Um servidor da Web na DMZ deve ter permissão para acessar o MSSQL na LAN?

Essa deve ser uma pergunta muito básica e tentei pesquisar e não consegui encontrar uma resposta sólida.

Digamos que você tenha um servidor Web na DMZ e um servidor MSSQL na LAN. A IMO, e o que eu sempre assumi estar correto, é que o servidor da Web na DMZ deve poder acessar o servidor MSSQL na LAN (talvez você precise abrir uma porta no firewall, isso seria ok IMO).

Nosso pessoal de rede agora está nos dizendo que não podemos ter acesso ao servidor MSSQL na LAN a partir da DMZ. Eles dizem que qualquer coisa na DMZ deve ser acessível apenas a partir da LAN (e da Web) e que a DMZ não deve ter acesso à LAN, assim como a Web não tem acesso à LAN.

Então, minha pergunta é: quem está certo? A DMZ deve ter acesso à / da LAN? Ou, deve ser estritamente proibido acessar a LAN a partir da DMZ. Tudo isso assume uma configuração típica da DMZ.

A segurança de rede adequada indica que os servidores DMZ não devem ter acesso à rede 'Confiável'. A rede confiável pode acessar a DMZ, mas não o contrário. Para servidores Web com suporte a DB como o seu, isso pode ser um problema, e é por isso que os servidores de banco de dados acabam em DMZs. Só porque está em uma DMZ, não significa que ele tenha acesso público, seu firewall externo ainda pode impedir todo o acesso a ele. No entanto, o próprio servidor de banco de dados não tem acesso a dentro da rede.

Para servidores MSSQL, você provavelmente precisará de uma segunda DMZ devido à necessidade de conversar com os AD DCs como parte de seu funcionamento normal (a menos que você esteja usando contas SQL em vez de integradas ao domínio, quando isso for discutível). Essa segunda DMZ seria o lar de servidores Windows que precisam de algum tipo de acesso público, mesmo que seja proxy por meio de um servidor Web primeiro. O pessoal da Segurança de rede fica irritado quando considera que máquinas domadas com acesso público obtêm acesso a controladores de domínio, o que pode ser difícil de vender. No entanto, a Microsoft não deixa muitas opções nesse assunto.

Estou com o pessoal da rede, em teoria. Qualquer outro arranjo significa que, quando alguém compromete o servidor da Web, ele tem uma porta na sua LAN.

Obviamente, a realidade tem um papel a desempenhar - se você precisar de dados ao vivo acessíveis a partir da DMZ e da LAN, então você realmente tem poucas opções. Eu provavelmente sugeriria que um bom compromisso seria uma sub-rede interna "suja" que servidores como o servidor MSSQL poderiam viver. Essa sub-rede seria acessível a partir da DMZ e da LAN, mas protegida por firewall por não poder iniciar conexões com a LAN e a DMZ.

Se tudo o que você está deixando passar pelo firewall são conexões SQL do servidor DMZ para o servidor MS-SQL, isso não deve ser um problema.

Estou postando minha resposta porque quero ver como foi votada ...

O servidor da Web na DMZ deve poder acessar o servidor MSSQL na LAN. Se não puder, como você propõe obter acesso a um servidor MSSQL na LAN? Você não conseguiu!