DMZ是英文“demilitarized zone”的缩写,中文名称为“隔离区”,也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题,而设立的一个非安全系统与安全系统之间的缓冲区,这个缓冲区位于企业内部网络和外部网络之间的小网络区域内,在这个小网络区域内可以放置一些必须公开的服务器设施,如企业Web服务器、FTP服务器和论坛等。另一方面,通过这样一个DMZ区域,更加有效地保护了内部网络,因为这种网络部署,比起一般的防火墙方案,对攻击者来说又多了一道关卡。
网络设备 开发商,利用DMZ技术,开发出了相应的 防火墙 解决方案。称“非军事区结构模式”。DMZ通常是一个过滤的 子网 ,DMZ在内部网络和外部网络之间构造了一个安全地带。 DMZ 防火墙 方案为要保护的内部网络增加了一道安全防线,通常认为是非常安全的。同时它提供了一个区域放置公共服务器,从而又能有效地避免一些互联应用需要公开,而与内部 安全策略 相矛盾的情况发生。在DMZ区域中通常包括 堡垒主机 、Modem池,以及所有的公共服务器,但要注意的是电子商务服务器只能用作用户连接,真正的电子商务 后台 数据需要放在内部网络中。 在这个 防火墙 方案中,包括两个防火墙,外部防火墙抵挡外部网络的攻击,并管理所有外部网络对DMZ的访问。内部 防火墙 管理DMZ对于内部网络的访问。内部 防火墙 是内部网络的第三道安全防线(前面有了外部防火墙和 堡垒主机 ),当外部防火墙失效的时候,它还可以起到保护内部网络的功能。而 局域网 内部,对于Internet的访问由内部 防火墙 和位于DMZ的 堡垒主机 控制。在这样的结构里,一个 黑客 必须通过三个独立的区域(外部 防火墙 、内部防火墙和 堡垒主机 )才能够到达 局域网 。攻击难度大大加强,相应内部网络的安全性也就大大加强,但投资成本也是最高的。 如果你的机器不提供网站或其他的网络服务的话不要设置.DMZ是把你电脑的所有端口开放到网络 。 [1]
编辑本段一:什么是DMZ
DMZ(Demilitarized Zone)即俗称的非军事区,与军事区和信任区相对应,作用是把WEB,e-mail,等允许外部访问的服务器单独接在该区端口,使整个需要保护的内部网络接在信任区端口后,不允许任何访问,实现内 外网 分离,达到用户需求。DMZ可以理解为一个不同于 外网 或 内网 的特殊网络区域,DMZ内通常放置一些不含机密信息的公用服务器,比如Web、Mail、FTP等。这样来自 外网 的访问者可以访问DMZ中的服务,但不可能接触到存放在 内网 中的公司机密或私人信息等,即使DMZ中服务器受到破坏,也不会对内网中的机密信息造成影响。 [1]编辑本段二:为什么需要DMZ
在实际的运用中,某些 主机 需要对外提供服务,为了更好地提供服务,同时又要有效地保护内部网络的安全,将这些需要对外开放的主机与内部的众多网络设备分隔开来,根据不同的需要,有针对性地采取相应的隔离措施,这样便能在对外提供友好的服务的同时最大限度地保护了内部网络。针对不同资源提供不同安全级别的保护,可以构建一个DMZ区域,DMZ可以为 主机 环境提供网络级的保护,能减少为不信任客户提供服务而引发的危险,是放置公共信息的最佳位置。在一个非DMZ系统中,内部网络和 主机 的安全通常并不如人们想象的那样坚固,提供给Internet的服务产生了许多漏洞,使其他主机极易受到攻击。但是,通过配置DMZ,我们可以将需要保护的Web 应用程序 服务器和 数据库系统 放在 内网 中,把没有包含敏感数据、担当代理数据访问职责的 主机 放置于DMZ中,这样就为应用系统安全提供了保障。DMZ使包含重要数据的内部系统免于直接暴露给外部网络而受到攻击,攻击者即使初步入侵成功,还要面临DMZ设置的新的障碍。 [1]编辑本段三:访问控制策略
当规划一个拥有DMZ的网络时候,我们可以明确各个网络之间的访问关系,可以确定以下六条访问控制策略。 1.内网可以访问外网 内网 的用户显然需要自由地访问 外网 。在这一策略中, 防火墙 需要进行源地址转换。 2.内网可以访问DMZ 此策略是为了方便 内网 用户使用和管理DMZ中的服务器。 3.外网不能访问内网 很显然, 内网 中存放的是公司内部数据,这些数据不允许 外网 的用户进行访问。 4.外网可以访问DMZ DMZ中的服务器本身就是要给外界提供服务的,所以 外网 必须可以访问DMZ。同时, 外网 访问DMZ需要由 防火墙 完成对外地址到服务器实际地址的转换。 5.DMZ不能访问内网 很明显,如果违背此策略,则当入侵者攻陷DMZ时,就可以进一步进攻到 内网 的重要数据。 6.DMZ不能访问外网 此条策略也有例外,比如DMZ中放置 邮件服务器 时,就需要访问 外网 ,否则将不能正常工作。在网络中,非军事区(DMZ)是指为不信任系统提供服务的孤立网段,其目的是把敏感的内部网络和其他提供访问服务的网络分开,阻止 内网 和 外网 直接通信,以保证内网安全。 [1]编辑本段四:DMZ服务配置
