主題: DMZ 與 Intranet 間的問題

[Dino9021]

小弟有一事向各位前輩請教

公司使用 Cisco Pix 515E 防火牆，規劃 Internet、Intranet、DMZ 三個區域
其中， Intranet 與 DMZ 之間，File and Printer Sharing for Microsoft Networks 的通訊是可以流通的
Intranet 可經由 \\DMZ-IP 的方式連到 DMZ 的電腦
DMZ 也可經由 \\Intranet-IP 的方式連到 Intranet 的電腦

請問這樣的設定是否常見？
若 DMZ 某主機中毒是否會經由此方式傳染給 Intranet 的電腦？
若有駭客進入 DMZ，是否因此可以很方便地進入 Intranet？

(昨天剛考完 M$ 70-293，成績單中 Security 項目幾乎接近零蛋....>"<)

[phantom]

DMZ... 不是應該是... Internet 可以到
Intranet 可以到
但是 DMZ 不能連 Intranet 嗎？

您這樣一來，DMZ 是裝飾用的吧...
XD

[JackYang78]

Intranet --> DMZ OK 拉... 由高到低 ..通常是不管制 ...開 access list  的...

DMZ --> Intranet 則要管制 ....

Internet --> DMZ 開 Port 管制 ..

[netman]

DMZ 主動連進 intranet 是不安全的。
如果需要跟 intranet 交換資訊，往往是由 intranet 主動連線。

[Dino9021]

謝謝...
果然這樣是有問題的...
古時候公司還把一個 RAID5 掛在 DMZ 的 Mail Server 上
然後從 Intranet 錄音存到這個 RAID5 上面...(三個錄音室錄 MP2 的檔案即時存入...)

Pix 撐得住這樣的流量也真了不起
古時候這樣規劃的人心臟也真強...

我已經改成一台 NAS 在 Intranet 裡

謝謝各位的指教

[Dino9021]

想再請教各位先進
我在 Pix 的 Config 中應該注意哪些關鍵字是跟上述 DMZ 可進 Intranet 有關的設定呢？

DMZ 是 192.168.0.0/24
Intranet 是 10.1.1.0/24

這行是嗎？

access-list inacl permit ip 10.1.1.0 255.255.255.0 192.168.0.0 255.255.255.0

是否用 no 取消掉就好了呢？