口，以便可以从 DMZ 访问它们。最后，我们的大多数服务器都可以通过某些端口从 IIS 服务器访问。

我们最初只想为 AD 身份验证设置 SQL Server，但由于我们的 IIS 服务器位于 DMZ 中并且没有 AD 访问权限，我们将被迫在 SQL Server 中启用混合模式身份验证。这可能是另一个安全问题，因为我们现在被迫将密码存储在 IIS 服务器上的某个位置，以便能够针对 sql server 进行身份验证。

我们可能没有错过 DMZ 的想法吗？

4

1 回答 1

0

So with a system where you have a DMZ, there is also a firewall involved.

So your system should look like this I think:

SQL-server hosting internal data Other servers needed for the company

---- firewall ----

SQL-server hosting data for web solution AD-server (if needed) Web-server FTP-server (could be on the web server also)

With this setup you don't expose company-sensitive database to the outside world and you also don't open up a port in the firewall making it possible for attackers to (maybe) get access to the internal database which has company sensitive data...

Just my suggestion based on the information provided.

于 2013-10-29T08:19:32.930 回答