波仔
🔌 第五章 服务器端的局域网中有什么玄机
📄 一句话概括

对外公开的服务器放进 DMZ 隔离区，三条规矩：外到 DMZ 按端口放行、内到 DMZ 放行（维护用）、DMZ 到内一律阻止——被攻破也伤不到内网。

📝 本节和前面几节的关系

前面规则都写在【公司 vs 外部】之间；本篇引入中间地带 DMZ。

一、DMZ 是什么

DMZ（Demilitarized Zone，隔离区）： 内外之间专门给对外服务器准备的一块地。

二、三条规矩

外 -> DMZ：允许（只开指定端口）； 内 -> DMZ：允许（管理员维护）； DMZ -> 内：阻止——Web 服务器被攻破，也进不了内网。

三、动手 Demo：内网与 DMZ 之间的规矩

对外公开的服务器放进 DMZ（隔离区），三条基本规矩：

for s in ['外网 -> DMZ ：允许（只开指定端口）',
    内网 -> DMZ ：允许（管理员维护用）',
    DMZ  -> 内网：阻止！']:
    print(s)
print()
print('第三条最关键：被攻破也迈不进内网半步')

实跑输出：

--------------------------------------------------------------------
内网与 DMZ 之间的规矩
--------------------------------------------------------------------
  对外公开的服务器放进 **DMZ**（隔离区），三条基本规矩：

    外网 -> DMZ ：允许（只开指定端口）
    内网 -> DMZ ：允许（管理员维护用）
    DMZ  -> 内网：阻止！

  第三条最关键：就算 Web 服务器被攻破了，
  攻击者**也迈不进内网半步**。

把安全想成【损失上限】问题：DMZ 让最容易被攻破的 机器即使失守，爆炸半径也被限制在这一块地里。

30 秒实验

  1. 画图：外网、DMZ、内网三块区域与三条规则。
  2. 想想 DMZ 里的服务器被攻破后还能干什么坏事。
  3. 查查【非军事区】这个词的军事出处。

常见误区

  1. 以为对外服务器放内网更安全——被攻破就直捣黄龙。
  2. 以为 DMZ 到内网也应该通——恰恰要全部阻止。
自测三问（点开对答案） 1. DMZ 是什么？ —— 隔离区，对外服务器的专用地带。 2. 三条规矩里最关键的是哪条？ —— DMZ 到内网一律阻止。 3. 内到 DMZ 为什么放行？ —— 管理员要维护服务器。

相关笔记