详解DMZ的部署与配置：ISA2006系列之二十九

核心提示：DMZ是Demilitarized Zone的缩写，俗称非军事化隔离区，详解DMZ的部署与配置：ISA2006系列之二十九，DMZ是一个位于内网和外网之间的特殊区域，一般用于放置公司对外开放的服务器，这种环境上的差异会导致网络规则和防火墙策略配置上的差别，因此这个模板不太适合国内大多数公司使用，例如Web服务器，Ftp

DMZ是Demilitarized Zone的缩写，俗称非军事化隔离区。DMZ是一个位于内网和外网之间的特殊区域，一般用于放置公司对外开放的服务器，例如Web服务器，Ftp服务器，邮件服务器等。其实从ISA的角度来看，DMZ就是一个网络。有些朋友可能会有些疑问，为什么不把这些服务器直接放到内网呢？为什么需要DMZ这个单独的网络呢？被发布的服务器放在内网是可以的，我们在前面的博文中已经讨论了技术上的可能性。但把发布服务器放在内网并非最佳选择，因为内网中还有其他的计算机，这些计算机和发布服务器的安全设置并不相同。例如内网中的域控制器并不适合开放给外网用户，财务室人员使用的工作站更是要严加防护。但如果这些计算机和发布服务器都放在内网，对我们进行访问控制是不利的。一旦发布服务器出现安全问题，有可能会危及内网其他计算机的安全。因此比较安全的解决方法是把发布的服务器放在一个单独的隔离网络中，管理员针对隔离网络进行有别于内网的安全配置，这样一来的话显然对安全更加有利。

下面我们用一个实例来为大家介绍一下如何利用ISA2006部署和配置DMZ，拓扑如下图所示，Beijing是ISA2006服务器，Beijing有三块网卡，分别连接内网，外网和DMZ，DMZ在ISA中也被称为外围。Denver在内网，Perth是DMZ，Istanbul在外网。

一 创建DMZ

Beijing是一个有三块网卡的ISA服务器，我们准备在Beijing上手工创建DMZ网络，网络范围是23.1.1.0－23.1.1.255。这个工作我们也可以通过ISA2006自带的三向外围防火墙模板来进行，但这个模板和国内公司的网络环境不太匹配，因为国外公司的DMZ使用的往往是公网地址，而国内DMZ使用的大多是私网地址，这种环境上的差异会导致网络规则和防火墙策略配置上的差别，因此这个模板不太适合国内大多数公司使用，我们还是来手工创建并配置一个DMZ网络。