BIND в выделенной виртуальной машине?
Недавно я занялся обслуживанием сети другой компании, где BIND был установлен на выделенной виртуальной машине (якобы в целях безопасности). Компания использует Debian в качестве системы для серверов.
Должен сказать, эта концепция меня заинтриговала. Если у вас нет специального блока для BIND (у меня нет), его установка на хостах виртуальных машин (два, потому что они находятся в активном / пассивном кластере) представляет собой своего рода риск для безопасности, зная историю уязвимостей BIND. Я знаю, что это chrootted в Debian (?), Но все же.
Как вы думаете, это хорошая идея? За и против? Действительно ли это необходимо или это вообще бессмысленно с учетом текущих версий BIND?
Я думаю, что перезапись BIND 9 (первоначальная версия 9.x, выпущенная около 20 лет назад) сделала огромные шаги для решения проблемы безопасности предыдущих версий.
Не то чтобы с тех пор он был совершенно безупречным или что-то в этом роде, но я не считаю, что послужной список 9.x действительно выделяется среди других популярных программных проектов.
(В моей книге он требует такого же уровня обслуживания, как и все остальное; для установки потребуются исправления ошибок и безопасности, и эта работа должна выполняться на регулярной основе.)
То есть, я не думаю тот факт, что BIND сам по себе обязательно побуждает вас изолировать его больше, чем что-либо еще.
Тем не менее, я не думаю, что изолировать службы, BIND или что-то еще - плохая идея.
Плюсы:
- Отсутствие "запутывания" несвязанных сервисов на одном и том же хосте, которые каким-то образом взаимодействуют менее формализованным образом
- Отсутствуют конфликты зависимостей от несвязанного программного обеспечения на одном и том же хосте.
- Использование ресурсов является более изолированным, что снижает взаимодействие, а также потенциально делает атрибуцию более ясной
- Возможен перенос / масштабирование без изменения других систем
- Более изолированная среда в случае инцидента безопасности
Минусы:
- Менее эффективное использование ресурсов
- Возможно, существует какая-то форма прямое взаимодействие, которое желательно по любой причине
- Больше вещей, которые нужно поддерживать (что-то автоматизация)
Это на самом деле неплохо . Вы не только можете надежно защитить его по сравнению со стеком LAMP или подобным, но и упростите его масштабирование. А также убедиться, что вы можете настроить отключенные службы.
Допустим, у вас есть следующая настройка ... BIND1 BIND2 Веб-сервер и базовый код (PHP / NodeJS / и т. Д.) Интерфейс Бэкэнд БД
Теперь, когда что-либо из этого требует обслуживания / масштабирования, вы можете просто учитывать очень ограниченные переменные. По сравнению с "традиционным" стеком LAMP.