Демилитаризованная зона (DMZ)
Простыми словами
Публичный сервис помещают не рядом с внутренними системами, а в отдельную зону с собственными правилами обмена. Его компрометация не должна автоматически открывать путь дальше.
Как применяется
В DMZ размещают внешние веб-серверы, почтовые шлюзы, обратные прокси и VPN-шлюзы; входящие, исходящие и внутренние потоки разрешают отдельно по минимально необходимому набору.
Пример применения
Веб-сервер принимает HTTPS из интернета, но из DMZ может обращаться к внутреннему API только по одному порту через межсетевой экран; административный доступ разрешён лишь с выделенного сегмента.
Не путать с
- Межсетевой экранМежсетевой экран — средство разграничения трафика
Как это работает
- Выделение сервисовОпределяют компоненты, которым нужен контакт с интернетом или партнёрами.
- Разделение зонДля DMZ создают отдельную адресацию и точки контроля.
- Минимальные потокиРазрешают только конкретные направления, протоколы и источники.
- НаблюдениеЖурналируют трафик, контролируют изменения и проверяют невозможность обходного пути во внутреннюю сеть.
Связанные термины
Частые вопросы
Нет. Важны логическое разделение и независимые правила; схема зависит от архитектуры и требований.
Можно ли размещать базу данных в DMZ?Обычно публичную базу туда не выносят; доступ к внутреннему хранилищу строго ограничивают через прикладной слой.
DMZ защищает скомпрометированный сервер?Она ограничивает дальнейшее перемещение, но не заменяет защиту и обновление самого сервера.