El uso de NGINX u otros balanceadores de carga ayudará un poco con la seguridad de la aplicación. Protege de las vulnerabilidades de seguridad del servidor de aplicaciones y ayuda a resistir los ataques DDOS.
Además, la descarga de SSL a la capa proxy puede ayudar al rendimiento general, así como a mitigar de nuevo cualquier posible defecto en la implementación de SSL (TLS) de los servidores de aplicaciones. Ser un servidor común con mucho desarrollo abierto tiende a significar que los problemas de seguridad se encuentran y se solucionan más rápidamente en los servidores web / proxy que en los servidores de aplicaciones.
Lo principal es que algo como NGINX puede configurarse teniendo en cuenta la seguridad y proporcionar una capa externa adicional y bien soportada.
En términos de diseño de red, sus servidores web front-end operarán en una DMZ y, por lo tanto, estarán separados de los servidores de bases de datos y aplicaciones back-end a través de un firewall. También puede optar por colocar los servidores de aplicaciones en la DMZ o incluso tener una DMZ interna y externa si necesita seguridad adicional, aunque también deberá tener en cuenta los problemas de rendimiento.
Si necesita o no una infraestructura adicional, así como la función de equilibrio de carga, también dependerá de factores que no conocemos. Cosas como el rendimiento de los servidores de aplicaciones, la cantidad de conexiones de clientes, el ancho de banda disponible, el rendimiento disponible de los servidores (virtuales), etc.
En cuanto a tu ejemplo de intercambio. Exchange está diseñado específicamente para ser escalado usando muchos servidores de productos básicos. Sin embargo, se implementa comúnmente detrás de varias capas de protección, incluida una capa de transporte de borde, administración de virus / spam, protección contra intrusiones y prevención de pérdida de datos. Como la mayoría de los que requieren inspección de contenido, también es común descargar SSL / TLS al perímetro también.
El diseño detallado depende del valor de los datos, la exposición de los datos, el volumen, el tipo y varios otros factores, así como el apetito de riesgo de las organizaciones y si está operando en una industria regulada. Como no sabemos nada de eso, no podemos comentar sobre esos detalles.
La DMZ no está muerta pero puede tener más matices.