如何通过防火墙向数据层发送安全请求答案

【问题标题】：How to send a secure request to a data tier over a firewall如何通过防火墙向数据层发送安全请求
【发布时间】：2010-09-02 13:57:40
【问题描述】：

有人要求我用数据库中的一些数据填充闪存文件。我说：“太好了，我将编写一些与数据库对话并输出 xml 的 PHP。swf 可以调用该文件。”

然后我的老板告诉我，该解决方案无法与 IS 相提并论，我必须找到一种更安全的方法来实现它。啊！

我提出的解决方案是创建一些位于我们公司防火墙之外的业务逻辑。 actionscript 将向该文件发出请求，该文件将向位于防火墙后面的中间层发送安全请求。中间层将通过连接到数据库并通过相同的安全连接通过防火墙返回适当的数据来处理请求。然后业务逻辑输出xml，大家都很开心。

我已经绘制了我想要做的图表以使其非常清楚： http://twitpic.com/2kj0tk

这是我的问题：

此解决方案是否符合行业最佳实践？
它会起作用吗？
我需要在每一层中编写什么代码来建立安全连接并通过防火墙传输数据？我想也许我可以使用 cURL，但我不知道这是否可以通过防火墙。如果可能的话，有人介意他们将如何解决这个问题，并提供代码示例吗？
可能我最终不得不在 .NET 中编写解决方案。这将如何改变我的方法？4.
您还需要我提供哪些其他信息来帮助解决此问题？

谢谢大家！

【问题讨论】：

在您的图表中，您展示了防火墙前的 PHP。您的网络服务器在防火墙之外吗？如果您的 IS 部门很挑剔，我猜您的网络服务器（以及您的 PHP 脚本）在防火墙内。网络服务器与数据库和中间层之间可能存在另一个防火墙。此外，从技术上讲，动作脚本在客户端浏览器上运行。所以要 100% 正确，我会在 PHP 脚本和 actionscript 项之间添加一个“互联网云”。只是让您的绘图更正确，更好地规划。

【解决方案1】：

根据您保护的数据类型以及您的 IT 部门的安全意识如何，“真正的”解决方案是将您的数据库服务器置于它们自己的防火墙之后（是的，在您的公司网络内部）。您的中间层将通过此防火墙使用标准协议与数据库通信。

您的中间层在您的“主”防火墙后面运行（这里可以有不同的级别，但最简单的是，这是您的网络和互联网之间的防火墙）。

您的网络服务器位于此“前端”防火墙之外的 DMZ 中，因此进出它们的所有流量（包括来自互联网的）都必须通过此前端防火墙。

此时，您可以使用标准技术从您的网络服务器与您的中间层进行通信。然后，您的中间层使用标准技术与数据库进行通信。我同意让您的网络服务器直接与数据库对话不是一个好主意。

我向老板提出的问题是“为什么最初的解决方案是个坏主意？”。他们是否希望通过内部网络加密数据？还是只是网络服务器 -> 数据库服务器连接很麻烦（我同意）？

【讨论】：

我必须和 IS 谈谈，弄清楚我们的系统是如何构建的，然后回复你。感谢您的回复。
所以我已经与 IS 部门进行了更多调查。正如您的预感一样，他们不想允许 Web 服务器和数据库服务器之间的连接。我们要做的是在中间层机器上安装一些业务逻辑，并与数据库进行对话，而不是直接从 Web 服务器进行。
听起来是个好计划。多年来，我已经看到在很多系统中使用了这种设计。