DMZ – абревіатура англійського терміна Demilitarized Zone (демілітаризована зона), що позначає сегмент захищеної мережі, на який поширюються спеціальні налаштування безпеки від зовнішніх загроз. Мета створення виділених умов для деяких пристроїв – забезпечити безперебійну роботу встановлених на них програм.
Детальніше про DMZ
DMZ складається з одного або декількох комп’ютерів або пристроїв, без обмежень доступних з внутрішньої мережі і інтернету. Потреба в таких налаштуваннях викликана специфічними програмами або службами, до яких потрібен доступ зовнішнім користувачам.
Наприклад, в мережі підприємства встановлені сервери електронної пошти, або обміну повідомленнями. Замість того, щоб налаштовувати ланцюжок правил доступу в мережному екрані, віддаленим користувачам надається доступ до сервера за спеціальним алгоритмом. При цьому зв’язок з локальною мережею ззовні контролюється стандартної політикою безпеки.
Така організація мережі гарантує функціонування спеціальних служб і сервісів при малій ймовірності проникнення зловмисників в комп’ютери користувачів і розкрадання даних. Зрозуміло, на DMZ-хості не розміщують секретну інформацію або відповідним способом захищають від злому.
При побудові домашньої мережі потреба в організації демілітаризованої зони виникає при налаштуванні персональних ігрових серверів, виділених торрент-клієнтів, інших пристроїв.
Як функціонує
Схеми побудови демілітаризованої зони різняться в залежності від завдань її створення. Складні конструкції складаються з декількох роутерів. Доступ в демілітаризовану зону ззовні і зі сторони локальних користувачів припустимо без обмежень, а з DMZ в локальну мережу, як правило, заборонено. У простих випадках DMZ складається з одиничного пристрою – хоста, підключеного до єдиного маршрутизатора, поряд з іншими комп’ютерами. Налаштування доступу до вибраного пристрою встановлюються в меню роутера.
Принцип роботи
Отримавши запит на підключення до конкретної служби або програми, маршрутизатор переадресовує пакет згідно налаштованим правилами. При наявності спеціальних вказівок пакет передається конкретного комп’ютера, інакше такі запити адресуються DMZ-хоста (host).
Трафік в інтернеті – що це таке і як дізнатися його обсяг
Помилки при встановленні з’єднань виключає спеціальну вказівку, який службі адресований пакет. Такі умови називають портом підключення. Виявивши спробу підключення до, наприклад, ігрового сервера на порт 22422, роутер перевіряє таблицю переадресації портів. Якщо немає спеціальної настройки вказує на конкретний локальний адресу, запит надсилається в DMZ і, при позитивному відповіді, встановлюється зв’язок між ігровим сервером і зовнішнім комп’ютером.
Користувачі не бачать, яке конкретне пристрій відповіло на запит. Для програм відповідь теж виглядає, як відправлений маршрутизатором.
Приклади використання
Розглянемо приклад використання персонального FTP сервера для доступу до домашньої колекції файлів. Отримавши з інтернету запит на з’єднання по протоколу FTP, роутер перенаправляє його мережевого сховища, підключеному в демілітаризовану зону.
Оскільки інших записів у таблиці перепризначення портів роутера немає, запити у внутрішню мережу не надходять.
Замість мережевого сховища допустимо підключити ігровий сервер, пристрій з запущеним торрент-клієнтом, IP-камеру або сервер відеоспостереження.
Включаємо і налаштовуємо DMZ в роутері
Процедура налаштування ДМЗ в роутерах домашнього класу проста і не вимагає спеціальної кваліфікації. Розглянемо процес включення режиму ДМЗ на прикладі поширеної моделі компанії TP-LINK, для інших прошивок і апаратів інших виробників послідовність дій схожа, але процес трохи відрізняється. Отже, приступимо:
- Увійдіть за допомогою браузера в меню управління мережевими налаштуваннями пристрою, яке буде призначено DMZ-хостом.
- Вимкніть отримання IP-адреси за протоколом DHCP і введіть адресу вручну з діапазону локальної мережі. У прикладі використаний адреса 192.168.1.55.
- Увійдіть в налаштування роутера. Виберіть у лівому стовпчику вкладку «Переадресація» і потім підменю DMZ.
- Наступним кроком включаємо підтримку демілітаризованої зони, відповідним перемиканням кнопок на сторінці управління. Вводимо IP-адреса хоста і натискаємо кнопку зберегти зміни.
Протоколи IPv4 і IPv6 – що це таке і навіщо використовуються
Розглянутий приклад вибраний виходячи з простоти. Відсутність складних правил фільтрації і переадресації вхідних з’єднань знижує навантаження на маршрутизатор і надає прийнятну швидкість обміну інформацією з пристроями в демілітаризованій зоні. Немає необхідності у високопродуктивному обладнанні, що скорочує витрати і гарантує підвищену стабільність при експлуатації.
