Dotaz: Izolace určitého serveru v LAN

[Jan]

Ahoj, potřeboval bych nakopnout, jak přistoupit k tomuto problému. V rámci naší LAN provozujeme také DMZ kde jsou servery s veřejnou IP. Ale teď potřebuju, aby k jednomu serveru měl root přístup jeden klient. Standardně publikujeme ven pouze TCP 80/443, takže přidám pouze TCP 22 pro SSH, ale problém je, že jakmile se připojí na onen server, má z něj přistup (ne přími přístup, ale jsou viditelné) na ostatní servery a nevím jak to jednoduše omezit.

Prostě ať je každý jednotlivý server, kam přistupuje zákazník s root přístupem naprosto oddělen.

Děkuji

Odpovědi

[MP]

To mate smulu.

Bud nasadite FW na kazdy okolni server (pripadne primo na ten dany, ale to je bezpecnostne slabsi), nebo premigrujete dany server do vlastni zony.

[Jan]

A jak to pak řeší společnosti, které provozují dedikované servery s veřejnými IP? Předpokládám, že tam také nejsou viditelné mezi sebou a lokální FW tam nepomůže.

[GeorgeWH]

Pokial mam niekde dedikovany server, tak je to na mne, aby som si ho zabezpecil. A provider urcite nema svoje servery v jednom segmente s "cudzimi" servermi.

[Jan]

To zní rozumně. Vytvořit klientům vlastní segment a smluvně řešit ať se o to postarají sami co propagují.

[jar-jar]

tyka se IPV4
ipv6 je to trosku horsi

[jar-jar]

pro ipv4

-------------------------------------------------------
zrusit dynamicky arp
https://www.linuxquestions.org/questions/linux-networking-3/disable-dynamic-arp-223275/
-------------------------------------------------------
pokud je klient na jinem eth segmentu/v internetu tak staticky zadat MAC pro default gateway
man arp
-------------------------------------------------------
pokud je klient na stejnem eth segmentu zadat jeho MAC
-------------------------------------------------------
a nezapomenout ze jsem takovou "cunarnu" spachal
treba po vymene sitovky v default GW ... smolik

[V.]

Cisco switche umí režim "private" vlan, komunikace je omezená.
Můžete pustit audit na toho, kdo se přihlásí.
Můžete zakázat konkrétní odchozí komunikaci ze serveru.
V nouzi můžete omezit přes sudo co může provést.

[Kit]

Proto je ten server v DMZ, aby byl vidět zvenčí, ale neviděl dovnitř. Je třeba DMZ správně nakonfigurovat.

[Jurasek]

Zdar. Jmenuje se to PVLAN viz zde . Jura