Я хочу запустить программное обеспечение межсетевого экрана / NAT (pfsense) и внутренний NAS (смотрите сейчас на freenas) для своего SOHO на одной машине. Сейчас у меня они разделены на двух разных машинах, но я бы хотел их объединить. Это вообще плохая идея? Я вижу проблему безопасности, когда, если брандмауэр или ОС хоста скомпрометированы, ваши данные по сути испорчены. Но действительно ли это меня беспокоит?
Насколько ценны ваши данные? Машины дешевые. Твоего времени нет.
Я бы предпочел использовать отдельные машины, чтобы максимально упростить настройку и обслуживание. Кроме того, чтобы получить доступ к вашим данным, требуется два взлома, а не один.
Для использования в небольшом офисе, если вы не прокачиваете через него большой объем трафика, я не думаю, что это плохая идея, обязательно с точки зрения безопасности, так как это было бы плохой идеей с точки зрения избыточности / надежности. точка зрения. Убедитесь, что у вас есть хорошая процедура резервного копирования!
Лично мне нравятся отдельные машины только потому, что если одну зажарить, она не все снимет. Серверы виртуальных машин экономят электроэнергию, шум и избавляют от проблем с управлением, но создают единую точку отказа, поэтому это необходимо учитывать при составлении бюджета; если завтра вы полностью потеряете свой компьютер, сколько вам будет стоить вернуть эти данные? Это должно быть то, сколько вы готовы потратить на оборудование для резервного копирования.
В целях безопасности, хотя могут быть некоторые аргументы в пользу беспокойства, практически говоря, вы можете настроить его с помощью сети таким образом, чтобы он был достаточно хорошо разделен, чтобы предотвратить большинство проблем с атаками, с которыми вы, вероятно, столкнетесь, пока вы будете постоянно обновлять и следить за журналами (и, конечно, делать приличные резервные копии). Единственная другая проблема безопасности, которую я вижу, - это то, что обычно нельзя доверять машине самоконтроль; что-то скомпрометировано, тогда оно может сообщить, что ему нужно для журналов и данных. Внешняя система, выполняющая мониторинг IP / протоколирование и т. Д. более надежен при мониторинге того, что происходит внутри вашей сети (если только система брандмауэра не скомпрометирована, но многие устройства могут запускаться из образа, доступного только для чтения, только с разделом данных для сохранения журналов / кеша).
Опять же, исходя из того, что вы описали, я не думаю, что вам будет что терять при консолидации и, вероятно, вы выиграете больше в долгосрочной перспективе, если у вас есть план для резервного копирования и запасного оборудования, если это необходимо для получения ваш виртуальный сервер онлайн после сбоя оборудования. Вы не упоминаете виртуальный сервер, который рассматриваете, но я предположил, возможно, ошибочно, вы думаете о чем-то вроде VMWare ESXi или «голого железа» гипервизора Linux? Как правило, запуск гипервизора без оболочки вместо запуска его поверх обычного сервера или ОС рабочей станции не так уж и опасен ...
Это вам решать. Все, что напрямую связано с Интернетом, даже если это брандмауэр, в большинстве случаев будет одной из первых точек компрометации. То же самое можно сказать и о любом внутреннем сетевом сервере с NAT, что, по сути, сделало бы этот сегмент типом DMZ.
В средах SOHO мне часто нравится иметь основной пограничный маршрутизатор / брандмауэр и файловый сервер как отдельные серверы. Даже в этом случае, в зависимости от доступных ресурсов, я мог бы поступить иначе. SOHO и предприятие - это совершенно разные уровни обслуживания, даже для моего домашнего офиса. Я лично пойду на компромиссы, на которые я бы профессионально не поощрял клиентов.