信息安全中的DMZ是什么？

DMZ代表隔离区（Demilitarized Zone）。它定义了一个主机或网络，作为组织内部网络和外部或非专有网络之间安全的中介网络或路径。它被称为网络边界或边界网络。

DMZ通常用于保护内部网络免受外部节点和网络的交互、利用和访问。DMZ可以是逻辑子网，也可以是充当内部网络和外部网络之间安全桥梁的物理网络。

DMZ网络对内部网络的访问权限有限，一些通信会在防火墙上进行扫描后再进行内部共享。如果攻击者企图破坏或攻击组织的网络，成功的尝试只会导致DMZ网络被攻破，而不会影响其背后的核心网络。DMZ被认为比防火墙更安全，也可能充当代理服务器。

在DMZ配置中，局域网上的大多数计算机运行在与公共网络（如互联网）相关的防火墙之后。一些计算机也运行在防火墙之外，在DMZ中。这些外部计算机拦截流量并代理剩余局域网的请求，为防火墙后面的计算机增加了另一层防御。

传统的DMZ允许防火墙后面的计算机发起到DMZ的出站请求。DMZ中的计算机反过来响应、转发或重新发布到互联网或某些公共网络的请求，就像代理服务器一样。一些DMZ实现只是使用代理服务器作为DMZ内的计算机。

局域网防火墙阻止DMZ中的计算机接收入站请求。DMZ是家庭宽带路由器的一个常见特性。然而，在某些情况下，这些特性并非真正的DMZ。宽带路由器通常仅通过更多防火墙规则来实现DMZ，这意味着传入的请求直接出现在防火墙上。

在创建DMZ时，组织会插入另一个网络段或子网，它是系统的一部分，但没有直接连接到网络。插入DMZ可以使用防火墙上的第三个接口端口。此配置使防火墙能够使用网络地址转换 (NAT) 与通用网络和隔离设备进行数据传输。防火墙通常不会保护隔离的系统，使其能够更直接地连接到互联网。

DMZ配置可以防御外部攻击，但它通常不会影响内部攻击，包括使用数据包分析器嗅探通信或进行诸如电子邮件欺骗之类的欺骗。

Ginni

更新于：2022年3月7日

775 次浏览

启动你的职业生涯

通过完成课程获得认证

开始学习