网络安全原理与实践学习笔记——设计DMZ

DMZ设计思路

       虽然不同网络设备中可用的安全特性在抵御网络攻击中起到了重要的作用，但事实上对网络攻击做好的防御方法之一是网络的安全拓扑设计。关注安全的网络拓扑设计对阻止网络攻击大有帮助，并且能使不同设备的安全特性得到最有效的使用。

       在现代网络安全设计中用到的最关键的思想之一是用区去隔离开网络上的不同区域。置于不同区的设备具有不同的安全需求，而区基于这些需求提供保护。

创建区域的基本策略如下：

• 具有最大安全需求（私有网络）的设备在网络的最安全区中。通常这个区只允许很少或者不允许来自公共网络和其他网络的访问。访问通常使用防火墙或者其他安全部件控制，比如安全远程访问（SRA）。这个区中经常需要有严格的认证和授权。
• 仅需在内部访问的服务器要置于一个单独的专用安全区中。使用防火墙控制对这些设备的访问。对这些服务器的访问经常是受到严密监控和记录的。
• 需要从公共网络上访问的服务