首先，对于这个非特定的问题表示歉意，我不确定在哪里寻找细节，所以这是我面对的常规问题的一般性讨论。 我正在围绕着一些不同的主机和他们强制执行的“最佳实践”进行讨论。 我想尝试一下，根据以下的说法为自己争取一些知识。
“使用默认的SQL服务器端口不如使用随机的非标准端口安全”
– 这在我看来就像安全通过默默无闻，这不是特别安全？
“提供数据包检测的防火墙不需要担心有一个完全开放的端口”
– 是否可以有一个完全开放的入站端口（例如在这个实例sql）安全方面是由数据包检查处理？
“由于IP嗅探/欺骗，添加基于IP的防火墙限制是不安全的 – 正确的/最好的方法是在机器之间使用VPN。”
– 这显然并不总是可能的，但在服务器<>服务器任务应该使用VPN？
这是从我的混乱中得到的，不得不处理下面的设置：
主持人
– 硬件防火墙所有出站通信都打开
– 我可以通过全球或IP打开端口来pipe理入站stream量
– 目前没有VPN
主持人
– 硬件防火墙我无法控制
– 3个出站端口打开（非常严格）无法再打开
– SQL端口入站完全打开，我可以限制使用Windows防火墙
– 目前没有VPN
主机C
– 没有硬件防火墙
– Windows防火墙我可以pipe理，如果需要的话
– SQL设置使用非默认端口
– 目前没有VPN
我需要这些服务器能够在服务器B不允许的几个不同的端口上进行通信。 对我来说，他们之间的VPN似乎都是正确的方法，但是对于这个可以纠正的问题却很陌生？
这是一个广泛的问题，但我会解决主要问题
“使用默认的SQL服务器端口比使用随机的非标准端口安全性更低” – 在我看来，这似乎是安全通过默默无闻，这不是特别安全？
你是对的。 具有非默认端口作为安全措施被高估。 但是，它确实增加了一些针对简单攻击的安全性。 如果有人想闯入这个体系，这不会阻止他。 但是如果有人（或几千）无聊的黑客运行端口扫描程序来寻找一个SQL服务器（或任何其他服务器）来练习或愚弄，非默认端口可能会阻止他们。
“提供数据包检测的防火墙不需要担心有一个完全开放的端口” – 是否可以有一个完全开放的入站端口（例如在这个实例sql中），因为安全方面是由数据包检查处理的？
数据包检测是更高层次的，并且比端口阻塞更复杂，因此更容易受到攻击，总线或configuration错误的影响。 通常你应该把安全措施放在适当的最低级别，所以如果端口阻塞是一个选项，那么它会比分组检查更好
“由于IP嗅探/欺骗，添加基于IP的防火墙限制是不安全的 – 正确的/最好的方法是在机器之间使用VPN。” – 这显然并不总是可能的，但在服务器<>服务器任务应该使用VPN？
的确，您可以信任您networking之外的IP地址作为强大的安全措施，而VPN将是一个更合适的解决scheme。 但是，假设攻击者无法控制您的ISP或networking访问设备，欺骗IP不是很简单
SQL在互联网上是非常安全的 – 如果你使用证书和传输encryption。 不这样做是安全的“最坏的做法”，除非使用站点站点VPN。 启用和使用传输encryption并不困难，并且无需站点站点VPN即可访问。
“由于IP嗅探/欺骗，添加基于IP的防火墙限制是不安全的 – 正确的/最好的方法是在机器之间使用VPN。”
更具体地说，通过这种types的连接发送未encryption的数据是不安全的。 如果数据和身份validation是encryption的，那么ip限制有合理的scheme。