Я работаю с веб-приложением, которое использует две машины, сервер BSD и сервер Windows 2000. Когда кто-то заходит на наш веб-сайт, он подключается к серверу BSD, который, используя прокси-модуль Apache, передает запросы и ответы между ними и веб-сервером на сервере Windows. Идея (разработанная и развернутая около 9 лет назад) заключалась в том, что было более безопасно иметь сервер BSD в качестве того, к чему подключались внешние люди, чем сервер Windows, на котором запущено веб-приложение. Сервер BSD представляет собой простую установку, в которой удалены все ненужные службы и приложения.
Эти серверы скоро будут заменены, и большой вопрос в том, нужен ли урезанный базовый сервер для обеспечения безопасности в этой установке. Из моего онлайн-исследования я не вижу, чтобы кто-то еще запускал такую установку (я не вижу, чтобы кто-то сомневался в этом). Если у них есть сервер между пользователем и серверами веб-приложений, он кэширует, сжатие и / или балансировка нагрузки. Что я упускаю из виду, позволяя людям напрямую подключаться из Интернета ** к серверу Windows 2008 R2, на котором запущено веб-приложение?
** между Интернетом установлен хороший аппаратный брандмауэр с минимальным количеством открытых портов
Спасибо.
Если вы воспользуетесь советом mfinni и поместите свой сервер в демилитаризованную зону (вы, безусловно, должны, и с у вас есть приличный аппаратный брандмауэр, я сомневаюсь, что это будет сложно), ответ все равно будет «возможно».
Я согласен что есть Меньше Причина безопасности для этого в наши дни, IIS намного лучше, чем был. Тем не менее, это может помешать некоторым атакам, и вы, несомненно, получите небольшое преимущество в безопасности.
OTOH, взвесьте, что теперь у вас есть 3 элемента на критическом пути, а не 2 (брандмауэр, RProxy и веб-сервер) - если какой-либо из них сработает, вы потеряете обслуживание.
Вам нужно взвесить небольшой выигрыш в безопасности по сравнению с риском управления и надежности. Если бы у вас было> 1 веб-сервера или вы выполняли ускоренную работу на прокси-сервере, я был бы более склонен оставить его. В его нынешнем виде это звучит так, будто главный парень (это вы) не очень заинтересован, и, возможно, он больше любит окна (я предполагаю, не принимайте это как пламя или что-то еще) и предпочел бы не нужно администрировать другой сервер. Будет ли потратить больше времени на уход за веб-сервером лучше, чем возиться с прокси?
Тем не мение. Должно быть ваше призвание - но я не думаю, что он предлагает вам достаточно, чтобы больше считаться важным.
Мех. Стандарты безопасности и управления моей компании требуют наличия обратного прокси-сервера Apache перед любым веб-сервером, будь то IIS, WebSphere или что-то еще.
Хотя для вашей ситуации вы также не говорите, что сервер Windows находится в DMZ. Если это не так, сделайте это немедленно, независимо от того, сохраняете ли вы свой прокси-сервер или нет.
Простой ответ: нет
Более длинный ответ: нет - дни, когда нужно было прятать IIS за прокси * nix, теперь прочно вошли в темные века, если ваше веб-приложение относительно безопасно, и вы хорошо брандмауэруете машину с Windows, тогда нет никакой пользы от размещения прокси впереди машины Windows с точки зрения безопасности. Единственное преимущество было бы с точки зрения производительности / балансировки нагрузки, и это не похоже на то, что здесь применяется.