¿Se debe permitir que un servidor web en la DMZ acceda a MSSQL en la LAN?

Esta debería ser una pregunta muy básica e intenté investigarla y no pude encontrar una respuesta sólida.

Supongamos que tiene un servidor web en la DMZ y un servidor MSSQL en la LAN. OMI, y lo que siempre he asumido que es correcto, es que el servidor web en la DMZ debería poder acceder al servidor MSSQL en la LAN (tal vez tendrías que abrir un puerto en el firewall, eso sería ok IMO).

Nuestros chicos de redes ahora nos dicen que no podemos tener acceso al servidor MSSQL en la LAN desde la DMZ. Dicen que cualquier cosa en la DMZ solo debe ser accesible desde la LAN (y la web), y que la DMZ no debe tener acceso a la LAN, así como la web no tiene acceso a la LAN.

Entonces mi pregunta es, ¿quién tiene razón? ¿Debe la DMZ tener acceso a / desde la LAN? O, debe estar estrictamente prohibido el acceso a la LAN desde la DMZ. Todo esto supone una configuración típica de DMZ.

La seguridad de red adecuada indica que los servidores DMZ no deberían tener acceso a la red 'Confiable'. La red de confianza puede llegar a la DMZ, pero no al revés. Para servidores web respaldados por DB como el suyo, esto puede ser un problema, por lo que los servidores de bases de datos terminan en DMZ. El hecho de que esté en una DMZ no significa que TIENE que tener acceso público, su firewall externo aún puede evitar todo acceso a él. Sin embargo, el servidor de base de datos en sí no tiene acceso dentro de la red.

Para los servidores MSSQL, probablemente necesite una segunda DMZ debido a la necesidad de hablar con AD DC como parte de su funcionamiento normal (a menos que esté usando cuentas SQL en lugar de integradas en el dominio, en este punto esto es discutible). Ese segundo DMZ sería el hogar de servidores de Windows que necesitan acceso público de algún tipo, incluso si primero se representa a través de un servidor web. Las personas de Network Security se ponen nerviosas cuando consideran que las máquinas dominadas que tienen acceso público obtienen acceso a DC, lo que puede ser difícil de vender. Sin embargo, Microsoft no deja muchas opciones en este asunto.

Estoy con sus chicos de redes, en teoría. Cualquier otra disposición significa que cuando alguien compromete el servidor web tiene una puerta a su LAN.

Por supuesto, la realidad tiene que jugar un papel: si necesita datos en vivo accesibles desde la DMZ y la LAN, realmente tiene pocas opciones. Probablemente sugeriría que un buen compromiso sería una subred interna "sucia" en la que podrían vivir servidores como el servidor MSSQL. Esa subred sería accesible tanto desde la DMZ como desde la LAN, pero no pudo iniciar conexiones a la LAN y la DMZ.

Si todo lo que está dejando pasar a través del firewall son conexiones SQL del servidor DMZ al servidor MS-SQL, entonces no debería ser un problema.

Estoy publicando mi respuesta porque quiero ver cómo se votó ...

El servidor web en la DMZ debería poder acceder al servidor MSSQL en la LAN. Si no puede, ¿cómo propone obtener acceso a un servidor MSSQL en la LAN? ¡No pudiste!