安然區(qū)的定義在成立安然收集過程中起著相當首要的感化。DMZ (Demilitarized Zone)是收集安然中最首要的分區(qū)術(shù)語之尸。因為DMZ包含設(shè)備性質(zhì)，所以將其同收集的其他部門分隔開來。這些設(shè)備凡是是需要從公共收集上拜候的辦事器，不承諾在它們地點的區(qū)域?qū)崿F(xiàn)太嚴格的安然策略，因此需要分手開來。
DMZ凡是是駐留于專用收集和公共收集之間的一個子網(wǎng)，從公共收集的連接到DMZ設(shè)備終止：這些辦事器也常常被相對安然的專用收集設(shè)備拜候。
成立DMZ的編制有良多，如何成立DMZ有賴于收集的安然需求，成立DMZ的最常常利用的編制以下4種。
1、利用防火墻成立DMZ
這類編制利用一個有3個接口的防火墻往成立隔離區(qū)，每個隔離區(qū)成為這個防火墻接口的一員。防火墻供給區(qū)與區(qū)之間的隔離。這類機制供給了良多關(guān)于DMZ安然的節(jié)制。圖1顯示了如何利用一個防火墻成立DMZ一個防火墻也能夠有多個接口，承諾成立多個DMZ。此種編制是成立DMZ最常常利用的編制。
圖1利用防火墻成立DMZ
2、在防火墻以外的公共收集和防火墻之間成立DMZ
在這類建設(shè)中，DMZ透露在防火墻的公共面一側(cè)。經(jīng)由過程防火墻的流量，起首要經(jīng)由過程DMZ。一般環(huán)境下不保舉這類建設(shè)，因為DMZ中可以或許用來節(jié)制設(shè)備安然的節(jié)制很是少。這些設(shè)備實際上是公共區(qū)域的一部門，它們本身并沒有遭到真實的呵護。圖2顯示了成立DMZ的編制。
圖2 防火墻之夕隨公共收集和防火墻之間成立DMZ
3、在防火墻以外且不在公共收集和防火墻之間成立DMZ
這類類型的建設(shè)同第二種編制近似(如圖3所示)，獨一的辨別是：這里的DMZ不是位于防火墻和公共收集之間，而是位于連接防火墻同公共收集的邊緣路由器的一個隔離接口。這類類型的建設(shè)向DMZ收集中的設(shè)備供給了很是小的安然性，可是這類建設(shè)使防火墻有從未呵護和易受報復(fù)打擊的DMZ收集的隔離性。這類建設(shè)中的邊緣路由器可以或許用于拒盡所有從DMZ子網(wǎng)到防火墻地點的子網(wǎng)的拜候。并且，隔離的VLAN可以或許承諾防火墻地點的子網(wǎng)和DMZ子網(wǎng)間有第二層的隔離。當位于DMZ子網(wǎng)的主機遭到風險，并且報復(fù)打擊者開端利用這個主機對防火墻和收集策動更進一步報復(fù)打擊的景象下這類型的建設(shè)是有效的。
圖3 在防火墻以外且不在公共收集和防火墻之間的成立DMZ
4、在層疊防火墻之間成立DMZ
在這類機制(如圖4所示)下，兩個防火墻層疊放置，拜候?qū)Ｓ檬占瘯r，所有的流量必需顛末兩個層疊防火墻，兩個防火墻之間的收集用作DMZ。因為DMZ前面的防火墻使它獲得了大年夜量的安然性，可是它的缺點是所有專用收集到公共收集之間的數(shù)據(jù)流必需顛末DMZ,一個被攻下的DMZ設(shè)備可以或許使報復(fù)打擊者以不合的編制阻截和報復(fù)打擊這個流量。可以在防火墻之間設(shè)置專用VLAN減輕這類風險。
分區(qū)是安然設(shè)計中的一個首要概念，利用設(shè)計杰出的DMZ隔離編制，在一個低安然區(qū)設(shè)備受損時，包含在替他區(qū)域設(shè)備受損的風險也很小。
圖4 在層疊防火墻之間成立DMZ