Определение размещения сервера для интернет-управления клиентами
Назначение: System Center Configuration Manager 2007, System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2
Для интернет-управления клиентами поддерживается несколько сценариев, и каждый из них имеет свои преимущества: Чтобы определить, должны ли сервера находиться в демилитаризованной зоне или в интрасети, необходимо решить, какой сценарий наиболее подходит для вашей среды и бизнес-требований.
Все ссылки на размещение сервера, приведенные ниже, относятся только к основному сайту, так как дополнительные сайты не поддерживают интернет-управление клиентами.
Размещение сервера для сайтов, которые не должны управлять клиентами в интрасети
Если сайт Configuration Manager 2007 не должен поддерживать клиенты через Интернет и в интрасети, применяются сценарии 1 и 2, описанные в следующей таблице. В следующей таблице приведены преимущества и недостатки каждого из сценариев и соответствующее размещение сервера.
| Сценарий, поддерживающий только клиенты через Интернет | Преимущество | Недостаток | Размещение сервера |
|---|---|---|---|
Сценарий 1. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Сервер сайта находится в интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией, чем подключение, инициированное из интрасети. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта в интрасети, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. Чтобы избежать таких входящих подключений, используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 1. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Сервер сайта находится в интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Реплика SQL означает, что все подключения из демилитаризованной зоны к интрасети инициируются из интрасети, что является более безопасным, чем подключения, инициированные из демилитаризованной зоны. |
Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Для реплики SQL необходим сервер со связанными затратами, а также будет наблюдаться некоторая задержка репликации между репликой и сервером сайта. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта в интрасети, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. Чтобы избежать таких входящих подключений, используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 2. интернет-сайт содержится внутри демилитаризованной зоны:
|
интернет-трафик не попадает в интрасеть. От сервера родительского сайта к серверу дочернего сайта необходима только одна настройка на серверном брандмауэре. Поддерживает централизованное управление и отчеты. |
Сервер сайта более уязвим для атак из Интернета, чем размещенный в интрасети. Необходимо настроить серверный брандмауэр так, чтобы он пропускал входящий SMB-трафик. Сервер, настроенный с ролью точки обновления программного обеспечения, которой требуется синхронизация метаданных обновлений программного обеспечения с активной точкой обновления программного обеспечения родительского сайта, требует настройки серверного брандмауэра, разрешающей входящий трафик по протоколам HTTPS и HTTP. В качестве альтернативы используйте метод экспорта и импорта для синхронизации обновлений программного обеспечения, описанный в разделе Синхронизация обновлений с помощью импорта и экспорта. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 2. интернет-сайт содержится внутри демилитаризованной зоны:
|
интернет-трафик не попадает в интрасеть. Не требуется каких-либо настроек на серверном брандмауэре. |
Сервер сайта более уязвим для атак из Интернета, чем размещенный в интрасети. Не поддерживает централизованное управление и отчеты. |
Демилитаризованная зона:
Интрасеть:
|
Размещение сервера для сайтов, которые управляют клиентами через Интернет и в интрасети
Если сайт Configuration Manager 2007 должен поддерживать клиенты через Интернет и в интрасети, применяются сценарии 3 и 4, описанные в следующей таблице. В следующей таблице приведены преимущества и недостатки каждого из сценариев и соответствующее размещение сервера.
| Сценарий для поддержки клиентов через Интернет и в интрасети | Преимущество | Недостаток | Размещение сервера |
|---|---|---|---|
Сценарий 3. Сайт охватывает демилитаризованную зону и интрасеть. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Существует вторая точка управления (и вторая точка обновления программного обеспечения и точка восстановления состояния, а также дополнительные точки распространения) и другие системы сайтов, которые находятся в интрасети для клиентов, подключающихся к интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Назначенная точка управления и дополнительные системы сайта, к которым подключаются клиенты интрасети, отделены от интернет-трафика. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Для интернет-подключений необходимо больше серверов со связанными затратами. Экспорт и импорт метаданных обновлений программного обеспечения вручную связан с определенной административной нагрузкой. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией, чем подключение, инициированное из интрасети. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 3. Сайт охватывает демилитаризованную зону и интрасеть. Все интернет-системы сайта располагаются в демилитаризованной зоне и принимают подключения клиентов, соединяющихся через Интернет. Существует вторая точка управления (и вторая точка обновления программного обеспечения и точка восстановления состояния, а также дополнительные точки распространения) и другие системы сайтов, которые находятся в интрасети для клиентов, подключающихся к интрасети:
|
Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Назначенная точка управления и дополнительные системы сайта, к которым подключаются клиенты интрасети, отделены от интернет-трафика. Реплика SQL означает, что все подключения из демилитаризованной зоны к интрасети инициируются из интрасети, что является более безопасным, чем подключения, инициированные из демилитаризованной зоны. |
Для интернет-подключений необходимо больше серверов со связанными затратами. Экспорт и импорт метаданных обновлений программного обеспечения вручную связан с определенной административной нагрузкой. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Между демилитаризованной зоной и интрасетью нет границы безопасности, что не является рекомендуемым решением. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Необходима обратная настройка прокси между демилитаризованной зоной и интрасетью, таким образом интернет-системы сайта в интрасети будут публиковаться на интернет-клиентах. интернет-клиенты обходят границу безопасности для выполнения подключений к серверам в интрасети. Снизить данную угрозу можно использованием на прокси-сервере моста SSL вместо туннелирования SSL. Дополнительные сведения см. в разделе Определение требований к прокси-серверам для использования интернет-управления клиентами. |
Демилитаризованная зона:
Интрасеть:
|
Сценарий 4. Сайт соединяет демилитаризованную зону и интрасеть:
|
Уменьшение числа настраиваемых и обслуживаемых серверов как в интрасети, так и в Интернете. Сервер сайта защищен от интернет-трафика, так как находится в интрасети. Нет реплики SQL-сервера, которую можно настроить, а также нет связанной задержки репликации. |
Клиенты интрасети обходят границу безопасности для выполнения подключений к серверам, открытым для интернет-трафика. Необходимо настроить серверный брандмауэр так, чтобы он пропускал трафик SQL и SMB. Подключение SQL инициируется из демилитаризованной зоны к интрасети, что является менее безопасной конфигурацией. |
Демилитаризованная зона:
Интрасеть:
|
См. также
Основные понятия
Поддерживаемые сценарии интернет-управления клиентами
Определение требований к прокси-серверам для использования интернет-управления клиентами
Общие сведения об интернет-управлении клиентами
Дополнительные сведения см. на странице Configuration Manager 2007 Information and Support [Информация и поддержка Configuration Manager 2007].
Для обращений в группу разработчиков документации используйте адрес электронной почты SMSdocs@microsoft.com.