Для интернет-управления клиентами поддерживается несколько сценариев, и каждый из них имеет свои преимущества: Чтобы определить, должны ли сервера находиться в демилитаризованной зоне или в интрасети, необходимо решить, какой сценарий наиболее подходит для вашей среды и бизнес-требований.
Все ссылки на размещение сервера, приведенные ниже, относятся только к основному сайту, так как дополнительные сайты не поддерживают интернет-управление клиентами.
Размещение сервера для сайтов, которые не должны управлять клиентами в интрасети
Если сайт Configuration Manager 2007 не должен поддерживать клиенты через Интернет и в интрасети, применяются сценарии 1 и 2, описанные в следующей таблице. В следующей таблице приведены преимущества и недостатки каждого из сценариев и соответствующее размещение сервера.
| Сценарий, поддерживающий только клиенты через Интернет | Преимущество | Недостаток | Размещение сервера |
|---|---|---|---|
|
Сценарий 1. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Сервер сайта находится в интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией, чем подключение, инициированное из интрасети. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта в интрасети, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. Чтобы избежать таких входящих подключений, используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 1. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Сервер сайта находится в интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Реплика SQL означает, что все подключения из демилитаризованной зоны к интрасети инициируются из интрасети, что является более безопасным, чем подключения, инициированные из демилитаризованной зоны. |
Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Для реплики SQL необходим сервер со связанными затратами, а также будет наблюдаться некоторая задержка репликации между репликой и сервером сайта. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта в интрасети, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. Чтобы избежать таких входящих подключений, используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 2. интернет-сайт содержится внутри демилитаризованной зоны:
|
интернет-трафик не попадает в интрасеть. От сервера родительского сайта к серверу дочернего сайта необходима только одна настройка на серверном брандмауэре. Поддерживает централизованное управление и отчеты. |
Сервер сайта более уязвим для атак из Интернета, чем размещенный в интрасети. Необходимо настроить серверный брандмауэр так, чтобы он пропускал входящий SMB-трафик. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. В качестве альтернативы используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 2. интернет-сайт содержится внутри демилитаризованной зоны:
|
интернет-трафик не попадает в интрасеть. Не требуется каких-либо настроек на серверном брандмауэре. |
Сервер сайта более уязвим для атак из Интернета, чем размещенный в интрасети. Не поддерживает централизованное управление и отчеты. |
Демилитаризованная зона:
Интрасеть:
|
Размещение сервера для сайтов, которые управляют клиентами через Интернет и в интрасети
Если сайт Configuration Manager 2007 должен поддерживать клиенты через Интернет и в интрасети, применяются сценарии 3 и 4, описанные в следующей таблице. В следующей таблице приведены преимущества и недостатки каждого из сценариев и соответствующее размещение сервера.
| Сценарий для поддержки клиентов через Интернет и в интрасети | Преимущество | Недостаток | Размещение сервера |
|---|---|---|---|
|
Сценарий 3. Сайт охватывает демилитаризованную зону и интрасеть. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Существует вторая точка управления (и вторая точка обновления программного обеспечения и точка восстановления состояния, а также дополнительные точки распространения) и другие системы сайтов, которые находятся в интрасети для клиентов, подключающихся к интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Назначенная точка управления и дополнительные системы сайта, к которым подключаются клиенты интрасети, отделены от интернет-трафика. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Для интернет-подключений необходимо больше серверов со связанными затратами. Экспорт и импорт метаданных обновлений программного обеспечения вручную связан с определенной административной нагрузкой. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией, чем подключение, инициированное из интрасети. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 3. Сайт охватывает демилитаризованную зону и интрасеть. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Существует вторая точка управления (и вторая точка обновления программного обеспечения и точка восстановления состояния, а также дополнительные точки распространения) и другие системы сайтов, которые находятся в интрасети для клиентов, подключающихся к интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Назначенная точка управления и дополнительные системы сайта, к которым подключаются клиенты интрасети, отделены от интернет-трафика. Реплика SQL означает, что все подключения из демилитаризованной зоны к интрасети инициируются из интрасети, что является более безопасным, чем подключения, инициированные из демилитаризованной зоны. |
Для интернет-подключений необходимо больше серверов со связанными затратами. Экспорт и импорт метаданных обновлений программного обеспечения вручную связан с определенной административной нагрузкой. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Между демилитаризованной зоной и интрасетью нет границы безопасности, что не является рекомендуемым решением. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Необходима обратная настройка прокси между демилитаризованной зоной и интрасетью, таким образом интернет-системы сайта в интрасети будут публиковаться на интернет-клиентах. интернет-клиенты обходят границу безопасности для выполнения подключений к серверам в интрасети. Снизить данную угрозу можно использованием на прокси-сервере моста SSL вместо туннелирования SSL. Дополнительные сведения см. в разделе Определение требований к прокси-серверам для использования интернет-управления клиентами. |
Демилитаризованная зона:
Интрасеть:
|
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Клиенты интрасети обходят границу безопасности для выполнения подключений к серверам, открытым для интернет-трафика. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией. |
Демилитаризованная зона:
Интрасеть:
|