DMZ:demilitarized zone[di:militəraizd]非军事区域
您的公司有一堆电脑，但可以归为两大类：客户机、服务器。所谓客户机就是主动发起连接请求的机器，所谓服务器就是被动响应提供某些服务的机器。服务器又可以分仅供企业内网使用和为外网提供服务两种。
有句俗话，林子大了，什么鸟都有。所以，你为外网提供服务的服务器（如公司的对外宣传网站)很容易被狩猎的黑客所攻击。
所以，如果把您的对外提供服务的服务器放到企业内网，一旦被攻陷入侵，黑客就可以利用这台机器（肉机）做跳版，利用局域网的漏洞与共享等来攻克其他机器。因为我们有必要建立一个特殊的区，叫什么好呢？随便起一个，就叫DMZ吧，听上去比较酷而已。
那为什么不把这些对外网提供服务的机器单独弄一条线连到公网呢？因为一般中小企业都仅有一个出口。
OK，您只要按以下规则配置防火墙，就构造了一个DMZ区（您也可以叫love 区，随您）：
1.内网可以访问外网
内网的用户显然需要自由地访问外网。在这一策略中，防火墙需要进行源地址转换。
2.内网可以访问DMZ
此策略是为了方便内网用户使用和管理DMZ中的服务器。
3.外网不能访问内网
很显然，内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。
4.外网可以访问DMZ
DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。
5.DMZ不能访问内网
很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。
6.DMZ不能访问外网
此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将
不能正常工作。
什么是DMZ、DMZ端口、DMZ主机？
DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP 服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。
一般网络分成内网和外网，也就是LAN和WAN，那么，当你有1台物理位置上的1台服务器，需要被外网访问，并且，也被内网访问的时候，那么，有2种方法，一种是放在LAN 中，一种是放在DMZ。因为防火墙默认情况下，是为了保护内网的，所以，一般的策略是禁止外网访问内网，许可内网访问外网。但如果这个服务器能被外网所访问，那么，就意味着这个服务器已经处于不可信任的状态，那么，这个服务器就不能（主动）访问内网。
所以，如果服务器放在内网（通过端口重定向让外网访问），一旦这个服务器被攻击，则内网将会处于非常不安全的状态。
但DMZ就是为了让外网能访问内部的资源，也就是这个服务器，而内网呢，也能访问这个服务器，但
这个服务器是不能主动访问内网的。
DMZ就是这样的一个区域。为了让物理位置在内网的，并且，希望能被外网所访问的这样的一个区域。
无论LAN,DMZ，还是WAN。都是逻辑关系。
不知道解释的是否能让你明白。
============
妙用VPN防火墙的DMZ端口实现企业信息化
目前典型的中小商用企业VPN防火墙部署需求
目前一个典型的局域网用户数在200个以下的中小商业企业用户在构建自己单位的VPN防火墙时，基本的需求如下:
.所有局域网用户能通过此防火墙实现安全的宽带上网，访问Internet
.申请一个域名，部署自己的邮件服务器（Email Server）和文件服务器（File Server），能为互联网
和内部网络用户提供服务
.采用VPN方式，能让自己的出差员工能通过公网访问公司局域网内的一些应用程序
本文以自己单位信息化组网为实例，举例说明应如何合理部属中小商用网络的VPN防火墙，快速实现企业信息化。
理解DMZ（非军事区）
DMZ的定义
DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。就是在一般的防火墙系统内定义一个区域，在该区域内通常放置一些不含机密信息的公用服务器，比如Web、Mail、FTP等。这样来自外网的访问者可以访问DMZ中的服务，但不可以接触到存放在内网中的公司机密或私人信息等。
如下图，是一个典型的DMZ区的应用图，用户将Web、Mail、FTP等需要为内部和外部网络提供服务的服务器放置到防火墙的DMZ区内。通过合理的策略规划，使DMZ中服务器既免受到来自外网络的入侵和破坏，也不会对内网中的机密信息造成影响。DMZ服务区好比一道屏障，在其中放置外网服务器，在为外网用户提供服务的同时也有效地保障了内部网络的安全。
