webserver in DMZ veilig?

[niXnut]

mijn thuisnetwerk ziet er als volgt uit:

ADSL modem van Demon
3com wireless gateway/firewall
windows 2003 file/print/php(mySQL) server.
xp desktop
xp laptop

Nou wil ik mijn servertje ook als webserver gaan gebruiken naar buiten toe. Op aanraden van iemand die er verstand van heeft heb ik nu 2 nics in mijn server: eentje waar het lan over loopt en eentje voor mijn wan. Op die wan verbinding staat de firewall aan, er kan alleen http verkeer overheen. Ook op aanraden van diezelfde persoon wil ik die server in de DMZ plaatsen. Is dat wel veilig op die manier. Het is natuurlijk niet de bedoeling dat al mijn gegevens (want is ook fileserver) op straat komen te liggen.

[Osiris]

Waarom zou je hem (ook al is het op aanraden van die gozer) in je DMZ zetten? Gewoon poort 80 mappen en niet miepen?

Op zich zou t wel veilig zijn als die firewall de rest tegenhoud

[Verwijderd]

in feite is er wbt de server geen enkel verschil met één pc aan een modem: zolang je firewall op orde is, is het risico acceptabel.

het netwerk erachter is niet makkelijk te kraken als je bijv. verschillende subnets gebruikt. dan zullen ze al eerst je server moeten overnemen om überhaupt iets met de rest te kunnen.

[TrickShot]

Je webserver in een dmz zetten heeft niet als doel om de webserver meer te beveiligen, maar om de rest van je netwerk te beveiligen. Als je webserver gehackt wordt, word niet je hele interne netwerk de speeltuin van de hacker. Doordat je een poort forward naar die webserver creëer je een zwakte in je beveiliging. De dmz beperkt het nadeel van deze zwakte.

[alt-92]

Helaas is DMZ in de meeste hakkie-takkie-oewa routers eerder een Exposed Host config dan een echte DMZ.

[niXnut]

De DMZ van zo'n 3com officeconnect is niet meer dan een virtual DMZ. Ik weet dat zo'n DMZ de bedoeling heeft om de rest van het netwerk af te schermen. Het probleem is; die webserver is de rest van het netwerk. Het is namelijk ook mijn fileserver/printserver/php server en mailserver voor het lan gedeelte!!!

van binnenuit loopt het verkeer naar en van die server wel via een andere netwerkkaart/verbinding

[ Voor 16% gewijzigd door niXnut op 04-08-2004 00:15 ]

[Verwijderd]

niemand die hier nog wat zinnigs over te zeggen heeft? Is het verstandig om je interne fileserver als webserver in de DMZ te zetten of door de firewall te forwarden?

[Erkens]

Verwijderd schreef op 04 augustus 2004 @ 12:50:
niemand die hier nog wat zinnigs over te zeggen heeft? Is het verstandig om je interne fileserver als webserver in de DMZ te zetten of door de firewall te forwarden?

forwarden en de rest blokken is imo de beste methode, zeker als die webserver in hetzelfde subnet zit als de rest van je netwerk

[Spacecowboy]

Verwijderd schreef op 04 augustus 2004 @ 12:50:
niemand die hier nog wat zinnigs over te zeggen heeft? Is het verstandig om je interne fileserver als webserver in de DMZ te zetten of door de firewall te forwarden?

Als je gewoon alleen port 80 forward en met een firewall/NAT voor de rest alles dichtspijkerd, is het veiligheids risico, zeker voor een thuissituatie, alleszins acceptable naar mijn idee.

Het mooiste is natuurlijk om die webserver op een aparte machine in een apart subnet te laten draaien, dan zit je helemaal goed.

[Verwijderd]

voldoet de standaard firewall van 2003 server die ik heb ingesteld aan de wan kant? Ik heb m zo ingesteld dat ie alleen http verkeer door laat.