Дневник сетевого специалиста

Этот вопрос когда-то интересовал и меня самого. Когда я только начинал разбираться с сетевыми технологиями я часто слышал от специалистов буквосочетание DMZ. В литературе это понятие описано очень расплывчато ибо нету какого-то формального объяснения что это такое. В этой статейке я коротко постараюсь восполнить этот пробел. Первое, что хочу сказать о DMZ, так это то, что это буквосочетание или аббревиатура походит от словосочетания «демилитаризованная зона». Но эта расшифровка не дает объяснения тому что это такое и зачем оно нужно.

Так вот, эта «зона» находится между локальной сетью какой-нибудь конторы и публичной сетью Интернет. Она размещается в специальном сетевом пространстве межсетевого экрана (файрвола, брандмауэра). Назначение этой зоны следующее. В ней размещаются сервера, которые смотрят напрямую в Интернет и к которым есть доступ из Интернета. Но, с этих серверов нельзя обратиться к локальной сети за файрволом. Зачем это делается? Во-первых, если ресурсы должны быть видны в Интернете, то в локальной сети со всеми пользователями такие сервера размещать нельзя, так как с них есть доступ к пользовательским машинам. Во-вторых, в Интернете их тоже размещать нельзя, потому что к ним нужно ограничить доступ только по определенных протоколах. Например, если это веб-сервер, то к нему надо разрешить только http(s) запросы.

Поэтому, такие сервера размещаются в DMZ. Это решение убивает сразу двух зайцев — доступ осуществляется из сети Интернет только на определенные ресурсы, что реализуется конфигурированием сетевого экрана; при взломе сервера нельзя проникнуть в локальную сеть с пользователями и сугубо внутренними ресурсами, что тоже достигается настройками списков доступа на файрволе.

Рассмотрим маленькие примеры сетей с DMZ.

Пример сети с DMZ с одним файрволом

Рис.1. Пример сети с DMZ с одним файрволом

Пример сети с DMZ с двумя файрволами

Рис.2. Пример сети с DMZ с двумя файрволами

Первый рисунок показывает как организовывается сеть с одним сетевым экраном. Это экономичный способ, но для него необходим третий физический интерфейс на сетевом экране. Конечно, можно сконфигурировать сабинтерфейсы, но обычно в файрволах есть больше двух физических интерфейсов. Эта топология чаще всего используется в корпоративных сетях.

Второй способ построения DMZ более дорогостоящий, но и более безопасный, так как при взломе одного сетевого экрана и доступе к серверам все равно закрыт доступ в локальную сеть пользователей.

Иногда строят иные схемы подключения и с большим числом сетевых экранов, но такие топологии используются редко.