我是 Web 开发人员，偶尔需要兼任系统和网络管理员（小公司）。我们目前有一台运行 Windows Server 2003 的托管服务器，该服务器同时运行我们的 Web 服务器（IIS/Coldfusion）和数据库服务器（SQL Server 2008）。我们通过仅允许特定 IP 连接到 SQL 服务器来锁定它。虽然不是很理想，但到目前为止效果不错。
我们正在迁移到两个不同的服务器，我想借此机会“把事情做好”，只让网络服务器面向公众。我需要做的是只允许少数人连接到数据库服务器。
我更愿意使用 VPN 来让人们通过，而不是使用 IP 允许列表，这样访问就基于用户，而不仅仅是用户的位置。我倾向于使用 OpenVPN 之类的东西，这样我就可以坚持使用 Server 2008 Web 版本。我是否应该：
- 将 Web 服务器用作 VPN 服务器，并将数据库服务器设置为仅接受来自 Web 服务器的连接？是否需要额外的步骤来使到 db.mycompany.com 的连接通过 VPN 路由而不是通过其他连接路由？我对网络基础设施这部分内容不了解。或者，
- 在数据库服务器上设置 VPN 服务器作为唯一面向公众的服务器连接，这样就不必处理任何路由问题？
我知道这是网络基础知识，但我想在贸然行事之前先问一下，因为这可能会对公司造成一些影响。非常感谢！
答案1
我会将 VPN 移至防火墙（任何基本的思科设备都可以很好地处理这个问题）
设置两个区域，“安全区域”包含您的数据库和后端服务器以及存储私人或敏感信息的任何内容。
然后你的非军事区为您的网络服务器。如果您的网络服务器遭到黑客攻击（这更多的是时间问题，而不是是否发生的问题。）他们无法直接访问包含敏感信息的机器。
编辑：这是假设你有一个能够做 VPN 的防火墙。（你没有提到任何有关防火墙的事情。如果没有，我会把 VPN 放在网络服务器上。不是最好的选项，但可能更糟。我还建议为您的网络服务器安装某种日志记录/绊网软件，以防它们真的受到攻击，您会尽快知道。希望您能在它们获得 VPN 密钥、开始攻击您的数据库或开始造成大问题之前关闭它们 :P。
