内部ネットワーク/サーバー分離のベストプラクティス

Question

5つの静的IPのブロックがあり、エクスチェンジとWebサーバーをオンサイトで実行する予定です。 WebサーバーのIP、メールのIP、内部ネットワークのIPを分離する必要があるかどうか疑問に思っています。内部ネットワークと外部ネットワークを分離するためのベストプラクティスは何でしょうか？

サーバーはDMZで、ファイアウォールの背後にあります。

Answer 1

これらすべてのサービスを分離します。さまざまな方法でより安全です。

• 1台のマシンが故障しても、すべてのサービスがシャットダウンされるわけではありません
• 1台のマシンが危険にさらされてもサービスがシャットダウンされない

私が理解していないのは、内部IPの意味ですか？ NAT用ですか？もしそうなら、あなたは確かにそれも分離する必要があります。

また、サービスに応じてファイアウォールルールにも注意してください。ブラックリストではなく、常にホワイトリスト。あるサービスが別のサービスを見る必要がない場合は、それをブロックします。

Answer 2

ベストプラクティスのベスト（参照：ほとんどの妄想）は、関数ごとに個別のDMZを使用します。あなたの場合、それは個別のDMZ WebサーバーとExchangeインフラストラクチャ用のもう1つのデバイス。各デバイスは内部ネットワークの限られたビューしか取得できず、重要なことに、他のDMZデバイスも表示できません。