Одностороннє підключення до мережі

11

У мене дуже параноїдальний клієнт, який працює в двох окремих мережах (одна офлайн, одна в Інтернеті) з окремими ПК тощо.

У мене є завдання в тому, що я написав заявку на них, яка працюватиме в автономній мережі, проте мережа повинна мати можливість надсилати електронні листи клієнтам. Моя ідея полягає в тому, щоб мати мережеве підключення (наприклад, діод) від офлайн-сервера до інтернет-ПК, який би надсилав електронні листи.

Який найефективніший спосіб досягти цього, що є напіввигідним? Чи можу я отримати мережеву карту в одну сторону?

Мережа Windows Server 2008, ПК з Windows.

windows-server-2008 networking

— bumble_bee_tuna
джерело

1

SMTP - це, за визначенням, двосторонній протокол, тому ви ніколи не зможете мати справжнє одностороннє спілкування. Сервер відправлення завжди повинен буде отримати підтвердження від одержувача про те, що повідомлення надійшло правильно.

— ЄЕАА

3

Як щодо UUCP через sneakernet?

— ЄЕАА

1

Краще використовувати IPoAC, оскільки носіїв кросівок можна підкупити. Дивіться: en.wikipedia.org/wiki/IP_over_Avian_Carriers

— Мірча Вутковичі

Пташиних перевізників теж можна підкупити .... Тобі просто потрібно трохи пташиного насіння :-)

— Tonny

1

@ErikA вірно: якщо ви хочете буквальну односторонню передачу, UUCP - це перевірений часом спосіб доставки повідомлень в Інтернет з офлайн-комп’ютерів. Використання носіїв з одноразовою записом (наприклад , CD-R дисків) , якщо ви хочете бути дійсно впевнені , що у вас є переміщення даних тільки в одному напрямку.

— Skyhawk

18

По суті, вам просто потрібен міжмережевий екран між двома з дійсно чіткими правилами, в основному це називається правилом "Заборонити всім", а потім просто дозволити єдиним одностороннім пунктом вказати на одне вихідне правило порту на те, що вам потрібно. Це легко для хлопця з безпеки / мережі та має бути задовільним для вашого клієнта.

— Подрібнювач3
джерело

10

Я б точно не називав їх параноїдальними, і я аплодую їх ставленню до безпеки.

Якщо вони зіткнулися з проблемою окремих мереж, вони, ймовірно, також перейшли до проблеми встановлення брандмауера. Невеликий отвір у брандмауері, який дозволяє лише трафіку порту 25 переходити з певної IP-адреси у вашій офлайн-мережі до певної IP-адреси вашої онлайн-мережі, повинен зробити цей трюк ідеально.

— Бен Пілброу
джерело

7

Або ще краще: з певної адреси mac. Або ще краще: від конкретної адреси mac, засвідченої 802.1x

— pauska

7

Я б використовував послідовне посилання, у якому на захищеному сервері є лише GND і TX, а в незахищеній мережі - GNS та RX. Ніяке управління потоком, оскільки це не може використовуватися для витоку інформації з незахищеної мережі в захищену.

Я створив би невеликий проксі SMTP-UDP-SMTP, складений у 2 демони. SMTP2UDP і UDP2SMTP.

SMTP2UDP буде невідповідним MTA, який буде працювати в захищеній мережі та приймати електронні листи, які надсилатимуть за допомогою UDP на послідовне посилання.

UDP2SMTP буде працювати в незахищеній мережі та приймати електронні листи через UDP та надсилати їх до справжнього MTA.

На послідовному посиланні я б використовував оптопар, щоб використовувати діод у своїх вимогах.

— Мірча Вутковичі
джерело

4

Якщо ви хочете реалізувати вимоги до листа, ви можете скористатись одностороннім IP-посиланням, яке надсилало свої електронні листи через UDP (або аналогічний однонаправлений протокол) на користувацький демон, який слухав ці пакети та надсилав їх через SMTP на призначений одержувач.

Звичайно, система, що надсилає (офлайн), не мала б уявлення, чи дійсно вони вийшли чи ні. Щоб це підтвердження відбулося, вам потрібна мінімальна налаштування брандмауера, як відповіли Бен і Чоппер3.

— MikeyB
джерело

1

Протокол TCP потребує двостороннього зв'язку. Ця настройка схожа на дизайн DMZ , коли ваш додаток працює у надійній інтрамережі, а поштовий сервер та / або одержувачі існують у ненадійній зоні DMZ.

Добре налаштований брандмауер зможе ініціювати з'єднання лише з надійної інтрамережі, а не навпаки. Якщо цього недостатньо, я сумніваюся, що будь-який фізичний зв’язок між двома мережами задовольнить вашого клієнта, а це означає, що ви не зможете відправляти пошту автоматично.

— Мартійн Хемельс
джерело

1

IP не вимагає двостороннього зв’язку.

— MikeyB

1

Він мав на увазі TCP. SMTP працює лише через TCP. А TCP вимагає двостороннього зв'язку. Я відредагую його відповідь.

— Мірча Вутковичі

SMTP потребує двостороннього зв'язку. Один спосіб для вихідних SMTP-команд та інший спосіб для вхідних SMTP-відповідей. Відповіді від цільового SMTP-сервера / процесу повинні мати можливість дістатися до SMTP-сервера / процесу у джерелі. Оскільки джерело-сервер буде використовувати ефемерний порт для вихідних з'єднань, вам потрібно буде налаштувати вихідний сервер, щоб завжди використовувати попередньо визначений порт для ініціювання вихідного SMTP-зв'язку. Таким чином правило брандмауера блокується до одного порту джерела та одного порту призначення.

— joeqwerty

Нічого в питанні не вимагає SMTP. Існує кілька способів надсилання пошти.

— MikeyB

0

Якщо вони пішли в цій мірі для розділення мереж, тут повинні бути два брандмауери з полем з поштою, посередині. У режимі офлайн дозвольте підключення до цього вікна, щоб скидати повідомлення, надіслані через ваш спеціальний додаток. В Інтернеті дозволяйте лише підключення smtp до поштового сервера.

Ви могли б зробити те саме дуже економічно ефективним за допомогою однієї коробки з двома надомними пристроями з програмним брандмауером, що працює на кожному інтерфейсі.

— Пол Акерман
джерело

0

Я б просто мав два поштові сервери, внутрішній та зовнішній. Попросіть сервери постійно додавати в файл вихідні електронні листи, і кожен так часто перейменувати файл, скопіюйте його на USB-ключ і перенесіть його у вхідну папку на іншому сервері. Ось скільки установок виконують повітряні зазори на мережевих серверах.

Якщо занадто важливо зволікати, його можна надіслати одному з зовнішніх клієнтів.

— SilverbackNet
джерело