核心系统服务器是否应该能够连接到Internet进行维护/支持？

我们的两台服务器具有Oracle维护许可证。我们的硬件供应商询问服务器机房中是否存在Internet连接。我们的政策是出于安全原因，该房间中的所有计算机都与Internet隔离。但是维护人员问道：“那我们将如何在您的服务器上进行维护工作？”

我的问题是，我们的服务器是否需要互联网连接才能像许可证验证系统那样进行维护。还是可以离线进行？如果我们的生产服务器有互联网连接，这本身就没有风险吗？

通常，您需要从Internet下载修补程序，然后将其应用到服务器。但是，有一个中间步骤是合理的：将补丁复制到一个中间位置（甚至DVD），以在Internet和数据库服务器之间运行。

如果他们只是想在服务器机房中有一台可以连接到互联网的单独机器（例如，阅读补丁说明），那是另一种选择。

最后，在服务器上运行可以连接到互联网的服务器上运行的浏览器与实际上可以从互联网作为服务器进行访问的服务器之间是有区别的。

这完全取决于您想要/需要的安全性。

您的服务器已连接到具有其他可以访问Internet的设备的网络。正确？我敢肯定其他人会不同意，但是我相信不允许这些服务器直接访问Internet所提供的安全性比其他任何东西都更加虚幻。

我们对无法访问互联网的客户服务器进行了大量维护。我们必须将访问所需的所有更新/补丁/软件都放在CD / USB记忆棒上。（允许第三方携带USB记忆棒/ CD本身本身就有安全隐患）

您始终可以使用iptables来配置要保持打开状态的确切源/目标IP：端口对。

这样，即使服务器在WAN上爆炸，您也可以确保只有受信任的IP +正确的凭据才能访问它。

此外，您还可以使用私有-公共ssh密钥对，该密钥对只能在你们两个之间共享。

您的所有服务器都应位于DMZ中或至少位于防火墙之后。几乎可以将任何防火墙配置为允许来自任何这些服务器的传出连接（以便它们可以自行检查并下载安全补丁和其他更新）。然后由您的系统管理员来配置防火墙，以允许一些非常特定的传入连接。如果仅偶尔维护需要它们，则可以在维护完成后将其禁用。

我们将Linux网关用于此工作，并将iptables用于防火墙。但是，您的标准硬件防火墙将完全相同。

问题是-允许生产服务器的HTTP / S连接出站到Internet是否存在风险。最简洁的答案是不。更长的答案是，安全风险极低，以至于超过管理这些服务器的成本（就时间而言）。

考虑允许访问的风险：

1. 管理员将恶意软件从Internet下载到服务器上
2. 受感染的服务器会下载其他病毒代码或将机密信息上传到Internet

第一点是通过限制对已知站点的Internet访问来缓解的，理想情况下完全不允许Web浏览。此外，您对管理员有一定的信任，不会以恶意方式采取行动。

第二点，考虑服务器是否已经受到某种形式的破坏，是否可以访问Internet是一个有争议的问题。攻击者已经找到了一种将代码加载到您的系统上的方法，这意味着他们可以获取该系统的其他代码或从中检索数据。

显然，这可能都取决于特定的情况（例如满足某些客户或法规要求）。

这些服务器需要什么类型的连接？

如果这只是与Oracle网站的HTTP连接，为什么不让它们使用Web代理？

VPN访问是您最好的选择！

答案1是理论上最好的-网络的安全级别等于连接到该网络的最弱计算机的安全级别

在我看来，动手实践是：

• 内部网络在dot1q子网中拆分
• linux网关->子网之间的所有流量都通过它，并且可以轻松地控制它（实际上是，仅针对所需的应用程序端口和客户端访问核心服务器）
• 仅通过加密的VPN进行外部连接（带有Mschap或OpenVPN的PTP）
• 核心服务器仅在“需要”（维护，下载升级等）的基础上访问Internet-并通过网关控制对它们的访问-使用DROP策略

即使您允许某些服务器的Internet连接，也要让它们使用OpenDNS作为其DNS服务器。