Cisco & ISA

[c4004]

Buenas,

Estoy desorientado, para proteger una red y usar proxy con isa server, cual topologia me recomiendan?

Estas son las dos que se me ocurrieron, sirve alguna ? sino sirven como tendria que armarse la red ? Les aclaro que no trabajo de esto, solo estoy aprendiendo. espero que se entienda.

Inet > Cisco(Router) > ISA SRV > Switch > PCS

o

Inter > Cisco(Router) > Switch > PCS
.............................................> ISA SRV


En la primera configuracion el trafico del inet hacia la red interna pasa directamente/fisicamente al ISA SRV.

En la segunda configuracion pordria especificar en el router cisco de mandar todo el trafico que llegue de internet hacia la red interna al ISA SRV.

La cuestion es que pase por el ISA(firewall/proxy) antes de llegar a la red interna y viceversa.

Otra duda, un servidor con ISA, no se conviente en un router ? con nat/port forwading ... etc ? o sea podria dejar: inet > ISA SRV > SWITH > PCS y dejar de lado al router ?


Salu2,

[redboy]

La primera es la más segura de las 3, tenes dos filtros, El cisco y el ISA.
En la segunda el ISA actuaría de Proxy, pero no de router, por lo que se podría escapar algo del control.
La tercera es correcta, el ISA es el router.

[c4004]

Gracias no estaba tan errado entonces

Estoy leyendo sobre DMZs, seria algo asi no ?

Inet > Cisco(Router) > ISA > Switch > SRVS (Demilitarized zone)
.................................................. ............> ISA > Switch > PCS (RED INTERNA)

Si no tienen ganas ni se molesten en contestar

[martinm]

Algo asi.
En la DMZ, van solo los servers que tiene que ser accedidos desde afuera, pero tenes que tener cuidado a que servicios y cuales usuarios/redes le vas a dar acceso.

Igualmente, tampoco esto es lo mejor, salvo que pongas servidores publicos, tipo un webserver, etc.
Lo mejor es que los servers este en una red segura y que solo se acceda a ellos por una vpn (con tu esquema, solo deberías agregar que para acceder a los servers, se conecten primero por vpn al ISA, el isa puede hacer de gateway)

[redboy]

La DMZ tiene dos formas.
1.- en un router tipo SOHO, Linksys, D-link, trendnet....etc
La DMZ es solo una IP definida en el router donde caerá todo el trafico que entre al router y no fue solicitado desde la LAN.

2.- router con puerto DMZ (algun SOHO agrandado) pero generalmente routers de 2 WAN en adelante
La DMZ es el puerto al cual se conecta un Switch si hace falta y se genera toda una red que recepciona el tráfico externo. Esta red está totalmente separada de la LAN, a traves de un firewall.