ИТ администраторът може да заключи DMZ от външна гледна точка, но не успява да постави това ниво на сигурност на достъпа до DMZ от вътрешна гледна точка, тъй като ще трябва да осъществявате достъп, управлявате и наблюдавате тези системи също в рамките на DMZ, но в малко по различен начин, отколкото бихте направили със системи във вашата вътрешна LAN. В тази публикация ще обсъдим препоръчаните от Microsoft Най-добрите практики на DMZ Domain Controller .
amazon prime autoplay
Какво е DMZ домейн контролер?
В компютърната сигурност DMZ или демилитаризирана зона е физическа или логическа подмрежа, която съдържа и излага външните услуги на организацията на по-голяма и ненадеждна мрежа, обикновено Интернет. Целта на DMZ е да добави допълнителен слой на сигурност към LAN на организацията; външен мрежов възел има директен достъп само до системите в DMZ и е изолиран от всяка друга част на мрежата. В идеалния случай никога не трябва да има контролер на домейн, разположен в DMZ, който да подпомага удостоверяването на тези системи. Всяка информация, която се счита за чувствителна, особено вътрешни данни, не трябва да се съхранява в DMZ или DMZ системите да разчитат на нея.
Най-добрите практики на DMZ Domain Controller
Екипът на Active Directory в Microsoft предостави a документация с най-добри практики за стартиране на AD в DMZ. Ръководството обхваща следните AD модели за периметърна мрежа:
- Няма Active Directory (локални акаунти)
- Изолиран горски модел
- Разширен корпоративен горски модел
- Модел на доверие в горите
Ръководството съдържа указания за определяне дали Домейн услуги на Active Directory (AD DS) е подходящо за вашата периметърна мрежа (известна също като DMZ или екстранет), различните модели за внедряване на AD DS в периметърни мрежи и информация за планиране и внедряване за домейн контролери само за четене (RODC) в периметърната мрежа. Тъй като RODC предоставят нови възможности за периметърни мрежи, по-голямата част от съдържанието в това ръководство описва как да планирате и внедрите тази функция на Windows Server 2008. Въпреки това, другите модели на Active Directory, представени в това ръководство, също са жизнеспособни решения за вашата периметърна мрежа.
Това е!
В обобщение, достъпът до DMZ от вътрешна гледна точка трябва да бъде заключен възможно най-здраво. Това са системи, които потенциално могат да съхраняват чувствителни данни или да имат достъп до други системи, които имат чувствителни данни. Ако DMZ сървър е компрометиран и вътрешната LAN е широко отворена, нападателите внезапно имат път към вашата мрежа.
Прочетете следващия : Проверката на предпоставките за повишаване на контролера на домейн е неуспешна
Трябва ли домейн контролерът да е в DMZ?
Не се препоръчва, тъй като излагате своите домейн контролери на определен риск. Ресурсната гора е изолиран AD DS горски модел, който е внедрен във вашата периметърна мрежа. Всички домейн контролери, членове и клиенти, присъединени към домейн, се намират във вашата DMZ.
Прочети : Не може да се осъществи връзка с домейн контролера на Active Directory за домейна
как да разбера дали имате ssd
Можете ли да внедрите в DMZ?
Можете да разположите уеб приложения в демилитаризирана зона (DMZ), за да позволите на външни упълномощени потребители извън защитната стена на вашата компания да имат достъп до вашите уеб приложения. За да защитите DMZ зона, можете:
- Ограничете излагането на изправени пред интернет портове на критични ресурси в DMZ мрежите.
- Ограничете откритите портове само до задължителни IP адреси и избягвайте поставянето на заместващи символи в записите за порт на местоназначение или хост.
- Редовно актуализирайте всички публични IP диапазони в активна употреба.
Прочети : Как да промените IP адреса на домейн контролера .
