DMZ区域

DMZ是英文“Demilitarized Zone”的缩写，称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等，另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。自从防火墙出现以来，DMZ区已经是网络设计的标准组建。

DMZ区的特点：

1.内网可以访问外网 

  内网的用户显然需要自由地访问外网。在这一策略中，防火墙需要进行源地址转换。  

2.内网可以访问DMZ 

  此策略是为了方便内网用户使用和管理DMZ中的服务器。  

3.外网不能访问内网 

  很显然，内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。  

4.外网可以访问DMZ 

  DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。  

5.DMZ不能访问内网 

  很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。  

6.DMZ不能访问外网 

  此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。

什么样的服务需要放到DMZ区？

任何需要用户从外网访问的服务都可以放到DMZ区，常见的服务有：Web servers、Mail servers、FTP servers、VoIP servers....

As a general rule, a DMZ server should never contain any valuable data, so even if someone managed to break into a server in the DMZ, the damage would be minor.

外网、DMZ区、内网访问的控制策略

摘自Stackoverflow，To summarize - there are three "areas" - the big, bad outside world, your pure and virginal inside world, and the well known, trusted, safe DMZ.

The rules are:

Connections from outside can only get to hosts in the DMZ, and on specific ports (80, 443, etc);

Connections from the outside to the inside are blocked absolutely;

Connections from the inside to either the DMZ or the outside are fine and dandy;

Only hosts in the DMZ may establish connections to the inside, and again, only on well known and permitted ports.

DMZ区两种主流的设计架构：

单防火墙:

<a href="https://s1.51cto.com/wyfs02/M02/06/F5/wKiom1nBBregXRtsAAFN0ekzRkw985.jpg" target="_blank"></a>

双防火墙:

<a href="https://s5.51cto.com/wyfs02/M01/06/F5/wKiom1nBBsTRAbpdAAIyGu1L2cs944.jpg" target="_blank"></a>

转载自http://blog.csdn.net/pan_tian/article/details/37658365

转载自http://505836965.blog.51cto.com/1078217/320403

本文转自Grodd51CTO博客，原文链接：http://blog.51cto.com/juispan/1966944，如需转载请自行联系原作者