Anladığım kadarıyla, DMZ kullanarak tüm Ana bilgisayarın portlarını İnternete maruz bırakıyorsunuz. Bu ne için iyi?
Ev ağınızın dışından erişilebilecek bir ev sunucusu çalıştırmak istiyorsanız ([web sunucusu, ssh, vnc veya diğer uzaktan erişim protokolü), DMZ iyidir. Genellikle, yalnızca özel olarak istenen bağlantı noktalarının ortak bilgisayarlardan erişilmesine izin verildiğinden emin olmak için sunucu makinesinde bir güvenlik duvarı çalıştırmak istersiniz.
DMZ kullanmaya alternatif bir bağlantı noktası yönlendirmeyi ayarlamaktır. Bağlantı noktası yönlendirmeyle, yönlendiriciniz üzerinden yalnızca belirli bağlantı noktalarına izin verebilir ve yönlendiricinizin arkasında çalışan birden fazla sunucunuz varsa, farklı makinelere gitmek için bazı bağlantı noktaları belirleyebilirsiniz.
Lütfen dikkatli ol. DMZ kurumsal/profesyonel bir ortamda (ileri teknoloji güvenlik duvarlarıyla) ev kablosuz yönlendiricisi (veya ev kullanımı için diğer NAT yönlendiriciler) ile aynı değildir. Beklenen güvenliği elde etmek için ikinci bir NAT yönlendirici kullanmanız gerekebilir (aşağıdaki makaleye bakın).
bölüm içinde Security Now podcast , Leo Laporte ve güvenlik gurusu Steve Gibson tarafından konu hakkında konuşuldu. Transkriptte "gerçekten ilginç meseleye" bakınız, çünkü "DMZ," Demilitarized Zone, yönlendiricilerde olduğu gibi.
Steve Gibson'dan, http://www.grc.com/nat/nat.htm :
"Tahmin edebileceğiniz gibi, bir yönlendiricinin" DMZ "makinesi ve hatta" bağlantı noktası iletilmiş "bir makinenin büyük bir güvenliği olması gerekiyor ya da hiçbir zaman Internet mantarı ile sürünüyor olacak. Bu, güvenlik açısından BÜYÜK bir sorun. Neden? .. a NAT yönlendirici, LAN tarafı bağlantı noktalarının TÜMÜ'nü birbirine bağlayan standart bir Ethernet anahtarına sahiptir. Özel "DMZ" makinesini barındıran bağlantı noktası hakkında "ayrı" bir şey yoktur. iletilen bir yönlendirici bağlantı noktasından veya DMZ Ana Bilgisayarı olduğundan taranabilecek herhangi bir şey, dahili özel LAN üzerindeki diğer tüm makinelere erişebilir. (Bu gerçekten kötü.) "
Makalede, ikinci bir NAT yönlendirici kullanılmasını içeren bu soruna bir çözüm de var. Sorunu ve çözümü göstermek için gerçekten iyi diyagramlar var.
A DMZ veya "serbest bırakılmış bölge", ağınızın dışından erişilmesi gereken sunucuları veya diğer cihazları kurabileceğiniz yerdir.
Oraya ne ait? Web sunucuları, proxy sunucuları, posta sunucuları vb.
Bir ağda, en çok saldırıya açık olan ana bilgisayarlar, e-posta, web ve DNS sunucuları gibi, LAN dışındaki kullanıcılara hizmet sağlayanlardır. Bu konakların artan potansiyel tehlikesi nedeniyle, bir davetsiz misafir başarılı olursa ağın geri kalanını korumak için kendi alt ağlarına yerleştirilirler. DMZ içerisindeki ana bilgisayarlar, iç ağdaki belirli ana bilgisayarlarla sınırlı bağlantıya sahip olsa da, DMZ içindeki diğer ana bilgisayarlarla ve dış ağla iletişime izin verilir. Bu, DMZ sunucusundaki ana makinelerin hem iç hem de dış ağa hizmet vermesini sağlarken, araya giren bir güvenlik duvarı, DMZ sunucuları ve iç ağ istemcileri arasındaki trafiği kontrol eder.
Bilgisayar ağlarında, bazen çevre ağı veya ekranlı alt ağ olarak da bilinen bir DMZ (silahsız bölge), bir iç yerel alan ağını (LAN) diğer güvenilmeyen ağlardan ayıran fiziksel veya mantıksal bir alt ağdır. genellikle internet. Dışa bakan sunucular, kaynaklar ve hizmetler DMZ'de bulunur. Böylece, internetten erişilebilir, ancak dahili LAN'ın geri kalanına erişilemiyor. Bu, bilgisayar korsanlarının internet üzerinden dahili sunuculara ve verilere doğrudan erişme yeteneklerini kısıtladığından, LAN için ek bir güvenlik katmanı sağlar.