Немає нічого поганого в створенні механізмів доступу для хостів у DMZ для доступу до хостів у захищеній мережі, коли це необхідно для досягнення наміченого результату. Можливо, це не бажано робити, але іноді це єдиний спосіб зробити роботу.
Ключові речі, які слід враховувати:
Обмежте доступ до найбільш конкретного правила брандмауера. Якщо можливо, назвіть конкретні хости, що беруть участь у правилі, разом із конкретними протоколами (порти TCP та / або UDP), які будуть використовуватися. В основному, відкрийте лише стільки отворів, скільки вам потрібно.
Будьте впевнені, що ви реєструєте доступ від хоста DMZ до хосту в захищеній мережі та, якщо можливо, аналізуйте ці журнали автоматизованим способом на предмет аномалій. Ви хочете знати, коли трапляється щось незвичне.
Визнайте, що ви відкриваєте внутрішнього хоста, навіть якщо це побічно, в Інтернеті. Будьте в курсі виправлень та оновлень для програмного забезпечення, яке ви відкриваєте, та самого програмного забезпечення операційної системи хоста.
Подумайте про взаємну автентифікацію між хостом DMZ та внутрішнім хостом, якщо це можливо з вашою архітектурою додатків. Було б добре знати, що запити, що надходять до внутрішнього хоста, насправді надходять від хоста DMZ. Ви можете це зробити чи ні, буде сильно залежати від вашої архітектури додатків. Також майте на увазі, що хтось, хто "володіє" хостом DMZ, зможе надсилати запити до внутрішнього хоста, навіть якщо відбувається аутентифікація (оскільки вони фактично будуть хостом DMZ).
Якщо виникає занепокоєння щодо DoS-атак, розгляньте можливість обмеження швидкості, щоб хост DMZ не вичерпав ресурси внутрішнього хоста.
Ви можете розглянути можливість використання підходу "брандмауера" рівня 7, коли запити від хоста DMZ передаються спочатку внутрішньому хосту спеціального призначення, який може "санітувати" запити, перевірити їх, а потім передати їх "справжній" бек-енд-хост. Оскільки ви говорите про взаємодію зі своїми позаштатними програмами на своїх iSeries IBM, я здогадуюсь, що у вас є обмежена спроможність здійснювати перевірку правильності щодо вхідних запитів у самій iSeries.
Якщо ви підходите до цього методологічно і дотримуєтесь здорового глузду щодо цього, немає ніяких причин ви не можете робити те, що ви описуєте, зберігаючи при цьому ризик мінімізованим.
Відверто кажучи, у вас DMZ, який не має безперешкодного доступу до захищеної мережі, робить вас стрибками та межею за межі багатьох мереж, які я бачив. Для деяких людей, здається, DMZ просто означає "інший інтерфейс на брандмауері, можливо, з деякими різними адресами RFC 1918, і в основному безперебійний доступ до Інтернету та захищеної мережі". Спробуйте зберегти свій DMZ максимально зафіксованим, поки ви ще досягаєте бізнес-цілей, і ви будете робити добре.