Een tijdje geleden liep alles door één reverse proxy. Handig — één plek om al het inkomend verkeer te regelen, of het nu van buitenaf kwam of gewoon van mijn eigen netwerk. Tot ik me realiseerde: dat is eigenlijk best link.
Het probleem met “alles op één plek”
Een reverse proxy die zowel publiek verkeer als intern verkeer afhandelt, kent in feite de hele kaart van je netwerk. Als die ene proxy ooit kwetsbaar blijkt — een bug, een verkeerde instelling, wat dan ook — dan staat in theorie de deur open naar alles wat erachter hangt. Ook de dingen die nooit voor de buitenwereld bedoeld waren.
Dat voelde niet goed. Dus heb ik het geknipt.
Twee proxies, twee werelden
Nu heb ik:
- Een publieke proxy, die alléén weet welke paar diensten daadwerkelijk vanaf het internet bereikbaar mogen zijn
- Een interne proxy, die al het overige regelt — puur voor gebruik binnen mijn eigen netwerk
De publieke proxy kent dus letterlijk niets van de rest van mijn opstelling. Zelfs als daar ooit iets misgaat, ligt de rest van het netwerk daar niet zomaar naast.
Die publieke proxy staat trouwens niet eens op hetzelfde netwerksegment als de rest. Hij zit in zijn eigen, geïsoleerd stukje netwerk — een soort DMZ — waar standaard helemaal niets toegang toe heeft, ook niet tot buurdiensten binnen datzelfde segment. Dat is zo’n beetje de kerngedachte achter Zero Trust: vertrouw nooit automatisch, ook niet als iets “binnen” zit. Elke verbinding moet zich steeds opnieuw bewijzen.
De verhuizing was minder simpel dan gedacht
Het overzetten klonk eenvoudiger dan het was. Sommige instellingen — denk aan koppelingen met inlogsystemen — bleken helemaal niet in een configuratiebestand te staan, maar ergens diep weggestopt in een interne database van de tool zelf. Die kon ik dus niet “even kopiëren”. Die moest ik met de hand opnieuw invoeren, dienst voor dienst.
Vervelend op het moment zelf, maar wel een goede les: niet elke instelling is zo overdraagbaar als je denkt. Bij een volgende migratie zoek ik dat eerst uit, in plaats van er tijdens de verhuizing achter te komen.
Wat ik ervan leerde
- Scheid publiek en intern verkeer, ook als het in het begin overkill voelt
- Ga er niet vanuit dat “configuratie kopiëren” altijd alles meeneemt
- Een kleiner aanvalsoppervlak is elke extra moeite waard
Volgende keer: hoe ik mijn eigen DNS beheer, van simpele adblocker tot eigen resolver.
