接続形態

平成23年12月27日

				DNAT(port forwarding): smtp,imaps, http,https, ssh,openvpn		packet filtering
				----->
(INTERNET)	--------	[I.S.P.]	-------------------------	[NAT Router with MODEM]	---------------	-----> --------- <-----	[my Server/Router]		---------	(INSIDE)
			(ADSL or FIBER)	<-----	(DMZ)		<-----
				SNAT: through all packet			SNAT: packet filtering

• DNATは基本禁止する。
• SNATは最低限のパケットにする。
• 念のため、DMZへの入出力を最低限のパケットにフィルタする。
• 念のため、INSIDEへの入出力を想定IPアドレスに限定する。
• 内部からのhttp,https接続は、Proxyを立てて、ICAP等で接続制限やVirus Scanをする。
• MTAを立てて外部からのMailを受け、IMAPで内部から見れるようにする。また、内部からの送信をRELAYする。
• MTAは外から踏み台にされないよう設定し、送受信データのVirus Scanも行うようにする。
• 内部へDHCPサービスをする。
• 内部へNTPサービスをする。
• 内部へDNSサービスをする。
• 内部へFileSystemサービスする。
• 内部へWebサービスをする。
• 外部へWebサービスをする(内部向けWebコンテンツとは隔離する)。