ネットワーク構成例の案

質問

ネットワーク構成について検討しています。

用意されているのは、
・グローバルIP２つ
・ルータ２台
・ハブ数個
です。これらを用いて、クライアントとサーバをどのように構成しようか考えています。

サーバで稼動させたいサービスは、
・Webサービス（外部公開）
・Samba（クライアントからのみ使用可能）
を１台のサーバで構成したいと考えています。サーバ自身にはiptablesも設定しますが、多段防御としてルータも使用したいという考えです。グローバルIPやルータが余る事には問題ありません。

以上の条件で、良いネットワーク構成案はありませんでしょうか？

ちなみに、現在考えている案としては以下のものです。ルータ１はWebサービスのみ通過、ルータ２はSambaに必要なポートのみ通過です。グローバルIPはルータ１のWAN側のみに使用し、他はプライベートIPとポートフォワーディングでサービスを公開します。

WAN---ルータ１-----ルータ２---クライアント
　　　　　　　　|
　　　　　　　　---サーバ

この構成のデメリットについても挙げていただきたいと思います。よろしくお願いします。

回答No.1

kuma-ku · ベストアンサー

こんばんは
構成の中には”WAN”とありますが、これはInternet でしょうか？
となれば、ルータ1でクライアントをNAT し、samba へのアクセスはフィルタリングを行い、
外部からのアクセスにはWeb のみサーバに転送する、と言った構成となります。
絵にすると、以下のようなモデルです。

WAN---ルータ１-----クライアント
　　　　　　　　|
　　　　　　　　---サーバ

質問の中で提案されている構成についてですが、ルータ2の存在意義があまり意味を成していません。
よって、デメリットとしては、ルータ2を設置することで、以下のようなことが考えられます。

・障害ポイントが増える
・クライアントからサーバへのアクセスについて、サーバのGateway となるルータ1がリダイレクトさせるため、
　微少ではありますが余計なトラフィックが発生する

それでも利用しなければならないケースとしては、以下のような条件が考えられます。

・ルータ1とルータ2の間にもクライアントが存在する場合
・クライアントとサーバが同じNW に所属してしまっている
・ルータ1のサーバ接続用のI/F は、DMZ のような独自のNW セグメントを設定できない

もし、以上のようなケースでない限りは、ルータ2を外した構成が定番と言えます。

ただし、前述したとおり、サーバがLAN とは違った独自NW セグメントを設定できなければ、
ルータ1でクライアントからのフィルタリングは不可です。
この場合は、サーバ側のTCPWrapper やAppache のフィルタリングで、
必要のないアクセスを制御する事で対応可能です。

余談ではありますが、外部の公開サーバの中に、LAN 内の共有資料を置くのは止めたほうが良いかと思います。
セキュリティ上、外部/内部の利用は同一のサーバでこなすのは、万が一サーバが乗っ取られた場合、危険だからです。
一度、この当たりを再検討されてみることをお勧めいたします。

頑張ってください。

お礼

＞構成の中には”WAN”とありますが、これはInternet でしょうか？

厳密には会社のGWを通過しますが、割り当てはグローバルIPでした。

色々と考え直してみましたが、やはりWebサービスとファイルサービスの共有がネックです。ハードウェア資源を増やす方向で調整したいと思います。ありがとうございました。