Backup Server in DMZ

[AFM_Adm 11]

Hallo beisammen,

 

wir haben ein paar Hyper-V VM's in der DMZ und würden diese gerne sichern.

Im internen LAN kommt der DPM zum Einsatz, der in der DMZ nicht supported wird (wahrscheinlich ja aus Security Gründen).

 

Bisher werden die VM's in der DMZ auf eine USB-Platte gesichert, da mir eine andere SICHERE Lösung nicht bekannt ist.

 

Da auf diesen VM's keine Produktiv-Daten liegen, aber Config's für vorgelagerte Systeme die sich zwischendurch ändern, würde ich diese schon gerne sichern.

 

Habt ihr andere Tipps/Ideen? Wie sichert ihre eure Server in der DMZ?

 

MfG

[zahni 525]

Ich kenne den Agenten vom DPM nicht, Aber warum darf ein Backup-Server nicht auf einen Backup-Agenten innerhalb eine DMZ zugreifen ? Dazu wären doch nur Ports in die DMZ zu öffnen und nicht umgekehrt.

[Stefan W 14]

Hi,

der DPM weiß nicht ob es sich um ein internes geroutetes LAN oder um eine DMZ handelt.

mit den entsprechenden Ports - wie Zahni beschrieben hat, ist es möglich. Haben wir auch im Einsatz

lg

[AFM_Adm 11]

Hi,

der DPM weiß nicht ob es sich um ein internes geroutetes LAN oder um eine DMZ handelt.

mit den entsprechenden Ports - wie Zahni beschrieben hat, ist es möglich. Haben wir auch im Einsatz

lg

 

Und wieso ist es dann nicht supported?

"Protection of perimeter network (DMZ) machines is not supported in DPM 2010."

 

Security Considerations for Protecting Computers in Workgroups or Untrusted Domains

[Stefan W 14]

Weil es darauf ankommt, ob der Host als solches ein Domänenmember ist und via gesondeter Netzwerkkarte Zugriff aufs interne Netz hat.

 

lg

[Stefan W 14]

Und weil wir zusätzlich von 2 verschiedenen Versionen sprechen..

Du von 2010 (wie ich dem Link entnehme)

Ich von 2012 (die du dem Link entnehmen kannst)

Managing protected computers in workgroups and untrusted domains

[AFM_Adm 11]

Und weil wir zusätzlich von 2 verschiedenen Versionen sprechen..

Du von 2010 (wie ich dem Link entnehme)

Ich von 2012 (die du dem Link entnehmen kannst)

Managing protected computers in workgroups and untrusted domains

 

Wenn ich das hier aber richtig sehe, wird es auch in DPM 2012 nicht supported. :D

 

Security Considerations for Protecting Computers in Workgroups or Untrusted Domains

[Stefan W 14]

Du willst einen Hyper-V host sichern oder? - siehe meinen Link..

 

die andere Möglichkeit siehst du einen Beitrag weiter oben.

lg

[AFM_Adm 11]

Ich möchte nicht den Host selber, sondern die VM die drauf läuft sichern. ;)

[Stefan W 14]

Stichwort Childpartition snapshot.

 

Der Client ist bei uns nur am Host installiert (Hyper-V Server 2k8r2 - somit core) und es werden nur die VMs gesichert - nicht der Host selbst.

[AFM_Adm 11]

Stichwort Childpartition snapshot.

 

Der Client ist bei uns nur am Host installiert (Hyper-V Server 2k8r2 - somit core) und es werden nur die VMs gesichert - nicht der Host selbst.

 

So machen wir es ja auch bisher, also mit VSS über den Host die VM sichern. Halt lokal auf USB-Platte und nicht über DPM, da so wie ich es verstehe nicht supported wird.

 

Und nur weil man den Host von der VM über VLAN's getrennt hat, garantiert das ja noch keine 99,9 prozentige Sicherheit. ;)

[zahni 525]

Wie definierst Du denn eine DMZ ?

 

Nach meiner Logik stehen da externe Hardware-Firewalls drumrum und es werden andere IP-bereich verwendet.

[AFM_Adm 11]

Wie definierst Du denn eine DMZ ?

 

Nach meiner Logik stehen da externe Hardware-Firewalls drumrum und es werden andere IP-bereich verwendet.

 

Ich versuche die DMZ physikalisch vom internen LAN zu trennen, also andere Switche, etc.

Die einzige physikalische Schnittstelle, soll auf der FW bzw. den FW-Switchen liegen. Auf der FW terminiere ich dann die benötigten Netze in Abhängigkeit von Regeln. :)

 

Ansonsten könnte ich ja auch die DMZ VM's auf einem internen Hyper-V Host laufen lassen und über VLAN's trennen...

[Stefan W 14]

Ich versuche die DMZ physikalisch vom internen LAN zu trennen, also andere Switche, etc.

Die einzige physikalische Schnittstelle, soll auf der FW bzw. den FW-Switchen liegen. Auf der FW terminiere ich dann die benötigten Netze in Abhängigkeit von Regeln. :)

 

Ansonsten könnte ich ja auch die DMZ VM's auf einem internen Hyper-V Host laufen lassen und über VLAN's trennen...

 

Kannst du ja machen.

Der DPM braucht eine Route zum Hyper-V Host, der Hyper-V Host braucht eine retour Route, auf der FW müssen die Ports offen sein (welche sagt dir technet ;))

 

lg

[AFM_Adm 11]

Habt ihr sonst noch Tipps/Ideen? Wie sichert ihre eure Server in der DMZ?

 

MfG