设计网络架构是否需要划分DMZ区域,该区域部署apache转发等一些安全设施?
如果不设计DMZ区域会有哪些影响?
划分DMZ区以后,一般只允许内网或者外网访问DMZ区,一旦DMZ区的服务器被攻击,不会通过DMZ攻击到内网。
还有就是内网的防护,放到DMZ区以后,内网访问DMZ区的服务器时可以做相应的安全策略,比如只允许普通用户访问正常业务端口,而管理员可以访问远程桌面、ssh、telnet等服务
收起传统的防火墙很大的一个意义就在于DMZ区,用来为网站设置一个安全区域来保证内外网的访问问题。
但是现在的情况又了一些变化,传统防火墙的访问列表只能限制到IP .端口以及协议,无法限制访问行为。而现在更多的黑客攻击都是针对80,25等这些业务端口实现的,所以传统防火墙的规则很难应对这些攻击。一般都是建议针对WEB服务来添加WEB防火墙。或者下一代防火墙来进行行为防护。
另外。DMZ区域。在现在的这种情况。我个人觉得还是保留的好。作为网站服务的一个独立区域。避免从内网直接开通映射到外网 。还是会减少一些安全的风险和管理上的麻烦的。
总结起来说。DMZ并不能完全解决现有的针对WEB的攻击问题。但DMZ区有助于网络的管理和规划,也可以避免一些基础的安全问题。比如病毒爆发等。
DMZ可以理解为一个不同于外网或内网的特殊网络区域。DMZ内通常放置一些不含机密信息的公用服务器,比如Web、Mail、FTP等。这样来自外网的访问者可以访问DMZ中的服务,但不可能接触到存放在内网中的公司机密或私人信息等。即使DMZ中服务器受到破坏,也不会对内网中的机密信息造成影响。
收起建议还是规划DMZ区域,比如你的应用为前端web后端DB的结构,web server放在DMZ区,DB放在内部生产网,这样即使黑客攻占了web serer,也不至于很方便的攻击到DB server。
收起