在Internet上分发有关安全问题的SQL Server

我们将把我们的服务器放在两个地方,以保持高水平的冗余,并避免带宽批评。 这两台服务器位于不同的局域网上,但通过广域网(通过互联网)进行通信。 其中一台服务器是主服务器,另一台是辅助服务器。 问题是软件不仅仅包含一个数据库,还包含主服务器上的文件,这些文件也必须传输到第二台服务器上。 我们正在使用SQL SERVER 2005

我们devise的主要要求如下:

  1. 我们正在使用SQL Server 2005,并将在未来将数据库升级到Oracle。 所以我们必须考虑维护和进化问题。
  2. 文件(图像,电影等)也必须传输到第二台服务器上。
  3. 互联网周围的两台服务器之间的关系必须是完全安全的。 安全是重点之一。 主服务器上唯一打开的端口是端口80,用于HTTP请求,它只是只读的,所有其他端口都closures,certificate这是一个非常安全的选项。
  4. 两台服务器之间的带宽是非常有限的,我们不想负担主服务器。
  5. 第二个服务器必须是可写的,但是第二个服务器上的任何修改都不会被发回到主服务器。 所以我们有一个单向的交易,不想要双向交易。

  1. 解决schemeI SQL Server之间的数据传输:事务复制服务器之间的文件传输:可爱的FTP安全选项:VPN在这个解决scheme中,我们将使用VPN来确保两个服务器之间的关系。 两个SQL SERVER之间的数据通过事务复制发送。

  2. 解决scheme二SQL Server之间的数据传输:备份和还原服务器之间的文件传输:可爱的FTP安全选项:VPN这里我们要每六个小时备份一次数据库,并通过一个安全隧道(VPN)到第二台服务器通过FTP。 这个解决scheme的缺点是它比第一个解决scheme使用了更多的带宽和更多的时间。

  3. 解决schemeIII SQL Server之间的数据传输:与合并复制的Web同步服务器之间的文件传输:基于SSL的WebDAV安全选项: – 这里我们使用合并复制来进行复制,尽pipe我们不打算使用合并复制的双向选项。 我们将使用Web同步而不是VPN。 要将文件传输到第二台服务器,我们将使用SSL上的WebDAV来确保连接的安全。 这个选项可能的缺点是我不确定数据传输是否安全,并可能导致主服务器上的安全性不足。 即使对于Web同步,我们也必须打开443端口,这也可能导致安全问题,特别是我们在这个解决scheme中没有使用VPN。

  4. 解决scheme四SQL Server之间的数据传输:事务复制服务器之间的文件传输:通过SSL的FTP或WebDAV安全选项:configuration代理服务器将代理服务器configuration为多宿主服务器,以防止未经授权的用户访问正在运行的内部服务器SQL Server。 代理服务器configuration为多宿主服务器,以防止Internet上的未经授权的用户访问运行SQL Server的内部服务器。 在这个选项中,我们必须打开端口:1433和21.我不确定这是否会导致安全性问题,特别是我们没有在此解决scheme中使用VPN。

注意:您认为我们没有使用像镜像或日志传送function。 我们不能使用像SQL Server中的镜像function,因为在这种情况下,备用服务器不可用,或者 – 如果使用快照 – 只是只读。

简介:我更喜欢使用解决scheme编号。 1,因为它解决了所有的安全问题,并被certificate是安全的。 由于执行事务复制,它将会很快,并可以扩展到其他数据库来源,比如Oracle将来的事务带宽问题。 我正在等待你对我的解决scheme的build议和评论,期待着其他的想法。


非常感谢您的回复。

让我更清楚地了解我们的情况。 我们现在有一个WANnetworking上的服务器。 该服务器包含数据库和Web应用程序。 问题是我们公司的用户数量非常多,但是我们的连接线很低,而且带宽也很less。 所以当他们开始使用广域网上的网站时,它是不可用的。

