DMZ η 2ο router

[madrivermadonus]

Καλησπέρα

Απορία εγκυκλοπαιδικής φύσεως:
Σε δίκτυο που θέλουμε να βάλουμε ασφάλεια σε ένα πχ email server αντί να τον βάλουμε σε dmz ωστε να απομονωθεί απο το υπόλοιπο LAN γιατί να μη βάλουμε ένα 2ο router και να δημιουργήσουμε σε αυτό ένα άλλο LAN με πχ 10αρα Ip (πχ 10.0.0.100)? πάνω στο οποίο να μπει ο Server και να δημιουργηθούν οι αντίστοιχοι κανόνες firewall?

[zx1234r]

Γιατί να μην μπει σε dmz?

[madrivermadonus]

18 λεπτά πριν, zx1234r είπε

Γιατί να μην μπει σε dmz?

εναλλακτικά λέω... αν υποθέσουμε οτι θέλουμε υλοποίηση με 2ο ρουτερ για χ-ψ λόγους,θα έχουμε την ίδια ασφάλεια;

[zx1234r]

Το διαφορετικό εύρος IP δεν σημαίνει καλύτερη ασφάλεια. Σημαίνει πως θα έχεις μεγαλύτερο administration effort ειδικά αν μπει και δεύτερο ρούτερ που να χρειάζεται traffic policies και configuration. Καλύτερα να γίνει με vlans η δουλειά κατά την άποψη μου. Και ίσως ένας exchange θα ήταν καλύτερο να μπει σε εσωτερική IP και για μεγαλύτερη ασφάλεια πριν από αυτόν σε dmz να μπει κάποια λύση για mail filtering and antispammibg ώστε αφενός να προστατεύεται ο exchange από επιθέσεις και αφετέρου να έχει λιγότερο φόρτο εργασίας. Αν φυσικά μιλάμε για εταιρικό περιβάλλον.

Επεξ/σία 21 Απριλίου 2019 από zx1234r

[madrivermadonus]

40 λεπτά πριν, zx1234r είπε

Το διαφορετικό εύρος IP δεν σημαίνει καλύτερη ασφάλεια. Σημαίνει πως θα έχεις μεγαλύτερο administration effort ειδικά αν μπει και δεύτερο ρούτερ που να χρειάζεται traffic policies και configuration. Καλύτερα να γίνει με vlans η δουλειά κατά την άποψη μου. Και ίσως ένας exchange θα ήταν καλύτερο να μπει σε εσωτερική IP και για μεγαλύτερη ασφάλεια πριν από αυτόν σε dmz να μπει κάποια λύση για mail filtering and antispammibg ώστε αφενός να προστατεύεται ο exchange από επιθέσεις και αφετέρου να έχει λιγότερο φόρτο εργασίας. Αν φυσικά μιλάμε για εταιρικό περιβάλλον.

αν μιλαμε για διαφορετικο ευρος ip μιλαμε για διαφορετικο υποδικτυο πραγμα που καθιστα ευκολοτερη την εφαρμογη firewall rules.

σωστα και για vlans...

θεωρεις ωστόσο οτι η παραπάνω λύση υπολείπεται σε κατι απο το DMZ?

[zx1234r]

12 λεπτά πριν, madrivermadonus είπε

αν μιλαμε για διαφορετικο ευρος ip μιλαμε για διαφορετικο υποδικτυο πραγμα που καθιστα ευκολοτερη την εφαρμογη firewall rules.

σωστα και για vlans...

θεωρεις ωστόσο οτι η παραπάνω λύση υπολείπεται σε κατι απο το DMZ?

Από την εμπειρία μου πάντως με fortigate όσα περισσότερα δίκτυα υπάρχουν τόσες περισσότερες πολιτικές πρέπει να φτιαχτούν και ανάλογα ανεβαίνει και η ram. Όταν η ram φτάσει ψηλά, μπαίνουν σε μια κατάσταση υπολειτουργίας για να μην σου μείνουν στο χέρι. Εγώ δηλαδή θα προσπαθούσα να περιορίσω το configuration . Αυτό φυσικά είναι προσωπική άποψη 

Όχι και η πρόταση σου είναι καλή από άποψη ασφαλείας. Για να το θέσω αλλιώς....αν τα επίπεδα ασφάλειας είναι τα ίδια και στις 2 τοπολογίες τότε μπορείς να χρησιμοποιήσεις οποίο τρόπο θέλεις. Απλά με την χρήση δεύτερου ρούτερ έχεις και αυξημενο distance στο priority των MX records. Αν φυσικά μιλάμε πάντα για exchange.