Guide / networking
Una DMZ che non era una DMZ: segmentazione senza controllo
Con due schede funzionava tutto: la posta passava, l'Edge era raggiungibile. Ogni collaudo funzionale sarebbe passato. Solo una domanda architetturale no.
La documentazione Microsoft del ruolo Trasporto Edge dà la rete perimetrale per esistente. Ti dice cosa metterci dentro, non come costruirla. Quindi questa parte del laboratorio non aveva un riferimento da seguire — e la prima versione, fatta senza, è venuta fuori come una rete segmentata invece che come una DMZ.
Funzionava. È questa la parte interessante.
Cosa rende una DMZ una DMZ
Una zona demilitarizzata è un segmento di rete che ospita i sistemi esposti a una rete non attendibile, separato sia da quella rete sia da quella interna. La definizione richiede tre cose:
- Separazione del segmento dalla rete interna.
- Un dispositivo di controllo — firewall o router filtrante — attraversato da tutto il traffico da e verso il segmento.
- Regole esplicite che definiscono cosa può passare, in quale direzione, verso quale destinazione.
La separazione da sola non basta. Un segmento isolato ma non controllato è un segmento isolato, non una DMZ.
La prima versione
La macchina Edge aveva due schede di rete: una rete interna verso Exchange, e una scheda NAT per l’accesso a Internet.
PRIMA — segmentazione senza controllo
Edge --[rete interna]---- Exchange
Edge --[NAT hypervisor]-- Internet ← nessun controllo quiQuesto dà segmentazione. Non dà una DMZ. Il traffico verso Internet passava dal motore NAT dell’hypervisor senza ispezione, senza filtro e senza registrazione. Non c’era nessun punto in cui qualcuno potesse dire «questo pacchetto è consentito, quest’altro no», né traccia di ciò che era transitato.
La ricostruzione
Tutto il traffico da e verso il segmento perimetrale passa ora dal firewall, che è l’elemento che rende l’architettura una DMZ.
- a pfSense viene assegnata una terza interfaccia, OPT1, dedicata al segmento DMZ, con indirizzo
192.168.20.1 - la macchina Edge viene collegata solo a quel segmento, con indirizzo
192.168.20.10 - la scheda NAT autonoma viene rimossa
DOPO — una DMZ vera
Edge --[OPT1 192.168.20.x]-- pfSense --+-- LAN 192.168.10.x
|
+-- WAN / InternetOgni pacchetto in entrata e in uscita incontra ora una regola esplicita.
Le regole, lette come un documento di progetto
| Regola | Porta | Destinazione | Finalità |
|---|---|---|---|
| Consenti SMTP in ingresso | 25 | 192.168.10.20 | Flusso di posta verso l’interno |
| Consenti LDAP | 389 | 192.168.10.10 | Fase iniziale della sottoscrizione Edge |
| Consenti LDAPS | 50636 | 192.168.10.20 | Replica cifrata di EdgeSync |
| Consenti SMTP in uscita | 25 | qualsiasi | Recapito verso Internet |
| Consenti DNS | 53 | 192.168.20.1 | Risoluzione tramite pfSense |
| Consenti HTTPS verso la CA | 443 | 192.168.10.10 | Richiesta del certificato |
| Consenti ICMP | — | qualsiasi | Diagnostica di rete |
Il ping che non rispondeva
Un secondo sintomo identico, più avanti, si è risolto constatando che la macchina di destinazione era spenta.
Insieme fanno un punto di diagnostica che vale la pena tenere: in una rete con un firewall, la prima ipotesi per «non risponde» dovrebbe essere «non è consentito», seguita da «non è accesa». La modalità promiscua è un’ipotesi affascinante, ed è affascinante proprio perché è tecnicamente sofisticata. La sofisticazione non è una prova di correttezza.
Risoluzione dei nomi attraverso il perimetro
Il segmento perimetrale non ha accesso diretto al DNS di Active Directory. La soluzione evita del tutto i file hosts ed è volutamente asimmetrica:
- verso l’esterno: il DNS Resolver di pfSense riceve un override di dominio — le query per il dominio interno vanno a
192.168.10.10, tutto il resto si risolve normalmente verso Internet - verso l’interno: sul DNS interno si crea una zona di ricerca diretta per il dominio perimetrale, con un record A per il server Edge, così che Exchange possa risolverne il nome completo come EdgeSync richiede
A cosa si generalizza
La lezione non riguarda Exchange, e a pensarci bene nemmeno le DMZ.
Una configurazione può superare ogni collaudo funzionale e continuare a non fare la cosa per cui esiste. Segmentazione e controllo sono indistinguibili da fuori: in entrambi i casi il traffico arriva a destinazione. Differiscono solo per il fatto che qualcuno abbia deciso che dovesse arrivarci.
La domanda che li separa sta in una riga, e vale la pena farla a qualunque architettura che dichiari di imporre qualcosa: dove, esattamente, viene applicata la politica? Se la risposta è un componente che puoi indicare, il disegno regge. Se la risposta richiede una pausa, probabilmente no.
Questo capitolo non ha una controparte nella documentazione Microsoft, che dà la rete perimetrale per esistente. Regole, topologia e diagnosi qui sopra vengono dal laboratorio.