KES вместо шлюза

[Сергей Специалист]

Подскажите, сможет ли KES 12.9.0.384 заменить шлюз?
Имеется компьютер, который собирает данные с датчиков (подсеть оборудования на одном интерфейсе), которые должны уйти в БД на сервере Oracle (офисная подсеть на другом интерфейсе).

Сисадмин считает, что для защиты компьютера перед ним нужно ставить FireWall с двумя правилами - 1. Разрешающее исходящие на сервер по TCP 1521; 2. Блокирующее всё остальное.

Достаточно ли в KES настроить "Сетевой экран" на запрет всего IP-диапазона офисной подсети, а в "Защите от сетевых угроз" настроить исключение для порта, протокола и IP-адреса?

Или я что-то не догоняю?

[mike 1]

Здравствуйте, не очень понятно что за шлюз вы имеете в виду? Если это антивирусный шлюз, то его реализация осуществляется путем установки агента администрирования, который переводится в режим шлюза и уже слушает подключения от сервера администрирования KSC. Шлюз обычно размещают в DMZ зоне. Что за TCP 1521? Антивирус его не использует, у агента администрирования другие порты по умолчанию. 

[Сергей Специалист]

Шлюзом я обозвал межсетевой экран (файрвол). На периметре организации такой используется, но сисадмин считает, что и для защиты компьютера должен стоять такой же файрвол (второй в организации). TCP 1521 - это протокол и порт, через который с компьютера уходит информация на сервер Oracle. Понимаю, что для нужд KES дополнительно надо открыть TCP 13000, UDP 15000 и IP-адрес KSC-сервера.  Всё остальное на компьютере в целях его безопасности - закрыть. Вопрос - можно ведь обойтись исключительно настройками KES (без необходимости во втором файрволе)? По-программерски - зачем плодить сущности, если достаточно имеющихся?

[mike 1]

С одной стороны, технически можно настроить, но с другой стороны, на аппаратном FW надёжнее. 

[Сергей Специалист]

Спасибо. Неожиданно. Если на Каспера нет надежды (а ему уже скоро 30 лет исполнится) в такой не сложной задачке, как сетевой "железный занавес" с одной дырочкой (ну ладно, с парочкой дырочек), то я удивлён...

[mike 1]

По моему мнению сегментация на L3 лучше, нежели на L7, но решать вам.  

[Сергей Специалист]

Спасибо, mike 1.