我们的几台服务器有Oracle维护许可证。 我们的硬件供应商问服务器机房有互联网连接。 我们的政策是，出于安全原因，该房间内的所有机器都与互联网隔离。 但维修人员问“那么我们将如何能够在您的服务器上进行维护工作？”
我的问题是，我们的服务器是否需要互联网连接才能进行维护，如许可证validation系统。 或者他可以离线吗？ 如果networking连接到我们的生产服务器，这本身不是一个风险吗？
您通常需要从互联网下载补丁，然后将其应用到服务器。 然而，将补丁复制到中间位置（甚至是DVD）以在互联网和数据库服务器之间进行中间步骤是合理的。
如果他们只想在服务器机房中连接到互联网的单独机器（例如，用于阅读补丁说明），那么这是另一种select。
最后，在服务器上运行的浏览器可以连接到互联网，并且可以通过互联网将服务器实际上作为服务器访问，这是有区别的。
这一切都取决于你想要/需要的安全性。
您的服务器连接到具有可访问Internet的其他设备的networking。 正确？ 我相信其他人会不同意，但我相信不允许这些服务器直接访问互联网所提供的安全性比其他任何东西都更虚幻。
我们对没有访问互联网的客户服务器做了大量的维护工作。 我们必须把所有在CD / USB Stick上访问所需的更新/补丁/软件。 （允许第三方携带U盘/ CD本身就是安全风险）
您始终可以使用iptablesconfiguration准确的源/目标IP：您希望保持打开的端口对。
这样，即使通过广域网解决了服务器，也可以确保只有可信的IP +正确的凭证才能访问它。
此外，你也可以使用一个私人 – 公共的SSH密钥对 ，只能在你们两个之间共享。
所有的服务器应该在DMZ中，或者至less在防火墙后面。 几乎任何防火墙都可以configuration为允许从这些服务器的任何一个传出连接（以便他们可以检查并自行下载安全补丁和其他更新）。 然后由系统pipe理员来configuration防火墙，以便允许一些非常特定的连接。 如果他们只是偶尔需要维修，一旦维修完成，他们可以被禁用。
我们使用linux网关进行这项工作，使用iptables作为防火墙。 但是，您的标准硬件防火墙将完全相同。
现在的问题是：允许生产服务器将HTTP / S连接出站到Internet上是否存在风险。 简短的回答是NO。 安全风险如此之小以至于超过了pipe理这些服务器的成本（就时间而言）。
考虑允许访问的风险：
通过限制对已知网站的互联网访问来缓解第一点，理想情况下根本不允许网页浏览。 另外，您的pipe理员有一定的信任，不能以恶意的方式行事。
第二点，考虑到服务器已经以某种方式受到攻击，无论是否有Internet访问是一个有争议的问题。 攻击者已经find了一种方法来获取你的系统的代码，这意味着他们可以获得额外的代码到该系统或从中检索数据。
显然，这可能都取决于具体情况（如满足某些客户或监pipe要求）。
这些服务器需要什么types的连接？
如果它只是一个到Oracle网站的HTTP连接，为什么不让他们使用networking代理呢？
VPN访问是你最好的select！
答案＃1在理论上是最好的 – networking的安全级别等于连接到该networking的最弱的计算机的安全级别
我的观点是：
即使你允许某些服务器连接到互联网，也可以使用OpenDNS作为他们的DNS服务器。