Должен ли мы разработать код на локальной машине в VLAN?

Question

Из-за соображений безопасности мы не сможем использовать IIS на наших локальных машинах. Я уверен, что многие из вас столкнулись с одной и той же проблемой, и как вы ее разрешили? Вот варианты, которые мы рассматриваем:

1. Создайте VLAN, изолированную от сети для разработки. Это позволит нам использовать любое программное обеспечение, в том числе IIS, которое мы хотим. Недостатком является тестирование веб-служб с внешними организациями, которые можно преодолеть с помощью заглушек.

2. Не использовать VLAN и использовать только сервер разработки ASP.NET, который поставляется с Visual Studio, а затем развертывание этого кода на сервере разработки. Это имеет недостаток, заключающийся в невозможности репликации производственной среды во время локального развития. Кроме того, по крайней мере один разработчик нуждается в IIS для разработки ГИС, поэтому он не мог развиваться локально.

Благодарим за комментарии или предложения, которые могут возникнуть у вас!

Answer 1

Создайте локальную виртуальную машину с помощью виртуального ПК. Не предоставляйте этой виртуальной машине сетевое соединение.

Edit: Примечание можно иметь unnetworked виртуальная машина будет доступна через сеть безопасно двумя способами:

1. Share настройки виртуальной машины и жесткий диск через сетевой ресурс. Только один человек может использовать виртуальную машину за раз. Я подозреваю, что использование отменить диски с умным способом может устранить это ограничение, но оно не поддерживается.

2. Используйте решение на базе виртуальной машины на базе сервера, такое как VMWare. Если ваша компания еще не делает этого, это требует денег и ресурсов для создания. Преимущество этого заключается в том, что каждый может сразу смотреть на машину.

Обратите внимание, что в обоих этих решениях пользователи напрямую обращаются к виртуальной машине, а не к ней. Таким образом, сама машина фактически не попадает в сеть, и поэтому нет возможности взломать vm без получения доступа к машине, на которой размещена виртуальная машина (например, через общий ресурс, как в # 1). Это больше похоже на удаленный рабочий стол, чем на внешний веб-сайт, но удаленный рабочий стол оставляет машину, которую вы удаляете, чтобы видеть компьютеры напрямую, поэтому это не так безопасно, как это.

Tautology: Машина не может обслуживать содержимое других машин, если эти машины не доступны (прямо или косвенно) к ней. Поэтому, если у вас есть виртуальная машина, работающая с IIS, и вы хотите рассматривать ее как внешний веб-сервер, но не имеете доступа к компьютерам в своей сети, вы сталкиваетесь с противоречивыми требованиями. Любой трюк, связанный с отправкой трафика каким-то круговым способом, просто превращает дыры в безопасности в более кольцевые отверстия безопасности (хотя и не крутые с точки зрения хакеров).

Технически оба # 1 и # 2 также делают виртуальную машину доступной по сети, но сама виртуальная машина не видит сеть (вместо этого машина, на которой размещена виртуальная машина, видит сеть).

Answer 2

Вы можете настроить IIS с ограничениями на IP-адрес, включая белый список. Например. ограничить kust 127.0.0.1.

Я подозреваю, что это можно сделать из групповой политики, чтобы максимально обеспечить соблюдение.

Answer 3

Мы разрабатываем серверы с использованием удаленного рабочего стола. Дает вам правильную мощность и позволяет настраивать и тестировать приложения сразу на правой ОС.

Answer 4

Основываясь на комментариях, похоже, что вам нужна изолированная среда. Комбинация маршрутизатора/брандмауэра и леса AD в одностороннем порядке [1] должна позволить вашим (разработкам) системам получать доступ к корпоративным ресурсам, которые вам нужны, но не наоборот.

Сетевая часть может быть выполнена с помощью VLAN, но если IIS является такой большой проблемой, VLAN кажется маловероятной изоляцией.

Я работал в таких условиях, и он был в значительной степени прозрачным для работы по разработке (и, в том числе позволяя нам разработчикам обладать необходимыми местными правами), в то же время мы не могли вмешиваться в корпоративные ИТ-операции.

---

[1] I.e. развитие лесов AD доверяет корпоративному лесу AD, а не наоборот.