dlink怎么设置dmz.docx

dlink怎么设置dmz

网络设备开发商，利用DMZ技术，开发出了相应的防火墙解决方案。称“非军事区结构模式”。DMZ通常是一个过滤的子网，DMZ在内部网络和外部网络之间构造了一个安全地带。DMZ提供的服务是经过了网络地址转换(NAT)和受安全规则限制的，以达到隐蔽真实地址、控制访问的功能。首先要根据将要提供的服务和安全策略建立一个清晰的网络拓扑，确定DMZ区应用服务器的IP和端口号以及数据流向。通常网络通信流向为禁止外网区与内网区直接通信，DMZ区既可与外网区进行通信，也可以与内网区进行通信，受安全规则限制。1.地址转换DMZ区服务器与内网区、外网区的通信是经过网络地址转换(NAT)实现的。网络地址转换用于将一个地址域(如专用Intranet)映射到另一个地址域(如Internet)，以达到隐藏专用网络的目的。DMZ区服务器对内服务时映射成内网地址，对外服务时映射成外网地址。采用静态映射配置网络地址转换时，服务用IP和真实IP要一一映射，源地址转换和目的地址转换都必须要有。2.DMZ安全规则制定安全规则集是安全策略的技术实现，一个可靠、高效的安全规则集是实现一个成功、安全的防火墙的非常关键的一步。如果防火墙规则集配置错误，再好的防火墙也只是摆设。在建立规则集时必须注意规则次序，因为防火墙大多以顺序方式检查信息包，同样的规则，以不同的次序放置，可能会完全改变防火墙的运转情况。如果信息包经过每一条规则而没有发现匹配，这个信息包便会被拒绝。一般来说，通常的顺序是，较特殊的规则在前，较普通的规则在后，防止在找到一个特殊规则之前一个普通规则便被匹配，避免防火墙被配置错误。DMZ安全规则指定了非军事区内的某一主机(IP地址)对应的安全策略。由于DMZ区内放置的服务器主机将提供公共服务，其地址是公开的，可以被外部网的用户访问，所以正确设置DMZ区安全规则对保证网络安全是十分重要的。FireWall可以根据数据包的地址、协议和端口进行访问控制。它将每个连接作为一个数据流，通过规则表与连接表共同配合，对网络连接和会话的当前状态进行分析和监控。其用于过滤和监控的IP包信息主要有：源IP地址、目的IP地址、协议类型(IP、ICMP、TCP、UDP)、源TCP/UDP端口、目的TCP/UDP端口、ICMP报文类型域和代码域、碎片包和其他标志位(如SYN、ACK位)等。为了让DMZ区的应用服务器能与内网中DB服务器(服务端口4004、使用TCP协议)通信，需增加DMZ区安全规则，这样一个基于DMZ的安全应用服务便配置好了。其他的应用服务可根据安全策略逐个配置。配置步骤（以dlink-504路由器为例）注意：一、DMZ只能设定一台电脑，无法设定多台电脑二、同一个IP地址，在“进阶设定”项目里的“虚拟服务器”与“DMZ”功能只能二选一。亦即启动“虚拟服务器”功能必须关闭“DMZ”功能，启动“DMZ”功能则必须关闭所有“虚拟服务器”功能三、设定至DMZ表示该台电脑将会暴露在Internet上，会有安全性的风险。dlink-504路由器设定DMZ具体步骤如下：一、先把内部需要设定DMZ的电脑设定成指定IP，这样就可以避免IP地址变动，如果需要动态IP的话，可以通过各静态的DHCP将所分配到的IP地址给予保留。1、设置成指定IP地址操作步骤：“网上邻居”右键→“属性”，打开网络连接窗口之后，“本地连接”按右键“属性”→“Internet协议(TCP/IP)”点击属性IP地址：192.168.0.2~254中的任意一个皆可2、使用静态DHCP将分配到的IP地址给予保留方法：首先进入到dlink-504路由器配置界面，在进入到dlink-504路由器配置界面以后，点击配置界面中的点击左侧的DHCP默认状态下，DHCP服务器处于激活的状态，且可选的IP地址范围192.168.0.100-192.168.0.199，您可以修改所需的IP地址范围，但请在2-254之间进行选择。下面还会有固定DHCP的设置，以及相应的静态DHCP用户列表和动态DHCP用户列表。在没有设置固定IP之前，只会显示连接到DI-504并且得到路由器为其分配IP地址的主机信息。dlink-504路由器固定DHCP设置方法：首先要激活该项，激活该项可以将现有DHCP指派的IP地址制定到您特定的MAC地址(即DI-504下面连接的一台计算机上面)。然后下拉DHCP用户端，里面可以选择相应需要设置固定DHCP的主机名及MAC地址。选好之后，点击clone复制到，即可以将该主机的信息(包括主机名/IP地址/MAC地址)复制到上面的选项中，当然也可以自己手动添加。然后点击执行。点击继续，回到刚才的配置界面。经过以上设置以后我们就可以在静态DHCP用户列表中看到，系统已经将该IP地址(192.168.0.1