允许【yǔn xǔ】Web用户访问数据🍃库是一👓项很精细的工【xì de gōng】作【zuò】，需要认【xū yào rèn】📴真的考虑🚟，不能马虎从事。

TechRepublic会员🦗E Spigle 最近在【zuì jìn zài】TechRepublic Technical 的Q&A forum上提出✔了下面⛺这个问【zhè gè wèn】题【tí】：

我们正💷在进行【zài jìn háng】🔷一项工【yī xiàng gōng】🗻作【zuò】，把一个很老的FoxPro系统转【xì tǒng zhuǎn】换成我【huàn chéng wǒ】所工作【zuò】📽的公司里的【lǐ de】MS SQL / VB系统【xì tǒng】。我们已经在内🍟部广泛地使用【dì shǐ yòng】了SQL数据库【shù jù kù】🈺。它目前位于我们局域【men jú yù】😹网的防火墙之【huǒ qiáng zhī】后，只能支持内部🥥使用【shǐ yòng】。可是我们的一部分转换程序带来了🈲一些Web联机应【lián jī yīng】用【yòng】。现在我【xiàn zài wǒ】🕝们就面【men jiù miàn】🦒临一个两难的局面🕙，我们必【wǒ men bì】须为了让Web用【yòng】户和局域网的用户【de yòng hù】能够同【néng gòu tóng】🚌时访问同一个🌺数据库【shù jù kù】🈺找到一个好的【gè hǎo de】⛩解决方🍾法🍓。目前我😋们的IIS 6.0 Web server在🤹DMZ.如何能够让web服务器为网络应用【yòng】提🖐供数据库【shù jù kù】🈺访问呢?

问题分析

这是个很有意😄思的问题【tí】🐹，第一眼🍕看起来💚很简单，但是当你再对它进行🐻深入考【shēn rù kǎo】虑后【lǜ hòu】，你就会😻发现它的复杂之处【zhī chù】。任何时候，当你想要使数据库具【jù kù jù】有互联网访问🎒能力时【néng lì shí】，都有很【dōu yǒu hěn】多问题【tí】⤴需要考🎌虑。我首先会考虑【huì kǎo lǜ】🔔的问题【tí】🐹就是“我们处🚤理的是【lǐ de shì】🎀什么类🌶型的数【xíng de shù】据?”和【hé】“信息的敏感程【mǐn gǎn chéng】度如何【dù rú hé】?”

我会考【wǒ huì kǎo】虑这两💇个问题【gè wèn tí】的原因是我需【shì wǒ xū】🤲要确定【yào què dìng】这些数✖据能够【jù néng gòu】承受多【chéng shòu duō】大的风险【xiǎn】😭。如果不【rú guǒ bú】👜能够承担任何风险【xiǎn】😭，我可能会投入很多的资源和【zī yuán hé】精力来保证我的数据【de shù jù】⚾尽可能🐨不受侵害⚫。但是【dàn shì】🧜，如果可以承担一定的风险【xiǎn】😭，我会谨🌨慎从事，但不会【dàn bú huì】采用极🎥端手段♎。比如，如果数🥢据是一个病人【gè bìng rén】的医疗【de yī liáo】历史信息，我就会不遗余力地保护数据安全，这就意【zhè jiù yì】💩味着不通过【tōng guò】❕IIS连接📮，不使用SQL Server.

在我详🏩细说明以前【yǐ qián】，我要声明，我对微【wǒ duì wēi】软并没有偏见。我仅仅是要避免风险【miǎn fēng xiǎn】。微软的产品能【chǎn pǐn néng】够被很【gòu bèi hěn】😯好【hǎo】地保⤴护🏉，并且在🧛上述的【shàng shù de】情况下🕖工作良好【hǎo】。但是🐌，由于它🍊的流行【de liú háng】🚑性，微软的产品更【chǎn pǐn gèng】🔤容易成🕶为病毒，蠕虫、黑客和👏诸如此类攻击的靶子【de bǎ zǐ】。在对于风险承【fēng xiǎn chéng】受能力比较低【bǐ jiào dī】的环境【de huán jìng】里避免使用微🐕软的产品，这样就能够减🏻少我的【shǎo wǒ de】🧐麻烦【má fán】。

