Sollte ein Webserver in der DMZ im LAN auf MSSQL zugreifen dürfen?

Dies sollte eine sehr grundlegende Frage sein, und ich habe versucht, sie zu untersuchen, und konnte keine solide Antwort finden.

Angenommen, Sie haben einen Webserver in der DMZ und einen MSSQL-Server im LAN. IMO, und was ich immer als richtig angenommen habe, ist, dass der Webserver in der DMZ auf den MSSQL-Server im LAN zugreifen kann (möglicherweise müssten Sie einen Port in der Firewall öffnen, das wäre ok IMO).

Unsere Netzwerk-Leute sagen uns jetzt, dass wir von der DMZ aus keinen Zugriff auf den MSSQL-Server im LAN haben können. Sie sagen, dass alles in der DMZ nur über das LAN (und das Web) zugänglich sein sollte und dass die DMZ keinen Zugriff auf das LAN haben sollte, genauso wie das Web keinen Zugriff auf das LAN hat.

Meine Frage ist also, wer hat Recht? Sollte die DMZ Zugriff auf / vom LAN haben? Oder sollte der Zugriff auf das LAN von der DMZ strengstens verboten sein. All dies setzt eine typische DMZ-Konfiguration voraus.

Die ordnungsgemäße Netzwerksicherheit besagt, dass DMZ-Server keinen Zugriff auf das vertrauenswürdige Netzwerk haben sollten. Das vertrauenswürdige Netzwerk kann zur DMZ gelangen, aber nicht umgekehrt. Für DB-gestützte Webserver wie Ihren kann dies ein Problem sein, weshalb Datenbankserver in DMZs landen. Nur weil es sich in einer DMZ befindet, bedeutet dies nicht, dass ein öffentlicher Zugriff erforderlich ist. Ihre externe Firewall kann dennoch jeglichen Zugriff darauf verhindern. Der DB-Server selbst hat jedoch keinen Zugriff auf das Netzwerk.

Für MSSQL-Server benötigen Sie wahrscheinlich eine zweite DMZ, da Sie im Rahmen der normalen Funktionsweise mit AD-Domänencontrollern kommunizieren müssen (es sei denn, Sie verwenden SQL-Konten anstelle von Domänenintegration. Zu diesem Zeitpunkt ist dies umstritten). In dieser zweiten DMZ befinden sich Windows-Server, die einen öffentlichen Zugriff benötigen, selbst wenn sie zuerst über einen Webserver übertragen werden. Die Leute von Network Security werden nervös, wenn sie in Betracht ziehen, dass domainisierte Maschinen, die öffentlichen Zugriff haben, Zugang zu DCs erhalten, was ein harter Verkauf sein kann. Microsoft lässt in dieser Angelegenheit jedoch nicht viel Auswahl.

Theoretisch bin ich bei Ihren Networking-Leuten. Jede andere Vereinbarung bedeutet, dass jemand, der den Webserver kompromittiert, eine Tür in Ihr LAN hat.

Natürlich muss die Realität eine Rolle spielen - wenn Sie Live-Daten benötigen, auf die sowohl über die DMZ als auch über das LAN zugegriffen werden kann, haben Sie wirklich nur wenige Möglichkeiten. Ich würde wahrscheinlich vorschlagen, dass ein guter Kompromiss ein "schmutziges" internes Subnetz wäre, in dem Server wie der MSSQL-Server leben könnten. Auf dieses Subnetz kann sowohl von der DMZ als auch vom LAN aus zugegriffen werden, es ist jedoch nicht möglich, Verbindungen zum LAN und zur DMZ herzustellen.

Wenn Sie nur SQL-Verbindungen vom DMZ-Server zum MS-SQL-Server durch die Firewall lassen, sollte dies kein Problem sein.

Ich poste meine Antwort, weil ich sehen möchte, wie sie gewählt wurde ...

Der Webserver in der DMZ sollte auf den MSSQL-Server im LAN zugreifen können. Wenn dies nicht möglich ist, wie schlagen Sie vor, auf einen MSSQL-Server im LAN zuzugreifen? Du konntest nicht!