图1：DMZ应用图例
在上图中，我们可以看到用户将其网络划分为三个区域：安全级别最高的LAN Area（内网），安全级别中等的DMZ区域和安全级别最低的Internet区域（外网）。三个区域因担负不同的任务而拥有不同的访问策略。我们在配置一个拥有DMZ区的网络的时候通常定义以下的访问控制策略以实现DMZ区的屏障功能。
1、内网可以访问外网
内网的用户需要自由地访问外网。在这一策略中，防火墙需要执行NAT。
2、内网可以访问DMZ
此策略使内网用户可以使用或者管理DMZ中的服务器。
3、外网不能访问内网
这是防火墙的基本策略了，内网中存放的是公司内部数据，显然这些数据是不允许外网的用户进行访问的。如果要访问，就要通过VPN方式来进行。
4、外网可以访问DMZ
DMZ中的服务器需要为外界提供服务，所以外网必须可以访问DMZ。同时，外网访问DMZ
需要由防火墙完成对外地址到服务器实际地址的转换。
5、DMZ不能访问内网
如不执行此策略，则当入侵者攻陷DMZ时，内部网络将不会受保护。
6、DMZ不能访问外网
此条策略也有例外，比如我们的例子中，在DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。
在没有DMZ的技术之前，需要使用外网服务器的用户必须在其防火墙上面开放端口（就是Port Forwarding技术）使互联网的用户访问其外网服务器，显然，这种做法会因为防火墙对互联网开放了一些必要的端口降低了需要受严密保护的内网区域的安全性，黑客们只需要攻陷外网服务器，那么整个内部网络就完全崩溃了。DMZ区的诞生恰恰为需用架设外网服务器的用户解决了内部网络的安全性问题。
轻松搞明白什么是网络安全中的“DMZ”
在这个防火墙方案中，包括两个防火墙，外部防火墙抵挡外部网络的攻击，并管理所有内部网络对DMZ的访问。内部防火墙管理DMZ对于内部网络的访问。内部防火墙是内部网络的第三道安全防线(前面有了外部防火墙和堡垒主机)，当外部防火墙失效的时候，它还可以起到保护内部网络的功能。而局域网内部，对于Internet 的访问由内部防火墙和位于DMZ的堡垒主机控制。在这样的结构里，一个黑
客必须通过三个独立的区域(外部防火墙、内部防火墙和堡垒主机)才能够到达局域网。攻击难度大大加强，相应内部网络的安全性也就大大加强，但投资成本也是最高的。
什么是dmz主机设置?
针对不同资源提供不同安全级别的保护，可以考虑构建一个叫做“Demilitarized Zone”（DMZ）的区域。DMZ可以理解为一个不同于外网或内网的特殊网络区域。DMZ内通常放置一些不含机密信息的公用服务器，比如Web、Mail、FTP等。这样来自外网的访问者可以访问DMZ中的服务，但不可能接触到存放在内网中的公司机密或私人信息等。即使DMZ中服务器受到破坏，也不会对内网中的机密信息造成影响。
当规划一个拥有DMZ的网络时候，我们可以明确各个网络之间的访问关系，可以确定以下六条访问控制策略。
1.内网可以访问外网
内网的用户显然需要自由地访问外网。在这一策略中，防火墙需要进行源地址转换。
2.内网可以访问DMZ
此策略是为了方便内网用户使用和管理DMZ中的服务器。
如何建立局域网
3.外网不能访问内网
很显然，内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。
4.外网可以访问DMZ
DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。
5.DMZ不能访问内网
很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。
6.DMZ不能访问外网
此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。
下面来一个dmz的易懂说明，保证你能看懂。
你用路由器后，你的机器如果要做FTP，WEB服务器的话，外网是没法访问的，只有你做了端口映射之后才可以用，或者你要用BT，电驴下载软件，也是处在内网，外网不能直接连接你的机器。但是，
如果在路由器里设置你的主机为DMZ主机的话，
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论