Webサーバーを保護しているが、開発者がアクセスできるようにする

Question

DMZには、インターネットへのオープンアクセスと内部ファイアウォール経由の内部ネットワークへのRDPアクセスを持つWebサーバーがあります。 Web開発者（Visual Studioを含む多くの異なるツールを使用する）は、コンテンツの変更や新しいプロジェクトをWebサーバー上の特定のフォルダに「公開」する機能を必要とします。この機能を使用するには、パブリッシュ先のサーバーにドライブをマップする必要があります。

私たちのネットワークチームは、内部的にサーバーへのNTFSアクセスを開くことを拒否しています。私はそれらに幾分同意します - NTFSアクセスをポート番号で制限する方法はありません。私が気づいている選択肢としては存在しません。

私たちの質問になると、他の企業は、内部ネットワークからのWebサーバーとの間で送受信されるトラフィックを保護する必要があります。どのようにして、Webサーバーを完全に開くことなく、DMZ内のWebサーバーにマップされたドライブを許可するのですか？

おかげ

Answer 1

CIFS通常、いくつかのポートの1つで動作します：TCP 445、137、139; UDP 137,138.あなたのファイアウォールチームは、これらの特定のポートに対して、ライブWebサーバーを更新する特権を持つ特定の内部ホストに穴を開けるべきです。

ホストの両側に別々のファイアウォールがある「実際の」DMZの場合は、アクセスを許可するためにファイアウォールとWebサーバーのホストファイアウォールの両方を簡単に変更する必要があります。 DMZが単一のファイアウォールで少し偽装されている場合でも、ファイアウォールとサーバーのホストファイアウォールの両方で内部ホストからのアクセスのみを許可することは可能ですが、単一のファイアウォール。