DMZ提供的服务是经过了 网络地址转换 (NAT)和受安全规则限制的,以达到隐蔽真实地址、控制访问的功能。首先要根据将要提供的服务和安全策略建立一个清晰的网络拓扑,确定DMZ区应用服务器的IP和 端口号 以及数据流向。通常 网络通信 流向为禁止 外网 区与 内网 区直接通信,DMZ区既可与外网区进行通信,也可以与内网区进行通信,受安全规则限制。 1 地址转换 DMZ区服务器与 内网 区、 外网 区的通信是经过 网络地址转换 (NAT)实现的。 网络地址转换 用于将一个地址域(如专用Intranet)映射到另一个地址域(如Internet),以达到隐藏 专用网络 的目的。DMZ区服务器对内服务时映射成 内网 地址,对外服务时映射成 外网 地址。采用静态映射配置 网络地址转换 时,服务用IP和真实IP要一一映射,源地址转换和目的地址转换都必须要有。 2 DMZ安全规则制定 安全规则集是安全策略的技术实现,一个可靠、高效的安全规则集是实现一个成功、安全的 防火墙 的非常关键的一步。如果 防火墙 规则集配置错误,再好的防火墙也只是摆设。在建立规则集时必须注意规则次序,因为 防火墙 大多以顺序方式检查信息包,同样的规则,以不同的次序放置,可能会完全改变防火墙的运转情况。如果信息包经过每一条规则而没有发现匹配,这个信息包便会被拒绝。一般来说,通常的顺序是,较特殊的规则在前,较普通的规则在后,防止在找到一个特殊规则之前一个普通规则便被匹配,避免 防火墙 被配置错误。 DMZ安全规则指定了非军事区内的某一 主机 (IP地址)对应的 安全策略 。由于DMZ区内放置的服务器 主机 将提供公共服务,其地址是公开的,可以被外部网的用户访问,所以正确设置DMZ区安全规则对保证 网络安全 是十分重要的。 FireWall可以根据 数据包 的地址、协议和端口进行 访问控制 。它将每个连接作为一个数据流,通过规则表与连接表共同配合,对网络连接和会话的当前状态进行分析和监控。其用于过滤和监控的IP包信息主要有:源IP地址、目的IP地址、协议类型(IP、ICMP、TCP、UDP)、源TCP/UDP端口、目的TCP/UDP端口、ICMP 报文 类型域和 代码 域、碎片包和其他标志位(如SYN、ACK位)等。 为了让DMZ区的应用服务器能与 内网 中DB服务器(服务端口4004、使用TCP协议)通信,需增加DMZ区安全规则, 这样一个基于DMZ的安全应用服务便配置好了。其他的应用服务可根据 安全策略 逐个配置。 DMZ无疑是 网络安全 防御体系中重要组成部分,再加上 入侵检测 和基于 主机 的其他安全措施,将极大地提高公共服务及整个系统的安全性。 [1]编辑本段DMZ其他含义
隔离区,非军事化区DMZ是 Demilitarized Zone的缩写, 是指南北双方为了禁止军队的驻札,部署武器,设置军事设施 而设定的公约之地。 民间人统制线是为了有效地履行这条公约而设的地带,严禁一般老百姓 的居住与经济活动,这条线是按照南方的需要而设定的。 北方应该也设定了相似的地带。 横贯朝鲜半岛中间的地带如此形成
------------------------------------
![](https://i-blog.csdnimg.cn/blog_migrate/661f35fe95d4fbcd5ed56b8821bfe38c.png)
![](https://i-blog.csdnimg.cn/blog_migrate/4f0cba7014b49c6abebf6fe870ee7200.png)
![](https://i-blog.csdnimg.cn/blog_migrate/24a5c5962c4bc567e1fb9fa72c5d3679.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b3560cfb13b31739664d479467473e96.png)
![](https://i-blog.csdnimg.cn/blog_migrate/aa1bebace43dadaf7e59b093650d3c4d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/1843488bb55dbdd5d60d612e02d4d5f1.png)
![](https://i-blog.csdnimg.cn/blog_migrate/1810c2d9027feaa9541cc621f8408ae1.png)
![](https://i-blog.csdnimg.cn/blog_migrate/05c161c1003a75a485a1ac6104028c16.png)
![](https://i-blog.csdnimg.cn/blog_migrate/28de3737d711612031a0cbf2ac6e83d0.png)
![](https://i-blog.csdnimg.cn/blog_migrate/5398de2af382d23dd83029a31183d001.png)
![](https://i-blog.csdnimg.cn/blog_migrate/82352a36d72885d2199e8842e172d1f5.png)
![](https://i-blog.csdnimg.cn/blog_migrate/05059e9e53fd2130b10692d5a59d056a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/fdad90a062fa677c6ff279f5c0220e36.png)
![](https://i-blog.csdnimg.cn/blog_migrate/2bac333ae303a15cff3693588d0d69d2.png)
![](https://i-blog.csdnimg.cn/blog_migrate/5a86e78b60f41679acbee35524592871.png)
![](https://i-blog.csdnimg.cn/blog_migrate/e5d2297c9091b5afc6603953c1147650.png)
![](https://i-blog.csdnimg.cn/blog_migrate/c42670444ad0e54b48d2d654727c6a61.png)
