Newsgroup: it.comp.reti.locali
Titolo: firewall con dmz

salve a tutti,
Mi sto documentando sui firewall con porta DMZ per la mia azienda, e
mi chiedevo se le due sottoreti(quella DMZ e quella LAN) potessero
dialogare, in quanto il server web accede ad alcuni database interni
per dare informazioni in tempo reale. E' possibile fare ciň senza che
questo mandi all'aria tutta la sicurezza del DMZ?
Grazie a tutti per le eventuali risposte.

 questo mandi all'aria tutta la sicurezza del DMZ?
Mi sembra un tantino rischioso. Se un hacker entra in un server pubblico, e
questo ha accesso ad un server su LAN, l'hacker e' automaticamente sulla
LAN.
Tempo fa era stato postato un problema analogo, e avevo buttato li'
l'ipotesi di gestire i due server mediante un client (su LAN) che
sincronizzi i dati di entrambi in base alla rilevazione di modifiche; in
questo modo si eviterebbe che il server pubblico abbia un accesso da client
verso una qualsiasi macchina della LAN.
Se i database non hanno dimensioni allucinanti, sarebbe pensabile una loro
replicazione in blocco su entrambi i server?
Puoi dare un'occhiata alle applicazioni su 
www.peersoftware.com
.
Comunque, se guardi le specifiche ad esempio di SmoothWall
www.smoothwall.org
, c'e' la possibilita' di definire macchine DMZ che
accedono a macchine LAN in modo controllato.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx

 questo mandi all'aria tutta la sicurezza del DMZ?
La DMZ si fa proprio per poter mettere dei servizi che devono essere
raggiunti sia dalla WAN che dalla LAN.
Se devi pubblicare dei dati di database che si trovano in LAN, la DMZ č
la soluzione piů sicura che mi sia nota, onestamente...
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815

 la soluzione piů sicura che mi sia nota, onestamente...
veramente (mi posso pure sbagliare) a quello che ho letto le due reti
(LAN e DMZ) di default rimangono fisicamente separate. La LAN č
abilitata solo ad uscire su Internet e sulla DMZ, mentre la DMZ puň
sia uscire che ricevere chiamate da Internet, ma non puň accedere alla
LAN. Poi chiaramente si puň fare di tutto ma a scapito della
sicurezza.
Quello che chiedevo era, se sul firewall fosse possibile impostare una
sorta di PAT che permettesse al web server o ad un'applicazione Server
sulla DMZ di dialogare con un database sulla LAN.

 Luca
Ti ringrazio per risposta, navigando su 
www.smoothwall.org
 ho trovato
una versione di linux (IpCop 
http://ipcop.org
) che simula un firewall
con porta DMZ in cui è possibile creare delle comunicazioni tra DMZ e
LAN (chiamate pinholes), anche se loro la sconsigliano.
ciao

 sulla DMZ di dialogare con un database sulla LAN.
Certo, ma a scapito della sicurezza. Sono parole tue... (anche se non
capisco cosa ci azzecchi il PAT in tutto questo...)
puoi decidere che sulla lan può entrare *solo* una connessione generata
da una specifica macchina in dmz e *solo* diretta ad una specifica porta
della macchina in LAN.
Questo implica che è possibile dall'esterno vedere quella porta dove
risponde il DB, nel solo caso in cui si prenda il controllo della
macchina in DMZ (ammesso e non concesso che il FW sia configurato come si
deve...)
In alcune realtà questo è un rischio accettabile, in altre no.
Sta solo a te.
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 della macchina in LAN.
Era proprio questa l'iformazione che andavo cercando
grazie, ciao
Pierpaolo Tumino
--------------------------------
Inviato via 
http://usenet.libero.it

 abilitata solo ad uscire su Internet e sulla DMZ
Che mi risulti, in una configurazione really paranoid la LAN esce SOLO
sulla DMZ dove trova dei proxy e dei gateway che reinstradano sulla WAN.
Se permetti alla LAN di uscire direttamente sulla WAN rinunci a parte
della sicurezza, e vanifichi il concetto di DMZ.
