20、单防火墙创建非军事区（DMZ）指南

单防火墙创建非军事区（DMZ）指南

1. 理解非军事区（DMZ）

在互联网上托管服务时，需要将部分网络暴露给互联网，同时防止对私有网络的访问。对于许多大型企业而言，会设立一个专用的网络段来保护可从互联网访问的资源，这个网络段通常被称为非军事区（DMZ）。

网络 DMZ 与军事上的 DMZ 有相似之处：
- 流量检查 ：所有进出 DMZ 的流量都会经过检查。在网络中，DMZ 可能是网络中最安全的部分，因为所有进出 DMZ 的数据都会根据防火墙的规则列表进行检查，以确定是否允许进入或离开。
- 资源检查 ：DMZ 中的资源会被检查，以确保安全不受损害。许多公司在 DMZ 中使用入侵检测软件，在网络本身和位于 DMZ 的每个网络设备上，以识别对资源的攻击。一旦检测到可疑攻击，软件会立即通知防火墙管理员。
- 保护私有网络 ：DMZ 充当私有网络的保护边界。通过将可从互联网访问的资源放在 DMZ 中，防火墙可以配置为阻止所有从互联网对私有网络的访问尝试。只要访问尝试使用的是批准的协议，防火墙才允许对 DMZ 的访问。

2. 典型 DMZ 配置

网络管理员在部署 DMZ 以保护可从互联网访问的资源时，通常会采用两种常见配置：
- 三接口防火墙 ：三接口指的是防火墙中使用三个网卡。每个网卡代表防火墙的一个“接口”，并分配给网络的一个区域：私有网络区域、互联网区域和 DMZ。这种配置使用单个防火墙来保护私有网络和 DMZ，节省了成本，因为公司只需购买一个防火墙。但如果防火墙被攻破，