Я никогда раньше не развертывал обратный прокси-сервер, и мне было интересно, является ли он обязательным с точки зрения безопасности, чтобы гарантировать, что только аутентифицированные запросы доходят до моего сервера веб-приложений за DMZ?
Мой сервер веб-приложений, на котором запущен стек linux tomcat, имеет всю обязательную инфраструктуру безопасности и брандмауэра и может аутентифицировать свои собственные запросы. Мы просто не хотим размещать его в DMZ, поскольку он не всегда запускает последнюю версию ОС или Tomcat.
Поиск в Google «лучших практик обратного прокси» или «лучших практик безопасности обратного прокси» не дал никаких рекомендаций по обязательному включению аутентификации на прокси.
Каковы рекомендации по этому поводу и что обычно практикуется в этой области? Я был бы признателен за все ответы, особенно от людей, которые действительно развернули обратные прокси в среде, заботящейся о безопасности, например, в банках и т. Д.
Заранее спасибо.
Я думаю, что нет общего руководства по этой теме. Я настроил несколько обратных прокси-серверов в разных областях и иногда использовал аутентификацию, а иногда нет, в значительной степени в зависимости от фактического варианта использования.
Из вашего вопроса
Мой сервер веб-приложений, на котором запущен стек linux tomcat, имеет всю обязательную инфраструктуру безопасности и брандмауэра и может аутентифицировать свои собственные запросы.
Я бы сделал вывод, что аутентификация на вашем прокси-сервере не имеет большого смысла, если ваш сервер уже делает это. Включение аутентификации в обратный прокси имеет смысл, когда вы хотите создать безопасное соединение между клиентом и небезопасным сервером. Когда ваш сервер уже в безопасности, я не вижу причин для добавления еще одного уровня безопасности.
Я никогда раньше не развертывал обратный прокси-сервер, и мне было интересно, является ли он обязательным с точки зрения безопасности.
Это определенно не обязательно. Конечно, хорошей практикой является обеспечение ресурсов, которые в противном случае были бы полностью открытыми. Итак, ваш сервер уже является «безопасным» и запрашивает аутентификацию, я бы не стал добавлять еще один экземпляр аутентификации.
Я много лет работал инженером по инфраструктуре в компании, находящейся на окраине банковской индустрии, и переводил большие суммы денег между множеством людей.
Наши системы никогда не требовали аутентификации от прокси-серверов, хотя они не были доступны извне (то есть за NAT), хотя в приложении происходила аутентификация пользователя.
Такая установка никогда не была проблемой, и помимо внутренней проверки проводился ряд аудитов со стороны внешних аудиторов и внешних экспертов - никто никогда не рассматривал это как потенциальную проблему.
Возможно, уместные вопросы помогут вам прояснить ситуацию, поскольку ответы могут отличаться в зависимости от развертывания и могут повлиять на ваше решение -
Каковы последствия обхода пользователя обратным прокси? Почему прокси-сервер - лучшее место для защиты от угроз?
Как добраться до систем, стоящих за защищенным прокси, и есть ли более подходящее место для размещения конечных узлов? Имеет ли смысл защищать прокси другими способами, кроме их аутентификации?