所以我们决定在我们的LAN连接上运行另一个从服务器,这个服务器将被主服务器同步。 公司的用户将使用此服务器作为性能问题。 我觉得这个解释让这个话题更清晰。

所以我想为数据库使用复制(SQL SERVER 2005)而不是故障转移或可用性。 这只是我之前解释的问题。 你必须注意我们的带宽非常慢。

而且我正在使用VPN连接,因为安全对我至关重要,我不想打开任何不必要的端口和缺乏。

您使用DFS复制文件的build议看起来很好。 但是DFS有一些限制和要求:

  1. 我们通过VPN通道使用安全的关系,数据被encryption。 那么为什么在通过安全的VPN通道encryptionFTP数据的时候使用DFS呢?
  2. 参与DFS复制的服务器必须运行Windows Server 2003 R2操作系统。 但是我们的服务器只是Windows Server 2003 Service Pack 1,而不是R2。 这也是为了这个吗?
  3. 这两台服务器必须在一个林中。 我不确定这些会在我们的情况下工作! 它是否反映了安全性?
  4. 你能给我一些关于一些有用的DFS电子书的build议吗?

我希望我已经提供了足够的细节。 我在等你的回复。

如果我正在阅读这个权利,而且我喜欢认为我是,那么你确实有一个相当简单的问题。 但是,只有当你准备修改你的4个解决scheme。

我也假设你的预算在100万美元左右,因为你将来有兴趣转移到甲骨文,如果你没有足够高的预算,那么你'拧紧了。

所以。 您的上述问题的TL,DR摘要如下。 “我们希望创build一个高可用性的数据库集群,在两个(或更多)站点中有两个(或更多)服务器。”

我不知道你为什么一直提到FTP和WebDAV,因为你似乎很关心安全性。 FTP是安全的。 WebDAV不过是高性能。

第一步。 获得并保持对networking的绝对控制。 您需要在您的网站之间体面连接。 我正在考虑在10到100Mbit之间的未经过滤的“运营商级”互联网。 在每个站点,你需要一个体面的VPN路由器。 思科ASA就像是一个好的开始。 然后在两个站点之间build立一个AES安全的IPSec VPN。

要在两台服务器之间复制文件,可以使用DFS 。 这是Windows Server 2003及更高版本内置的多主文件系统复制工具。 我不打算解释设置DFS的确切原因。 完全是一个完全不同的问题。

要复制数据库,您可以使用多种替代方法 ,而且每种方法都有不同的优势。 你没有多说你的应用程序架构,或者你是否希望从改进的可用性或改进的可伸缩性或两者都受益。 再一次,设置复制的实际过程是另一个问题的问题。

我build议你用“便携式”USB数据库服务器“手动”进行初始同步,这可能比通过互联网同步要快得多。

您还没有提到有关networking基础架构的任何信息,您是否有独立的数据库服务器的Web服务器? 你打算复制这些吗?

TL; DR:使用行业最佳实践方法将站点到站点链接与安全的VPN连接,使用内置的数据库和文件系统的复制系统。 忘了FTP,WebDAV和所有其他的狗屎,并做到这一点。 如果你做得正确,那就不太可能咬你的屁股。

至于SQL Server的一部分,你会想使用事务复制。

对于文件复制,您需要查看DFS。 如果由于AD设置而无法工作,则需要使用/ sync选项查看robocopy。 DFS与安全无关,它是一个数据复制解决scheme。 要使用DFS,它需要在两个站点之间有一个AD林。 对于多地点公司来说这是正常的。

你可能会想从SQL 2005升级到更新的东西。 微软即将发布第三个主要版本。

如果由于用户访问网站而出现性能问题,则可能需要提高两个站点的networking速度,以便能够处理所有必须处理的数据复制的networkingstream量。

为什么需要只有在第二个站点的用户写入的数据只能在第二个站点中使用? 如果仅从第二个站点使用(或主要使用)应用程序,为什么不将应用程序移动到第二个站点,并让任何需要从第一个站点访问的应用程序只需连接到第二个站点的服务器?