![家庭网络:是否为 DMZ?](https://linux22.com/image/1524404/%E5%AE%B6%E5%BA%AD%E7%BD%91%E7%BB%9C%EF%BC%9A%E6%98%AF%E5%90%A6%E4%B8%BA%20DMZ%EF%BC%9F.png)
路由器:华硕 RT AC-66U
设置:
Router, IP 10.0.0.1
Apache2 server, IP 10.0.0.2
Clients etc., IP 10.0.0.X
Virtual servers:
All traffic on port 80 forwarded to 10.0.0.2, port 80.
相当简单的设置。
但是 - 路由器还具有虚拟 DMZ 功能。我对 DMZ 知之甚少,它适用于 Web 服务器和其他可从 Internet 访问的服务器,这些服务器位于 DMZ 中,与 LAN 隔离,因此入侵这些服务器会使访问 LAN 比它们不在 DMZ 中更困难。这完全正确吗?
我想知道的是:正如我现在所做的那样,与 DMZ 服务器和 LAN 的外部连接之间的隔离是否是与仅转发/虚拟服务器的“唯一”区别?和:即使它位于 DMZ 中,我是否仍然需要将端口 80 流量转发/虚拟服务器到 apache2 服务器?
答案1
如果你将服务器放入 DMZ,基本上与启用端口转发相同,但对于所有端口在您的路由器上。对于不知道需要转发哪些端口的问题,这是一个相当简单的“修复”,或者当您知道要独立管理此设备的防火墙时很有用。
它有时是局域网的一部分(通常不是,但请参阅下面的注释),并且可以访问,但是您需要在此设备上设置独立的防火墙,因为现在每个端口都可以访问。
一些路由设备可能会将其设置为使设备无法从局域网访问,有些可能允许分配一个单独的公共 IP,所有流量都会指向该 IP(而不是路由器本身的 IP),但这是特定于设备的。
在仅处理一个 IP 的设备上,设置 DMZ 有时意味着您在局域网端只能拥有“一台”服务器,因为虽然端口转发允许您将端口转发到不同的服务器,但出于显而易见的原因,您只能让公共 IP 指向一个内部设备。
答案2
您对 DMZ 的理解是正确的。通常,不允许任何流量从 DMZ 返回 LAN(除非需要打开特定端口,但应小心谨慎),以防其中一个 DMZ 服务器被劫持。
正如我现在所做的那样,与 DMZ 服务器和 LAN 的外部连接之间的隔离是否是与仅转发/虚拟服务器的“唯一”区别?
如果我理解正确的话,是的,确实如此。
即使它位于 DMZ 中,我是否仍然需要将端口 80 流量转发/虚拟服务器到 apache2 服务器?
视情况而定。通常在家用路由器上,您会将机器的 IP 地址分配到 DMZ 中,然后所有传入端口都会路由到该框。您可能可以选择仅启用特定端口,但这取决于路由器的品牌/型号。