Tradizionalmente sul mio posto di lavoro abbiamo una sottorete interna completamente protetta dal nostro firewall. Nessuna porta può essere aperta per le connessioni dirette dalla rete pubblica. Eseguiamo anche una DMZ in cui consentiamo l'apertura di porte specifiche solo quando sono necessarie. Inoltre, non permettiamo che le connessioni alla rete interna siano aperte dalla DMZ, ma la rete interna può aprire connessioni alla DMZ. Mi azzarderei a pensare che si tratta di una configurazione DMZ tradizionale piuttosto carina.
Ospitiamo anche i nostri controller di dominio nella nostra rete interna. Fino a questo punto, l'implicazione di questo è stato che abbiamo bisogno di gestire la password DMZ separatamente poiché non esiste l'autenticazione AD. Questo non è stato un grosso problema dato che abbiamo avuto solo una manciata di server DMZ.
Ora stiamo per lanciare un prodotto che richiederà significativamente più server DMZ e, durante l'ultima fase dei nostri test, abbiamo già riscontrato problemi con la gestione delle password sui sistemi DMZ. La soluzione sembra essere quella di perforare il buco dalla DMZ alla rete interna per consentire ai server DMZ di essere uniti al dominio.
Per me questo solleva 2 domande:
- Questa è anche una buona idea?
- Supponendo che non sia una pessima idea, è meglio consentire a percorsi specifici per ogni server di tornare ai controller di dominio, per consentire l'intera sottorete di tornare, o per distribuire un DC sulla DMZ e consentire solo quel server per tornare indietro.
Spero che qualcuno là fuori abbia qualche idea.