Ich bin gerade dabei, ein Startup zu gründen, und habe konzeptionelle Schwierigkeiten herauszufinden, wie ein Front-End-Server in der Netzwerk-DMZ mit meinen internen Back-End-Servern kommunizieren soll, die für die Geschäftslogik und Datenverarbeitung zuständig sind.
Ich habe das folgende Diagramm erstellt, um zu versuchen zu erklären, was ich denke:
Der Sinn der DMZ besteht meines Wissens darin, dass sie der Öffentlichkeit zugänglich gemacht wird und nicht die internen Geräte, sodass bei einer Kompromittierung von Geräten in der DMZ nichts in der internen Zone gefährdet ist. Wenn die Geräte in der DMZ jedoch einfach interne Geräte über das LAN abfragen können, verstößt das dann nicht gegen die Prämisse der DMZ und legt die internen Geräte offen, falls die DMZ-Geräte kompromittiert werden? Oder ist das akzeptabel? Wenn das NICHT gegen das Konzept oder die Sicherheit der DMZ verstößt, kann ich das einfach tun, aber wenn doch, wie soll mein Front-End-Server dann den Back-End-Server als Antwort auf Benutzeranfragen nach Daten fragen?
Antwort1
Der Punkt ist, dass die interne Firewall nurspezifischer Verkehrzwischen DMZ-Servern und internen Servern. Wenn ein DMZ-Server kompromittiert wird, kann er nur noch Kontakt aufnehmen (z. B.)ein Server auf einem TCP-Port, nicht irgendein Server bei irgendeinem Dienst.