Server (jiffyboxen) verschlüsselt miteinander verbinden?

[metty22]

Hallo zusammen,

ich möchte demnächst eine größere Website online stellen und bin gerade dabei das Grundsetup (bestehend aus einem Webserver und einem Datenbankserver) zu testen. Da ich für das Projekt jiffyboxen von domainfactory verwenden will (wegen der Skalierungsmöglichkeit), gibt es jedoch ein "Problem". Es ist zwar problemlos möglich mehrere jiffyboxen parallel zu betreiben auch eine Verbindung zwischen den vServern funktioniert problemlos, allerdings unverschlüsselt und damit unsicher. Was würdet ihr mir für eine Lösung empfehlen um den Traffic zwischen dem Webserver und dem Datenbankserver zu verschlüsseln? Mir würde dazu entweder ein SSH-Tunnel einfallen (soll nicht sehr stabil funktionieren) oder einen einfachen OpenVPN-Tunnel mit einem PSK.

Die wichtigste Anforderung die ich habe ist lediglich, dass die Verschlüsselung nicht zuviel Leistung frisst und die maximal zur Verfügung stehende Bandbreite zwischen den Servern möglichst voll genutzt werden kann (Bsp. 99MBit von 100MBit). Habt ihr vielleicht eine andere Lösung, als die von mir genannten, die ihr mir empfehlen könnt?

Gruß
metty

 

[d4f]

Ohne jetzt in Kenntnissen zu Virtualisierung zu strotzen; ausser bei bereits in SSF diskutierten Gegenbeispielen sollte es doch innerhalb eines vServers _nicht_ moeglich sein den Traffic eines anderen Container oder gar einer anderen Machine zu belauschen oder MITMen?

Da der Provider eh vollen Zugriff auf das Hostsystem und somit deine Daten hat waere somit die Verschluesslung nur eine Verschwendung an wertvoller CPU-Zeit und somit Reaktionsgeschwindigkeit.

Welche Datenbank setzt du ein? MySQL unterstuetzt SSL-Verschluesslungen welche dank der hybriden Technik (asymmetrischer Handshake, symmetrischer Key fuer den weiteren Datenaustausch) nicht allzu CPU-lastig ist (bis auf den Verbindungsaufbau was sich jedoch durch persistente Verbindungen verringern sollte)

SSL-Tunnel sind stabil jedoch in der Leistung nicht wirklich das Gelbe vom Ei.
Ein VPN waere meine 2. Wahl sofern deine Applikation aus einem Grund nicht die native Verschluesslung der Datenbank benutzen kann.

 

[metty22]

Ohne jetzt in Kenntnissen zu Virtualisierung zu strotzen; ausser bei bereits in SSF diskutierten Gegenbeispielen sollte es doch innerhalb eines vServers _nicht_ moeglich sein den Traffic eines anderen Container oder gar einer anderen Machine zu belauschen oder MITMen?

Da der Provider eh vollen Zugriff auf das Hostsystem und somit deine Daten hat waere somit die Verschluesslung nur eine Verschwendung an wertvoller CPU-Zeit und somit Reaktionsgeschwindigkeit.

Naja, mir geht es dabei nicht um den Provider, sondern viel mehr um andere Kunden die den Traffic zwischen den Boxen belauschen könnten. Das VPN etc. ziemlich subopimal ist, habe ich mir schon gedacht. Ich denke ich werde es über Firewall Rules lösen, so dass nur der Webserver mit seiner IP Zugriff auf den Datenbankserver hat. Denn wie du schon gesagt hast, alles andere kostet imens Leistung...

Gruß
metty

 

[d4f]

so dass nur der Webserver mit seiner IP Zugriff auf den Datenbankserver hat.

Ich gehe mal weiter davon aus dass du MySQL benutzt; ein Wildcard bei der IP-Adresse zu benutzen waere wirklich suboptimal und riskant.
Allerdings schuetzt dies noch noch vor IP-spoofing, sniffing, Aneignung fremder IP's, ....
Wie jedoch gesagt sollte MITM durch eine andere Jiffybox eines anderen Kunden nicht moeglich sein, und ich gehe davon aus dass das df-Netz zumindest eine solche Attacken erkennende Switch/Router-Infrastruktur zwischen dem Jiffybox-Netz und deren Kundenserver hat.

Du kannst ja immer mal anfragen ob ein vLAN zwischen deinen Machinen gezogen wird, allerdings schuetzt dieses nur gegen Angriffe von aussen und nicht auf der gleichen Hostmachine.
Allerdings sollte man eine Trennlinie zwischen kostenintensiver und zeitfressender Paranoia und unsicheren Netzen ziehen; hier werden die Daten nicht ueber zig Carrier und durch halb Asien geroutet sondern schlichtwegs mehrere Meter innerhalb des gleichen Rechenzentrums eines renommierten Anbieters
Wenn du Angst um deine Daten hast solltest du dedizierte Hostmachinen welche die Festplatten verschluesselt halten und nur durch einen in deinem Besitz befindlichen Key welchen du manuell dem Server fuettern musst startet housen

 

[metty22]

ein Wildcard bei der IP-Adresse zu benutzen waere wirklich suboptimal und riskant.
...
Du kannst ja immer mal anfragen ob ein vLAN zwischen deinen Machinen gezogen wird, allerdings schuetzt dieses nur gegen Angriffe von aussen und nicht auf der gleichen Hostmachine.
Allerdings sollte man eine Trennlinie zwischen kostenintensiver und zeitfressender Paranoia und unsicheren Netzen ziehen; hier werden die Daten nicht ueber zig Carrier und durch halb Asien geroutet sondern schlichtwegs mehrere Meter innerhalb des gleichen Rechenzentrums eines renommierten Anbieters

Es wäre kein Wildcard sondern nur eine IP, sprich "Nur IP 111.222.111.123 darf auf den Datenbankserver zugreifen, sonst niemand". Zudem, wie du schon gesagt hast, man kann es mit Paranoia wirklich übertreiben. Denn was nutzt es, wenn die letzten Meter zwischen Webserver und Datenbank verschlüsselt sind, wenn die Daten sowieso unverschlüsselt übers ganze Netz laufen. Der Zugriff erfolgt zudem nur über interne IPs, die nicht geroutet werden. Zudem ist das ganze via Passwort etc. "abgesichert". Ich bin wirklich zum Schluss gekommen, dass das reichen dürfte. Die Daten die nämlich hier hinterlegt werden sind nicht sehr brisant.