而且😑，根据数【gēn jù shù】据所能够承担的风险程度，我将决🙃定是否需要在【xū yào zài】web服务器🧠和数据库之间🕕进行加♌密【mì】📕，以及数【yǐ jí shù】据在数🔩据库里【jù kù lǐ】👰是否需要加密【yào jiā mì】📕。如果我们希望【men xī wàng】能够获【néng gòu huò】得最高的安全🚋性，我就会【wǒ jiù huì】🍲选择使【xuǎn zé shǐ】用内置的或者第三方【dì sān fāng】📬的加密【de jiā mì】😥软件。如果数【rú guǒ shù】据对于安全性要求不是那么✒高，我就会【wǒ jiù huì】🍲选择根🏹本不加密【mì】📕，或者选【huò zhě xuǎn】🙇择低级别一些【bié yī xiē】的加密【de jiā mì】😥方法。

最后，我还需【wǒ hái xū】要决定【yào jué dìng】🕌使用【shǐ yòng】什🏄么样【me yàng】🙊的连接来访问数据库。如果加密是必须的，或者/而且访【ér qiě fǎng】✡问是通【wèn shì tōng】过客户服务器🏹软件来进行(如同问题里描【tí lǐ miáo】述的那🎷样🙊)，那么我就需要🐿使用【shǐ yòng】VPN和一个【hé yī gè】应用🔱层的代理【lǐ】。而且，我可能会考虑在我的🐤Web服务器🏹和数据【hé shù jù】📫库之间【kù zhī jiān】🚓，设置一【shè zhì yī】🛋个应用🔱服务器🏹。

对于上【duì yú shàng】面这些🥨问题的【wèn tí de】🗼答案帮助我设【zhù wǒ shè】🕚计数据库访问的环境。

搭建系统

我假设👚在💁E Spigle问题中【wèn tí zhōng】所描述【suǒ miáo shù】的数据的敏感程度不【chéng dù bú】是非常高☝，所以使【suǒ yǐ shǐ】用【yòng】🈵IIS和SQL Server是可以被接受🛒的。具体如【jù tǐ rú】图🚉A所示：

图A：网络规划

如图🕳A所示的🏚网络通😠信中【xìn zhōng】🔵，80端口【duān kǒu】的HTTP或者1443只被允【zhī bèi yǔn】许到达【xǔ dào dá】Web服务器【fú wù qì】。然后【rán hòu】🅿Web服务器【fú wù qì】通过1433端口【duān kǒu】，通过TCP协议同SQL服务器【fú wù qì】进行通信。另一种方法【fāng fǎ】，是使用微软的🚓ISA服务器【fú wù qì】作为转【zuò wéi zhuǎn】换代理，并允许🧞它控制与📏SQL服务器【fú wù qì】的通信【de tōng xìn】📩。

无论你选择哪【xuǎn zé nǎ】一种【yī zhǒng】，都有一系列问题需要➖考虑【kǎo lǜ】，以确保你的🦒SQL Server数据库😯的安全【de ān quán】。这些问题在网上可以【shàng kě yǐ】🏾查到【chá dào】🗜，它们包🙊括了比如保护🏡你的🦒Windows服务器，保护IIS，保护SQL Server，处理【chù lǐ】Web服务器同【tóng】SQL server的通信问题，这包含【zhè bāo hán】了认证【le rèn zhèng】、协议等☝等方面😒的问题🚭。幸运的是微软【shì wēi ruǎn】在MBSA(Microsoft Baseline Security Analyzer)提供了✍一些帮助【zhù】。

最后，你的开【nǐ de kāi】发人员和数据库管理员还需【yuán hái xū】要把一【yào bǎ yī】🎻系列标【xì liè biāo】准和程🕕序融合【xù róng hé】到应用代码和🔅数据库中【zhōng】🚫，以把安全风险降到最🖤低♋。

最佳方案和可接受的风险

本篇文章讲述了在一🤷个看起💿来很简单的【de】🥐问题【tí】背后【hòu】⛺的【de】🥐一些复杂之处【zá zhī chù】🌆，“怎样才能最好地让网【dì ràng wǎng】络应用通过【tōng guò】web服务器🐊访问数据库?”也许还【yě xǔ hái】🐀有资金的【de】🥐压力，但最终，会归结为在可【wéi zài kě】🙂承受的【de】🤢风险程度和投【dù hé tóu】入之间【rù zhī jiān】的【de】🥐平衡问题【tí】。这是每🔳一个面【yī gè miàn】对这个【duì zhè gè】问题【tí】的【de】🎵人都需要考虑🖕的【de】🥐。