Hallo Oli,
wie schon geschrieben, das ist alles vom Szenario abhängig. Bei der einfachsten Ausbaustufe einer DMZ stehen meist alle Server parallel oder sind teilweise komplett auf einer physikalischen Maschine vereint. Das hat seine Vorteile bei den Kosten und dem Wartungsaufwand.
Es gibt aber auch komplexe Szenarien, in denen zB zwei DMZs hintereinander geschaltet werden. In der ersten stehen Maschinen die Dienste im Internet anbieten, da auf diese ohnehin aus dem LAN kein Zugriff nötig ist (meist existiert dafür ein paralleles Wartungs- und Konfigurationsnetz). In der zweiten DMZ stehen dann Proxy und Mailserver (wobei dem Mailserver dann gerne noch ein Store-and-Forward-Mailproxy in DMZ1 vorgeschaltet wird).
Was die Webserver betrifft, so kann man auch den Webserver im LAN belassen und zB den Zugriff von Extern (Internet) darauf auch er Proxy abwickeln, was den Vorteil hat, dass man bestimmte gefährliche Anfragen an den Webserver (zB bekannte Exploits der Serversoftware) schon über den Proxy filtern kann. Dies sollte aber nicht der gleiche Proxy sein, über den Mitarbeiter aus dem LAN ins Internet kommen.
In der Regel wird man sich auf eine DMZ beschränken, aber die Maschinen zumindest in zwei physikalische Maschinen trennen. Die eine wickelt Anfragen aus dem Internet ab wie Webserver, FTP, Mails, die andere ist dann der Proxy für den Weg der Mitarbeiter ins Internet.
Komplizierter wird es wie gesagt bei der Anbindung externer Mitarbeiter an das LAN. Das liegt weniger an der Gefahr von Enbrüchen, sondern daran, dass die externen Arbeitsplätze in der Regel nicht zentral administriert und gesichert werden können und dadurch potentiell als korrumpiert betrachtet werden müssen (die gleiche Gefahr hat man mit Mitarbeiternotebooks im LAN) und deswegen nicht uneingeschränkt in das lokale Netz eingebunden werden sollten. Im besten Fall hat man für diese Maschinen ein eigenes Netz, in welches die benötigten Resourcen entweder gespiegelt werden, oder nur über fest definierte Zugriffswege abgerufen werden können.
xafford
OWausK
