Je suis en train de mettre en place la configuration habituelle, avec une DMZ contenant des serveurs accessibles depuis Internet, et un LAN qui devrait être aussi sécurisé que possible.
Je jouis également d'une totale liberté en ce qui concerne l'architecture. Étant donné que je veux rendre mon espace LAN aussi sécurisé que possible, je me suis dit "Quoi de mieux que de ne pas pouvoir accéder au LAN depuis la DMZ". Pour ce faire, je configurerais le pare-feu pour bloquer toute connexion entrante dans la direction DMZ->LAN.
Bien sûr, j'ai encore besoin que mes applications frontales dans la DMZ puissent contacter les serveurs LAN de confiance. Pour rendre cela possible, j'ai pensé n'autoriser que les connexions à être établies dans la direction LAN->DMZ.
Cela signifie qu'à l'inverse de la situation habituelle, ce sont mes services LAN de confiance qui se connecteraient aux serveurs frontaux non sécurisés de la DMZ. Une fois que la connexion TCP est établie, toutes les demandes et réponses entre les deux points finaux seraient multiplexées sur cette connexion.
Est-ce une bonne idée en termes de sécurité? Y a-t-il autre chose que je pourrais faire pour rendre mes serveurs LAN encore plus difficile à atteindre? Avez-vous déjà entendu parler de quelqu'un sécurisant leur LAN de cette manière? Y a-t-il quelque chose qui m'échappe qui rendrait cette idée stupide?
