Aus meiner Sicht gehören in einer gewerblichen Nutzung 2 Systeme her, wenn man etwas direkt ins Internet stellen will.
Auf einer laufen die internen Systeme, und die Entwicklung für die „externe“ DS.
Die externe DS steht in einer DMZ, jenseits der Firewall.
Grundregel ist, dass die Daten und Programme von Intern nach Extern fließen. Von Extern zieht sich die Interne die Daten selbst, über definierte Protokolle. Die Externe „kennt“ die Welt hinter der Firewall nicht, und hat keine Zugangsdaten, zu nichts.
Das gleiche wiederholt sich zwischen internem Produktivsystem und dem Backupsystem. Es ist traurig, dass man den Aufwand betreiben muss, aber das Internet ist keine freundliche Spielwiese im Neuland mehr.
Auch engagierte Privatnutzer können sich mit vertretbarem Aufwand eine ähnliche Struktur bauen. Da laufen dann halt ein paar Raspis, und keine Xeon- Monsterserver. Für eine DMZ reicht auch ein ausrangierter Router. Aber das Zwiebelprinzip bleibt gleich.