Lync2013 / Requisitos do Skype for Business 2015 Firewall

Question

Estamos procurando implantar uma única borda consolidada em um cluster do vSphere. Ao ler a documentação da Microsoft, parece que você precisa de duas camadas de firewall.

Internet <--> Firewall <--> Edge Server/Reverse Proxy <--> Firewall <--> Front End/LAN

Na prática, dado um ambiente virtual, com apenas um firewall externo, você realmente precisa de outro firewall entre o Edge (que terá dois NICS, um no DMZ e um na LAN com rotas estáticas / não há gatewy padrão) e o servidor Frontend na LAN?

Na mesma nota - no que diz respeito a um proxy reverso, por que você não pode apenas NAT direto da WAN para a interface LAN do frontend para o Lync Web Services?

    

Answer 1

As práticas recomendadas e as diretrizes de design da Microsoft para implantações do Lync / SfB sugerem:

• Usando um proxy reverso para publicar os serviços da Web externos de servidores front-end.
• Colocando os servidores Edge em uma posição tal que eles estejam bloqueados entre dois firewalls, um separando suas interfaces públicas da Internet e um separando suas interfaces internas da LAN.

Dito isto, é bastante comum usar configurações mais simples:

• O proxy reverso pode, de fato, ser substituído por um NAT simples, mas é necessário remapear as portas TCP, porque os serviços da Web externos precisam ser publicados na porta TCP 443, mas eles estão realmente ouvindo em servidores front-end A porta TCP 4443 (a porta 443 é usada para os serviços da web internos ).
• Os servidores do Edge podem ter suas interfaces internas diretamente conectadas à sua LAN; no entanto, lembre-se de que esse é um risco de segurança em potencial: se um servidor Edge for comprometido, ele poderá (e será) usado como uma bridgehead na sua rede; essa é a principal razão de design para colocar um firewall entre ele e sua LAN.