安然區(qū)的定義在成立安然收集過程中起著相當首要的感化。DMZ (Demilitarized Zone)是收集安然中最首要的分區(qū)術(shù)語之尸。因為DMZ包含設(shè)備性質(zhì)，所以將其同收集的其他部門分隔開來。這些設(shè)備凡是是需要從公共收集上拜候的辦事器，不承諾在它們地點的區(qū)域?qū)崿F(xiàn)太嚴格的安然策略，因此需要分手開來。
DMZ凡是是駐留于專用收集和公共收集之間的一個子網(wǎng)，從公共收集的連接到DMZ設(shè)備終止：這些辦事器也常常被相對安然的專用收集設(shè)備拜候。
成立DMZ的編制有良多，如何成立DMZ有賴于收集的安然需求，成立DMZ的最常常利用的編制以下4種。
1、利用防火墻成立DMZ
這類編制利用一個有3個接口的防火墻往成立隔離區(qū)，每個隔離區(qū)成為這個防火墻接口的一員。防火墻供給區(qū)與區(qū)之間的隔離。這類機制供給了良多關(guān)于DMZ安然的節(jié)制。圖1顯示了如何利用一個防火墻成立DMZ一個防火墻也能夠有多個接口，承諾成立多個DMZ。此種編制是成立DMZ最常常利用的編制。
圖1利用防火墻成立DMZ
2、在防火墻以外的公共收集和防火墻之間成立DMZ
在這類建設(shè)中，DMZ透露在防火墻的公共面一側(cè)。經(jīng)由過程防火墻的流量，起首要經(jīng)由過程DMZ。一般環(huán)境下不保舉這類建設(shè)，因為DMZ中可以或許用來節(jié)制設(shè)備安然的節(jié)制很是少。這些設(shè)備實際上是公共區(qū)域的一部門，它們本身并沒有遭到真實的呵護。圖2顯示了成立DMZ的編制。
圖2 防火墻之夕隨公共收集和防火墻之間成立DMZ
3、在防火墻以外且不在公共收集和防火墻之間成立DMZ
這類類型的建設(shè)同第二種編制近似(如圖3所示)，獨一的辨別是：這里的DMZ不是位于防火墻和公共收集之間，而是位于連接防火墻同公共收集的邊緣路由器的一個隔離接口。這類類型的建設(shè)向DMZ收集中的設(shè)備供給了很是小的安然性，可是這類建設(shè)使防火墻有從未呵護和易受報復打擊的DMZ收集的隔離性。這類建設(shè)中的邊緣路由器可以或許用于拒盡所有從DMZ子網(wǎng)到防火墻地點的子網(wǎng)的拜候。并且，隔離的VLAN可以或許承諾防火墻地點的子網(wǎng)和DMZ子網(wǎng)間有第二層的隔離。當位于DMZ子網(wǎng)的主機遭到風險，并且報復打擊者開端利用這個主機對防火墻和收集策動更進一步報復打擊的景象下這類型的建設(shè)是有效的。
圖3 在防火墻以外且不在公共收集和防火墻之間的成立DMZ
4、在層疊防火墻之間成立DMZ
在這類機制(如圖4所示)下，兩個防火墻層疊放置，拜候?qū)Ｓ檬占瘯r，所有的流量必需顛末兩個層疊防火墻，兩個防火墻之間的收集用作DMZ。因為DMZ前面的防火墻使它獲得了大年夜量的安然性，可是它的缺點是所有專用收集到公共收集之間的數(shù)據(jù)流必需顛末DMZ,一個被攻下的DMZ設(shè)備可以或許使報復打擊者以不合的編制阻截和報復打擊這個流量?？梢栽诜阑饓χg設(shè)置專用VLAN減輕這類風險。
分區(qū)是安然設(shè)計中的一個首要概念，利用設(shè)計杰出的DMZ隔離編制，在一個低安然區(qū)設(shè)備受損時，包含在替他區(qū)域設(shè)備受損的風險也很小。
圖4 在層疊防火墻之間成立DMZ