![](https://i-blog.csdnimg.cn/blog_migrate/268df92d995f149c03fe5d4c0ef5f074.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b18d93e65bfb712905eb13a38f43a795.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ba3bf2353cf6e70983b425a8cdaf4e58.png)
![](https://i-blog.csdnimg.cn/blog_migrate/1111e9d291a06f671ab6f6e593082bed.png)
![](https://i-blog.csdnimg.cn/blog_migrate/22ef8bc4ea1ae79c9666b62165255751.png)
![](https://i-blog.csdnimg.cn/blog_migrate/9b84e7848eb339aebcc08dd9386ee18e.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ea3f85d30188ee12f431cfb00a93989b.png)
![](https://i-blog.csdnimg.cn/blog_migrate/0fbc880803de810a506dd6b9593575e7.png)
![](https://i-blog.csdnimg.cn/blog_migrate/172cdb6faa820d0951793b6f813f4706.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b29e042c32699276f407cb43d16088d9.png)
![](https://i-blog.csdnimg.cn/blog_migrate/3566a885d728714c0cb8ed54134e8ab8.png)
A Demilitarized Zone (DMZ) is a network segment that is separated from other networks. Many organizations use them to separate their Local Area Networks (LAN) from the Internet. This puts additional security between their corporate network and the public Internet. It can also be used to separate one particular machine from the rest of a network, moving it outside of the protection of a firewall.
Frequent Uses
Common items that are placed in a DMZ are public-facing servers. For example, if an organization maintains its website on a server, that web server could be placed in a computer "Demilitarized Zone." In this way, if a malicious attack ever compromises the machine, the remainder of the company's network remains safe from danger. Someone can also place a computer on a DMZ outside of a network to test for connectivity issues being created by a firewall protecting the rest of the system.
Router Setup and Functionality
When connecting a LAN to the Internet, a router provides a physical connection to the public Internet, and firewall software offers a gateway to prevent malicious data from entering the network. One port on the firewall often connects to the network using an internal address, allowing traffic being sent out by individuals to reach the Internet. Another port is usually configured with a public address, which allows Internet traffic to reach the system. These two ports allow inbound and outbound data to communicate between the network and the Internet.