Hej!

Vi har ett bekymmer med vår konfiguration av FM Server 11. Det är en två-maskin konfiguration med webserver och WPE (WS/WPE) på en maskin och databasserver (DB) på en annan.

De olika maskinerna är virtuella maskiner med dedikerat minne, olika nätverkskort och dedikerade partitioner på en RAID 5. WS/WPE maskinen kör Windows Server 2003 och DB maskinen kör Windows Server 2008.

De olika nätverkskorten har vi för att kunna lägga ut WS/WPE-maskinen i ett DMZ, med en mellanliggande brandvägg till DB.

På WS/WPE-maskinen skall vi ha vår CWP lösning.

Poängen med detta är att kunna kontrollera vilken trafik som tillåts in till och ut från DB.
Om WS/WPE-maskinen blir infekterad skall detta inte kunna fortplanta sig enkelt ner till DB.

För att detta skall vara lönt behöver vi veta vilka portar FM Server använder sig av för kommunikation mellan WS/WPE och DB. Detta har visat sig lättare sagt än gjort.

Enligt FMs dokumentation är de portar som skall vara tillgängliga: 5003, 5013, 50003, 16000 och 16001. Enligt installationsanvisningarna för FMS11 skall 5003 och 16000 vara öppna i brandväggen mellan WS/WPE och DB. Stänger man ner alla andra portar och enbart tillåter trafik på dessa, hittar man inte WS/WPE i driftsättningen. Stänger man ner portarna efter driftsättning, tappas kontakten.
Vi har i brandväggens loggar sett att när den ena maskinen initierar kontakt med den andra, går den ut på vilken port som helst. Ett fullständigt slumpartat mönster. När kontakten når den andra kommer det dock från en av FM angiven port. När DB anropar WS/WPE landar det på port 16000 och på andra hållet landar det på port 5003.

Vi har försökt med en regel som säger att alla anrop från DB, från vilken port som helst, skall landa på port 16000 när det når WS/WPE-sidan. Även på andra hållet satte vi en motsvarande regel. Detta fungerade inte, maskinerna verkar förvänta sig svar på samma port som de frågade på. Då vi inte kan se vilka portar som används när alla är öppna, vet vi inte om maskinerna faktiskt uppför sig så.

Mjukvarubrandväggarna på respektive server är för övrigt avstängda.

Ett möjligt problem är Bonjour som FM använder sig av för att hitta de olika maskinerna i konfigurationen. Ingen dokumentation angående vilka portar som används, som skiljer sig från FMs, har hittats.

Allting fungerar som det ska när alla portar är öppna, men då faller idén med ett DMZ för ökad säkerhet något.

Är det någon som har erfarenhet av liknande problem eller konfigurationer?

Tack på förhand!
Oskar

Hej Martin!
Vi är i kontakt med FM support i USA. Får se vad det ger, än så länge har vi inte fått reda på vilka portar programmet använder.
Hur löste ni det? Skippade DMZ helt?

Okej, men ni kör servrar på olika fysiska enheter dessutom? Vi tycker det är märkligt att ingen lösning på problemet finns att tillgå snabbt och enkelt från FM, förutom att problemet i sig är väldigt märkligt. Det kan knappast vara en helt ovanlig konfiguration.

Hej Henrik!

Tack för ditt svar.
Jag håller dock inte med. Läser man längre ner på sidan du citerade från kan man läsa följande:

---

Services that belong in the DMZ

Generally, any service that is being provided to users on the external network could be placed in the DMZ. The most common of these services are web servers, mail servers, FTP servers, VoIP servers and DNS servers. In some situations, additional steps need to be taken to be able to provide secure services.

Web servers

Web servers may need to communicate with an internal database to provide some specialized services. Since the database server is not publicly accessible and may contain sensitive information, it should not be in the DMZ. Generally, it is not a good idea to allow the web server to communicate directly with the internal database server. Instead, an application firewall can be used to act as a medium for communication between the web server and the database server. This may be more complicated, but provides another layer of security.

---

Detta är precis vad vi försöker göra. Lägga ut webserver och WPE i ett dmz och kunna strypa ner och kontrollera kommunikationen mot LANet för ökad säkerhet. Naturligtvis måste även webservermaskinen kunna kommunicera med databasservern, annars faller poängen helt, men på ett sätt som vi bestämmer och kontrollerar.

Tydligen är detta med två maskinskonfiguration med dmz inblandat ett känt problem hos FileMaker, de har känt till det sen releasen av FMS 10!
Vi filar på alternativa lösningar men försöker framförallt hitta vad som är problemet med denna konfiguration, så vi kan lösa det och använda denna, enligt oss, säkra lösning.

Oskar

Oscar:

Vilka portar som FileMaker använder finns mycket bra illustrerat här:
sixfriedrice.com/wp/filemaker-firewall/

För att få ett DMZ att kommunicera med övriga nätverket, så måste man sätta upp routing/portforwarding mellan DMZat och det interna nätverket.
Detta är inte korrekt eftersom man då delvis förlorar meningen med själva DMZat.

Förslag på lösningar:
* Kör en VPN tunnel till lokala nätverket med begränsning till FMS maskinen. (Rekommenderas)
* Skippa DMZ, portforward på port 80 till WPE maskinen istället.

VPN Tunnel eller routing till FMS maskinen är i princip samma sak (bara olika sätt att lösa "problemet").

Det du vill förhindra är att WPE maskinen inte ska kommunicera med ert lokala nätverk om den skulle bli infekterad, men samtidigt vill du att den ska kommunicera med FMS.

En VPN tunnel löser detta då du kan begränsa tunneln till enskilda segment av nätverket.

Annars är en lösning att skapa två nätverkskort på maskinerna och ge dom interna adresser och låta dom kommunicera på det viset.

Okej, vad synd... Hade varit en enkel lösning att försöka med annars.

Från: http://forums.filemaker.com/posts/ad61a7e781