Lösung für SQL Infrastruktur

[LangerSN 10]

Hallo zusammen,

folgendes Problem haben wir bei der Planung einer SQL Infrastruktur.

 

Wir betreiben eine DMZ wo unterschiedliche Webapplikationen auf einen SQL Server zugreifen soll. Weiterhin betreiben wir in unserer Produktion ebenfalls SQL Datenbanken. Mit einer neuen Infrastruktur soll SQL zukünftig virtualisiert werden.

 

Da es sich um eine HA VMWare Infrastruktur handelt, wäre für eine SQL Core Lizensierung zusätzliche auch noch Software Assurance notwendig. SQL Core Lizensierung da der Anzahl der SQL User intern als auch extern zu hoch ist.  

 

Lösung 1: DMZ erhält eigene VM mit SQL Core Lizensierung + SA / internes LAN erhält eigene VM mit SQL Core Lizensierung + SA

 

Lösung 2: DMZ und Internes LAN erhalten eine gemeinsame VM mit SQL Core Lizensierung + SA. Die DMZ spricht mit einem Applikation Server um sich Daten aus dem SQL raus zu holen. Es müsste sichergestellt sein, das kein Zugriff aus der DMZ direkt auf den SQL möglich ist. 

 

Stand jemand schon mal bereits vor einer ähnlichen Frage. Wie habt Ihr es gelöst?

 

Danke für Eure Meinungen.

[Dukel 460]

Es kommt auf eure Anforderungen an.

Von physikalischer Trennung (unterschiedliche ESX Farmen) über logische Trennung (eine Farm mit unterschiedlichen Bereichen) bis zu gemeinsamen Hosten der Virtuellen Maschinen (eine VM für intern und DMZ) ist alles drin.

 

Wenn die Webapplikation auf den SQL zugreifen muss weiß ich nicht wie du den Zugriff aus der DMZ auf den SQL Server unterbinden willst.

[LangerSN 10]

Die Webapplikation könnte umprogrammiert werden so das diese sich nur noch mit einem Applikation Server unterhält und dieser würde die Daten aus dem SQL holen.

 

Ich frage mich nur was daran sicherer sein soll. Soll wohl im Microsoft Operation Framework so beschrieben sein. Habe leider noch nichts im Detail gefunden.

[DocData 85]

Eine Sicherheitslücke in der Web-Anwendung würde dazu führen, dass ein direkter Zugriff auf die Datenbank möglich wäre. Stellt man einen Applikationsserver dazwischen, können Abfragen gefiltert werden (Plausibilitätsprüfung etc.). Damit wäre kein direkter Zugriff mehr möglich. Wer Ersteres macht, der gehört gefeuert.

 

Im besten Fall steht die Web-Anwendung in der DMZ und der Applikationsserver im LAN. Anwendung und Applikationsserver unterhalten sich über eine verschlüsselte Verbindung. Je nach Sicherheitsanforderungen kann dann die Datenbank zusammen mit anderen Datenbank zentral betrieben werden.

[LangerSN 10]

Sind solche Applikationsserver grundsätzlich Eigenentwicklungen oder gibt es da schon fertige Produkte die man dann konfigurieren muss? 

[DocData 85]

Das kommt auf die Anwendung an.

[LangerSN 10]

Die Anwendung ist eine komplette Eigenentwicklung.

 

Gibt es Beispiele für fertige Produkte?

[DocData 85]

Quasi jede 3-Tier Applikation.

[Dukel 460]

Wobei das eher vier-Tier sein sollten.

Ein Tier ist der Client (Browser). SQL -> App -> Browser

[DocData 85]

Ja, oder so. Definitionssache. Üblicherweise ist der Client kein eigenes Tier.

bearbeitet 7. Februar 2016 von DocData