Conexão de rede unidirecional

Eu tenho um cliente muito paranóico que executa duas redes separadas (uma offline, uma online) com computadores separados etc.

Tenho um desafio porque escrevi um aplicativo para eles que será executado na rede offline, no entanto, a rede precisa ser capaz de enviar e-mails aos clientes. Minha idéia é ter uma conexão de rede unidirecional (como um diodo) do servidor offline para um PC online que enviaria os emails.

Qual é a maneira mais eficaz de fazer isso que é semi-econômica? Posso obter uma placa de rede unidirecional?

Rede do Windows Server 2008, PC com Windows.

Basicamente, você só precisa de um firewall entre os dois com regras muito rígidas, basicamente algo chamado regra 'Negar tudo' e, em seguida, permitir apenas um único ponto de sentido único para apontar a regra de saída de porta única para o que você precisa. Isso é fácil para um especialista em segurança / rede e deve ser satisfatório para o seu cliente.

Eu não os chamaria exatamente de paranóicos e aplaudo a atitude deles em relação à segurança.

Se eles se deram ao trabalho de redes separadas, provavelmente também se deram ao trabalho de instalar um firewall. Um pequeno furo no firewall que permite apenas o tráfego na porta 25 passar de um endereço IP específico na sua rede offline para um endereço IP específico na sua rede online deve funcionar perfeitamente.

Eu usaria um link serial que tenha apenas o GND e o TX no servidor seguro e o GNS e o RX na rede não segura. Nenhum controle de fluxo, pois isso pode ser usado para vazar informações da rede não segura para a segura.

Eu criaria um pequeno proxy SMTP-UDP-SMTP composto em 2 daemons. SMTP2UDP e UDP2SMTP.

O SMTP2UDP será um MTA não compatível que será executado na rede segura e aceitará os emails que serão enviados usando o UDP no link serial.

O UDP2SMTP será executado em uma rede não segura e aceitará emails via UDP e os enviará para um MTA real.

No link serial, eu usaria um acoplador óptico para fazer uso do diodo nos requisitos.

Se você quisesse implementar os requisitos da carta, poderia usar um link IP unidirecional que enviasse seus emails via UDP (ou um protocolo unidirecional semelhante) para um daemon personalizado que escutasse esses pacotes e os enviasse via SMTP para o destinatário pretendido.

Obviamente, o sistema de envio (offline) não teria idéia se eles realmente saíram ou não. Para que esse reconhecimento ocorra, você precisa de uma configuração mínima de firewall, como Ben e Chopper3 responderam.

O protocolo TCP precisa de comunicações bidirecionais. Essa configuração é semelhante a um design da DMZ , em que seu aplicativo é executado na intranet confiável e o servidor de correio e / ou destinatários existem na zona da DMZ não confiável.

Um firewall bem configurado poderá permitir apenas que as conexões sejam iniciadas a partir da intranet confiável, e não o contrário. Se isso não for suficiente, duvido que qualquer conexão física entre as duas redes satisfaça seu cliente, o que significa que você não poderá enviar e-mails automaticamente.

Se eles foram até esse ponto para separar as redes, deve haver dois firewalls instalados aqui com uma caixa habilitada para email no meio. No lado offline, permita apenas que as conexões com esta caixa despejem mensagens a serem enviadas por meio de seu aplicativo personalizado. No lado online, permita apenas a conexão smtp com o servidor de email.

Você poderia fazer o mesmo com uma boa relação custo-benefício com uma única caixa de hospedagem dupla com firewall de software em execução em cada interface, mas separar as coisas criará várias camadas adicionais de proteção e seria preferível.

Eu teria apenas dois servidores de correio, um interno e um externo. Faça com que os servidores anexem e-mails enviados continuamente a um arquivo e, de tempos em tempos, renomeie o arquivo, copie-o em uma chave USB e solte-o em uma pasta de entrada no outro servidor. É quantas instalações realizam lacunas de ar nos servidores de rede.

Se for muito importante atrasar, ele pode ser enviado por um dos clientes externos.