assegurando a comunicação entre 2 servidores Linux na rede local apenas para portas, eles precisam de acesso a

Question

Eu tenho dois servidores Linux conectados uns aos outros através de um cabo de conexão cruzada, formando uma rede local. Um dos servidores apresenta uma DMZ para o outro servidor (por exemplo, servidor de banco de dados) que deve ser muito seguro.

Estou restringindo essa questão à comunicação entre os dois servidores para portas que precisam estar disponíveis apenas para esses servidores (e mais ninguém). Assim, a comunicação entre os dois servidores pode ser estabelecida por:

(1) abrindo a (s) porta (s) requerida (s) em ambos os servidores, e autenticando de acordo com as regras das aplicações.

(2) desabilitando as tabelas IP associadas às placas NIC ao qual o cabo de conexão cruzada está conectado (em ambos os servidores).

Qual método é mais seguro?

No primeiro caso, as portas necessárias estão abertas para o mundo externo, mas protegidas pelo nome de usuário e senha.

No segundo caso, nenhuma das portas necessárias está aberta ao mundo externo, mas como as tabelas IP estão desabilitadas para as placas NIC associadas aos cabos de conexão cruzada, essencialmente todas as portas podem ser consideradas como " aberto "entre os dois servidores (e, portanto, se o servidor que cria a DMZ for comprometido, o hacker no servidor DMZ poderá visualizar todas as portas abertas usando o cabo de conexão cruzada).

Qualquer sabedoria convencional de como tornar a comunicação segura entre dois servidores para portas que somente esses servidores precisam acessar?

    

Answer 1

Bem, estou inclinado a um: certifique-se de que somente conexões que podem ser feitas sejam originadas no servidor. Então você precisa adicionar uma opção de fonte às regras do iptables. Então você ainda tem uma defesa no lugar com autenticação. O problema é que, se houver um aplicativo em execução no servidor que possa fazer o login no banco de dados, pode haver uma chance de que um usuário mal-intencionado o descubra caso ele tenha acesso ao seu servidor.

O que eu não entendo é por que você desabilitaria iptables em um NIC, não é porque você habilita iptables em um NIC que, de repente, é acessível pela WAN. Pelo contrário, você pode restringir o acesso a ele.

    

Answer 2

Você deve combinar os métodos e usar o iptables.

machineone tem ip machineone machinetwo tem máquina de ip

no machineone:

-A INPUT -s machinetwo -d machineone --dport allowedport2 -j ACCEPT
-A INPUT -s machinetwo -d machineone --dport allowedport2 -j ACCEPT
-A INPUT -j DENY

em machinetwo:

-A INPUT -s machineone -d machinetwo --dport allowedport1 -j ACCEPT
-A INPUT -s machineone -d machinetwo --dport allowedport2 -j ACCEPT
-A INPUT -j DENY