Tradicionalmente, en mi lugar de trabajo tenemos una subred interna que está completamente protegida detrás de nuestro firewall. No se permite abrir puertos para conexiones directas desde la red pública. También ejecutamos una DMZ en la que solo permitimos que se abran puertos específicos cuando se necesitan. Además, no permitimos que las conexiones a la red interna se abran desde la DMZ, pero la red interna puede abrir conexiones a la DMZ. Me atrevería a decir que esta es una configuración bastante tradicional de estilo DMZ.
También alojamos nuestros controladores de dominio en nuestra red interna. Hasta este punto, la implicación de esto ha sido que necesitamos administrar la contraseña DMZ por separado, ya que no hay autenticación AD. Esto no ha sido un gran problema ya que solo hemos tenido un puñado de servidores DMZ.
Ahora estamos a punto de lanzar un producto que requerirá significativamente más servidores DMZ, y durante la última fase de nuestras pruebas ya tuvimos problemas con la administración de contraseñas en los sistemas DMZ. La solución parece ser perforar el agujero de la zona DMZ a la red interna para permitir que los servidores DMZ se unan al dominio.
Para mí esto plantea 2 preguntas:
- ¿Es esto incluso una buena idea?
- Suponiendo que no es una idea terrible, ¿es mejor permitir rutas específicas para que cada servidor vuelva a los controladores de dominio, permitir que la subred completa regrese, o implementar un DC en la DMZ y solo permitir ese servidor para volver a través.
Espero que alguien tenga algunos pensamientos.