我们应该在VLAN中的本地计算机上开发代码吗？

Question

出于安全原因，我们无法在本地计算机上使用IIS。我相信很多人都面临同样的问题，你是怎么解决的？以下是我们正在考虑的选项：

1. 创建与网络隔离的VLAN以进行开发。这将允许我们使用我们想要的任何软件，包括IIS。缺点是使用外部组织测试Web服务，这可以通过使用存根来克服。

2. 不使用VLAN并仅使用Visual Studio附带的ASP.NET Development Server，然后将该代码部署到开发服务器。这样做的缺点是在本地开发期间无法复制生产环境。此外，至少有一个开发人员需要用于GIS开发的IIS，因此他无法在本地开发。

感谢您提出的意见或建议！

Answer 1

我们使用远程桌面在服务器上开发。为您提供正确的电源，并允许您在正确的操作系统上立即配置和测试应用程序。

Answer 2

您可以使用IP地址限制配置IIS，包括基于白名单的。例如。限制为kust 127.0.0.1。

我怀疑这可以通过组策略来实现，以最大限度地提高执行力。

Answer 3

使用虚拟PC创建本地VM。不要为该虚拟机提供网络连接。

编辑：请注意，可以通过两种方式安全地通过网络访问未加网的虚拟机：

1. 通过网络共享共享虚拟机的设置和硬盘驱动器。一次只能有一个人使用虚拟机。我怀疑以巧妙的方式使用撤销磁盘可以消除这种限制，但它不受支持。

2. 使用基于服务器的虚拟机解决方案，如VMWare。如果您的公司尚未执行此操作，则需要花费资金和资源进行设置。这样做的好处是每个人都可以一次看机器。

请注意，在这两种解决方案中，用户都直接访问VM，而不是连接到VM。因此，机器本身实际上并没有进入网络，因此没有办法在没有首先访问托管VM的机器的情况下入侵vm（例如通过＃1中的共享）。这更像是远程桌面而不是外部网站，但是远程桌面使您正在远程查看计算机的能力直接看到计算机，因此它不像这样安全。

重言式：机器无法向其他机器提供内容，除非这些机器可以（直接或间接）访问它。因此，如果您的VM运行IIS并希望将其视为外部Web服务器，但又无法访问网络上的计算机，则会遇到冲突的要求。任何涉及以某种迂回方式发送流量的技巧只是将安全漏洞转变为更加迂回的安全漏洞（尽管从黑客的角度来看并非迂回）。

从技术上讲，＃1和＃2也可以通过网络访问VM，但虚拟机本身看不到网络（相反，托管VM的计算机会看到网络）。

Answer 4

根据评论，听起来你确实需要一个孤立的环境。路由器/防火墙加AD森林单向信任[1]的组合应该允许您的（开发）系统访问您需要的公司资源，但反之则不然。

网络部分可以通过VLAN完成，但如果IIS出现问题，则VLAN似乎不太可能是隔离的。

我曾在这样的环境中工作过，它对开发工作基本上是透明的（并且，包括允许我们的开发人员获得我们需要的本地管理权限），同时随后我们无法干扰公司的IT运营。

---

[1] I.e.发展AD森林信任公司AD森林，反之则不然。