DMZ站点的设立【精华实例】.docVIP

下面将说明怎么样在网络中配置一台DMZ站点DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。网络结构如下图所示。 1.前期工作，在虚拟机中安装router os 路由一个。路由器有3块网卡如上图所示。 代码如下： [admin@gateway] interface printFlags: X - disabled, D - dynamic, R - running# ? ?NAME ? ? ? ? ? ? ? ? ? ? ? ? TYPE ? ? ? ? ? ? RX-RATE ? ?TX-RATE ? ?MTU0 ?R wan ? ? ? ? ? ? ? ? ? ? ? ether ? ? ? ? ? ?0 ? ? ? ? ?0 ? ? ? ? ?15001 ?R lan ? ? ? ? ? ? ? ? ? ? ? ?ether ? ? ? ? ? ?0 ? ? ? ? ?0 ? ? ? ? ?15002 ?R DMZ ? ? ? ? ? ? ? ? ? ? ether ? ? ? ? ? ?0 ? ? ? ? ?0 ? ? ? ? ?1500效果图： 2.给网卡添加所有需要的ip地址代码如下： [admin@gateway] ip address printFlags: X - disabled, I - invalid, D - dynamic# ? ADDRESS ? ? ? ? ? ?NETWORK ? ? ? ? BROADCAST ? ? ? INTERFACE0 ? /24 ? ? ? ? 55 ? wan1 ? /24 ? ? ?. ? 55 ? ? ?lan2 ? /30? ? ? ? ? ? ? ? ? ? ? ?DMZ  效果图如下： 3.给路由器添加默认静态路由 代码如下： [admin@MikroTik] ip route printFlags: X - disabled, I - invalid, D - dynamic, J - rejected,C - connect, S - static, r - rip, o - ospf, b - bgp# ? ?DST-ADDRESS ? ? ? ?G GATEWAY ? ? ? ? DISTANCE INTERFACE0 ?S /0 ? ? ? ? ?r ? ? ?1 ? ? ? ?wan1 DC /24 ? ? ? ?r ? ? ? ? 0 ? ? ? lan2 DC /30 ? ? ? ?r ? ? ? ? 0 ? ? ? ?DMZ3 DC /24 ? r ? ? ? ? 0 ? ? ? ?wan 4.给DMZ服务器添加ip地址 ，网关地址5.端口映射。配置dst-nat 规则，使DMZ服务器能通过这个互联网地址访问 代码如下 [admin@gateway] ip firewall dst-nat add action=nat \\... dst-address=/32 to-dst-address=[admin@gateway] ip firewall dst-nat printFlags: X - disabled, I - invalid, D - dynamic0 ? dst-address=/32 action=nat to-dst-address=[admin@gateway] ip firewall dst-nat 效果图如下：