Dotaz: reverzny proxy do DMZ a webove ?

[jojo]

Mam reverzny proxy (nginx) aj webove servery (apache) v internej sieti LAN. Nastavil som DNS split pre vhosty, lebo ich vyuzivam interne (LAN) aj externe (WAN). Vytvoril som DMZ a reverzny proxy chcem umiestnit do DMZ. Je dobre do DMZ dat aj webove servery, alebo ich nechat lepsie v internej LAN.

Odpovědi

[MP]

Na to neexistuje jednoznacna odpoved. Prvni vec je, zda ten aplikace na webserveru musi s necim komumikovat (napr. db v intranetu, atd.). Pak vykonnostni rozdily, kdyz to tece pres firewall. Pak bezpecnostni pozadavky, pozadavky z hlediska funkcnosti, atd...

Ja mam nektere webservery v dmz - vetsinou vse v jednom. Jine typy serveru zase mam v intranetu...

Obecne se dnes doporucuje, aby kazdy server byl oddelen firewallem ve smyslu, ze utok muze prijit i zevnitr. Implementacni slozitost neceho takoveho si musi posoudit kazdy sam.

[jojo]

Jedna sa len o homelab a su tam jednoduche veci ako WP, nextcloud, wiki a pod. Je to len na hranie (ziadna produkcia).

[j]

Jde vo to, ze si proste musis sam vyhodnotit, jaky rizika existujou, a jak moc je chces nebo nechces resit.

Viz MP. Ja se snazim kazdej jeden stroj nakonfigurovat tak, jako by byl verejne dostupnej, i kdyz neni. Tzn omezit pristup na minimalne nutny rozsah.

Jde o to, ze libovolna bezpecnost se sklada z vrstev, ktery samy o sobe nemusej prinaset zadny zasadni zlepseni, ale spolecne fungujou velice dobre.

Do DMZ bys mel vystrcit vse, co komunikuje ven, ale ne vzdy to tak uplne jde, protoze web typicky potrebuje databazi, a ta databaze muze byt databazi nejakyho uplne jinyho, interniho systemu.

BTW: Ta jednoducha jak reseto derava vec ... WP ... lol. Kdyz se mrknu na svoji mucholapku, tak tohle s prehledem vyhrava o rady nad cikoli dalsim.

---

Dete s tim guuglem dopice!