Conexão de rede unidirecional

11

Eu tenho um cliente muito paranóico que executa duas redes separadas (uma offline, uma online) com computadores separados etc.

Tenho um desafio porque escrevi um aplicativo para eles que será executado na rede offline, no entanto, a rede precisa ser capaz de enviar e-mails aos clientes. Minha idéia é ter uma conexão de rede unidirecional (como um diodo) do servidor offline para um PC online que enviaria os emails.

Qual é a maneira mais eficaz de fazer isso que é semi-econômica? Posso obter uma placa de rede unidirecional?

Rede do Windows Server 2008, PC com Windows.

windows-server-2008 networking

— bumble_bee_tuna
fonte

1

O SMTP é, por definição, um protocolo bidirecional, para que você nunca possa ter uma verdadeira comunicação unidirecional. O servidor de envio sempre precisará receber uma confirmação do destinatário de que o email foi recebido corretamente.

— EEAA

3

E quanto ao UUCP via sneakernet?

— EEAA

1

Melhor é usar o IPoAC, pois o usuário do tênis pode ser subornado. Veja: en.wikipedia.org/wiki/IP_over_Avian_Carriers

— Mircea Vutcovici

Gripe transportadoras podem ser subornados também .... Você só precisa de algum pássaro-semente :-)

— Tonny

1

@ErikA está correto: se você deseja uma transferência unidirecional literal, o UUCP é a maneira testada pelo tempo de entregar mensagens para a Internet a partir de computadores offline. Use write-once de mídia (por exemplo, discos CD-R), se você quer ser realmente certo de que você tem dados em movimento em apenas uma direção.

— quer

18

Basicamente, você só precisa de um firewall entre os dois com regras muito rígidas, basicamente algo chamado regra 'Negar tudo' e, em seguida, permitir apenas um único ponto de sentido único para apontar a regra de saída de porta única para o que você precisa. Isso é fácil para um especialista em segurança / rede e deve ser satisfatório para o seu cliente.

— Chopper3
fonte

10

Eu não os chamaria exatamente de paranóicos e aplaudo a atitude deles em relação à segurança.

Se eles se deram ao trabalho de redes separadas, provavelmente também se deram ao trabalho de instalar um firewall. Um pequeno furo no firewall que permite apenas o tráfego na porta 25 passar de um endereço IP específico na sua rede offline para um endereço IP específico na sua rede online deve funcionar perfeitamente.

— Ben Pilbrow
fonte

7

Ou melhor ainda: de um endereço mac específico. Ou melhor ainda melhor: A partir de um endereço específico mac autenticado pelo 802.1x

— pauska

7

Eu usaria um link serial que tenha apenas o GND e o TX no servidor seguro e o GNS e o RX na rede não segura. Nenhum controle de fluxo, pois isso pode ser usado para vazar informações da rede não segura para a segura.

Eu criaria um pequeno proxy SMTP-UDP-SMTP composto em 2 daemons. SMTP2UDP e UDP2SMTP.

O SMTP2UDP será um MTA não compatível que será executado na rede segura e aceitará os emails que serão enviados usando o UDP no link serial.

O UDP2SMTP será executado em uma rede não segura e aceitará emails via UDP e os enviará para um MTA real.

No link serial, eu usaria um acoplador óptico para fazer uso do diodo nos requisitos.

— Mircea Vutcovici
fonte

4

Se você quisesse implementar os requisitos da carta, poderia usar um link IP unidirecional que enviasse seus emails via UDP (ou um protocolo unidirecional semelhante) para um daemon personalizado que escutasse esses pacotes e os enviasse via SMTP para o destinatário pretendido.

Obviamente, o sistema de envio (offline) não teria idéia se eles realmente saíram ou não. Para que esse reconhecimento ocorra, você precisa de uma configuração mínima de firewall, como Ben e Chopper3 responderam.

— MikeyB
fonte

1

O protocolo TCP precisa de comunicações bidirecionais. Essa configuração é semelhante a um design da DMZ , em que seu aplicativo é executado na intranet confiável e o servidor de correio e / ou destinatários existem na zona da DMZ não confiável.

Um firewall bem configurado poderá permitir apenas que as conexões sejam iniciadas a partir da intranet confiável, e não o contrário. Se isso não for suficiente, duvido que qualquer conexão física entre as duas redes satisfaça seu cliente, o que significa que você não poderá enviar e-mails automaticamente.

— Martijn Heemels
fonte

1

O IP não requer comunicação bidirecional.

— MikeyB

1

Ele estava se referindo ao TCP. O SMTP está funcionando apenas através do TCP. E o TCP requer comunicação bidirecional. Vou editar sua resposta.

— Mircea Vutcovici

O SMTP precisa de comunicação bidirecional. Uma maneira para os comandos SMTP de saída e a outra para as respostas SMTP de entrada. As respostas do servidor / processo SMTP de destino precisam ser capazes de alcançar o servidor / processo SMTP na origem. Como o servidor de origem usará uma porta efêmera para conexões de saída, você precisará configurar o servidor de origem para sempre usar uma porta predefinida para iniciar a comunicação SMTP de saída. Dessa forma, a regra do firewall está bloqueada em uma única porta de origem e uma única porta de destino.

— joeqwerty

Nada na pergunta requer SMTP. Há mais de uma maneira de enviar e-mails.

— perfil completo de MikeyB

0

Se eles foram até esse ponto para separar as redes, deve haver dois firewalls instalados aqui com uma caixa habilitada para email no meio. No lado offline, permita apenas que as conexões com esta caixa despejem mensagens a serem enviadas por meio de seu aplicativo personalizado. No lado online, permita apenas a conexão smtp com o servidor de email.

Você poderia fazer o mesmo com uma boa relação custo-benefício com uma única caixa de hospedagem dupla com firewall de software em execução em cada interface, mas separar as coisas criará várias camadas adicionais de proteção e seria preferível.

— Paul Ackerman
fonte

0

Eu teria apenas dois servidores de correio, um interno e um externo. Faça com que os servidores anexem e-mails enviados continuamente a um arquivo e, de tempos em tempos, renomeie o arquivo, copie-o em uma chave USB e solte-o em uma pasta de entrada no outro servidor. É quantas instalações realizam lacunas de ar nos servidores de rede.

Se for muito importante atrasar, ele pode ser enviado por um dos clientes externos.

— SilverbackNet
fonte