问：先前有读者问你：“如果公共邮件服务器位于DMZ中，让内部邮件能透过防火墙进行收发的操控过程是怎样的呢？”你在那篇文章中解释的正是我的公司正在部署的工作。在那样的网络结构下，我可以怎样来部署webmail系统呢？将防火墙的80端口和433端口配置为开放状态，并允许外界不通过DMZ而直接访问我的内部邮件服务器，这么做安全吗？如果不安全，还有什么其他的方法吗？ 答：你的问题没有明确的答案，因为这正是安全和email领域的一个有争议的话题。总的来说，我是建议将所有从Internet上可访问到的服务器都放置到DMZ中。如果你允许用户不通过VPN链接直接访问到邮件服务器，上述的那种做法将绝对是我的……
我们一直都在努力坚持原创.......请不要一声不吭，就悄悄拿走。
我原创，你原创，我们的内容世界才会更加精彩！
【所有原创内容版权均属TechTarget，欢迎大家转发分享。但未经授权，严禁任何媒体（平面媒体、网络媒体、自媒体等）以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
TechTarget
官方微博
TechTarget中国
问：先前有读者问你：“如果公共邮件服务器位于DMZ中，让内部邮件能透过防火墙进行收发的操控过程是怎样的呢？”你在那篇文章中解释的正是我的公司正在部署的工作。在那样的网络结构下，我可以怎样来部署webmail系统呢？将防火墙的80端口和433端口配置为开放状态，并允许外界不通过DMZ而直接访问我的内部邮件服务器，这么做安全吗？如果不安全，还有什么其他的方法吗？
答：你的问题没有明确的答案，因为这正是安全和email领域的一个有争议的话题。总的来说，我是建议将所有从Internet上可访问到的服务器都放置到DMZ中。如果你允许用户不通过VPN链接直接访问到邮件服务器，上述的那种做法将绝对是我的第一选择。将邮件服务器放置到DMZ中能抑制攻击者利用邮件服务器来危害内网。
然而，有一些因素会将这一问题复杂化。许多email系统，特别是Microsoft Exchange在分离webmail前端和email后端时十分困难。这需要在防火墙上开出很多“洞”——让两个系统之间进行通信——这限制了它们在不同网络环境下的工作效率。
如果你的网络拓扑结构允许一些灵活操作，可以考虑以创建一个单独的email网络空间的方式构建一个工作区，用防火墙控制来自DMZ和内网的访问，然后将email和webmail服务器都放入那一空间。这样以来，你就可以让内网的客户端访问通过传统的“胖客户端”端口进行，而让Internet上的客户端通过webmail端口进行访问。
作者
Mike Chapple, CISSP，University of Notre Dame的IT安全专家。他曾担任国家安全局和美国空军的信息安全研究员。Mike经常为SearchSecurity.com撰稿，是《信息安全》杂志的技术编辑。
相关推荐
-
山石十年：多产品线发力，跻身一流网络安全厂商
2017年，山石网科迎来了创立的第十个年头，这个代表着一个完整阶段的数字令总结与展望都显得意义非凡了起来。
-
专访山石网科吕颖轩：也谈内网安全的智能
总的来看，在网络安全领域机器学习处于摸索时期，尚有很大的发展空间，且黑客的力量和防御者的力量并不成比例，应对内网安全问题除依赖智能外，更要秉承“三分靠技术，七分靠管理”……
-
绿盟科技：您的内网安全吗？
用户如何快捷、高效、实时，而又成本低廉地知道当前企业内网资产是否安全，了解所处安全等级？如何第一时间发现威胁风险并马上予以整治修补，从而防患于未然？
-
国路安“白名单”技术帮助企业建立安全桌面虚拟化系统
国路安推出了集“白名单、动态映射、安全控制网关、安全存储系统、全程审计”为一体的安全桌面虚拟化解决方案，帮助信息化管理者在可信平台上推进内网安全进程。