¿Proxy entre el servidor web en DMZ y el servicio SOAP en la red interna?

1

Tengo un servidor web que se encuentra en una DMZ y está expuesto a Internet.

También tengo un servidor de aplicaciones que aloja un servicio SOAP en la red interna.

Necesito acceder al servicio SOAP desde el servidor web.

Sé que podría abrir un puerto y permitir el acceso directo a https desde el servidor web al servicio SOAP, pero no quiero hacerlo.

¿Tiene sentido agregar un servidor proxy en la red interna y permitir que el servidor web acceda solo al proxy a través de https?

El proxy luego reenviaría las solicitudes al servicio SOAP.

¿Es eso una mejora en la seguridad?

    
pregunta yglodt 15.03.2017 - 16:18
fuente

1 respuesta

3

Web Proxy vs Port Forwarding:

El proxy es más fácil de secuestrar y reconfigurar (es una aplicación) que las tablas de enrutamiento del kernel, etc. Además, el proxy web creará más carga que la pila TCP / IP del kernel. Así que el proxy es peor desde el punto de vista de la seguridad y la carga de la máquina.

Problema de arquitectura:

Todas las configuraciones donde permitas conexiones desde DMZ a la red interna son malas y deben evitarse. El problema está en

  

Necesito acceder al servicio SOAP (red interna) desde el servidor web (DMZ).

No es como debería funcionar la DMZ. Creamos DMZ para separar los servicios del mundo exterior (Internet) de la red interna, de modo que cuando (porque realmente es CUÁNDO, no SI) se pusieron en peligro, el atacante no puede moverse fácilmente para salir de la red local.

Solución sugerida:

Puede crear un segundo DMZ restringido para el servicio SOAP y configurar el reenvío de puertos solo para el tráfico proveniente de su servicio web en DMZ y en la red interna. De esta manera, el servicio SOAP está protegido de la misma manera que cuando está en la red interna, pero además, cuando está comprometido, no abre la red interna al atacante.

    
respondido por el rsm 15.03.2017 - 17:00
fuente

Lea otras preguntas en las etiquetas