myh1985 发表于 2009-7-24 07:32:26

RouterOS DMZ 配置事例

本帖最后由 myh1985 于 2009-7-24 09:17 编辑

述

DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。


事例：

路由器一般需要3张网卡（Public公网，Local本地网络，DMZ-Zone非军事区）:

interface> print

Flags: X - disabled, D - dynamic, R - running

#    NAME                         TYPE             RX-RATE    TX-RATE    MTU

0R Public                     ether            0          0          1500

1R Local                        ether            0          0          1500

2R DMZ-zone                     ether            0          0          1500

interface>

给相应的Interface添加对应的IP地址，如下：
ip address> print

Flags: X - disabled, I - invalid, D - dynamic

#   ADDRESS            NETWORK         BROADCAST       INTERFACE

0   192.168.0.2/24   192.168.0.0   192.168.0.255   Public

1   10.0.0.254/24      10.0.0.0      10.0.0.255      Local

2   10.1.0.1/32      10.1.0.2      10.1.0.2      DMZ-zone

3   192.168.0.3/24   192.168.0.0   192.168.0.255   Public

ip address>

添加静态默认路由到本地路由器上：
ip route> print

Flags: X - disabled, I - invalid, D - dynamic, J - rejected,

C - connect, S - static, r - rip, o - ospf, b - bgp

#    DST-ADDRESS      G GATEWAY         DISTANCE INTERFACE

0S 0.0.0.0/0          r 10.0.0.254      1      ether1

1 DC 10.0.0.0/24      r 0.0.0.0         0      ether1

ip route>

为IP地址10.1.0.2网关10.1.0.1配置DMZ服务。
配置DMZ服务从因特网地址192.168.0.3配置nat的dst-nat目的地址规则，将所有访问的192.168.0.3数据映射到DMZ区如下：
ip firewall nat> add chain=dst-nat action=dst-nat \

\... dst-address=192.168.0.3/32 to-dst-address=10.1.0.2

ip firewall dst-nat> print

Flags: X - disabled, I - invalid, D – dynamic

0 chain=dst-nat dst-address=192.168.0.3/32 action=dst-nat to-dst-address=10.1.0.2

ip firewall nat>

47771885 发表于 2009-7-24 11:56:21

日 日 日 见过 无知的没见过这么 无知的

WGHBOY 发表于 2009-7-24 12:14:30

不看了.领金币就走人

ksw520 发表于 2009-7-24 12:14:31

太阳太阳sun sun 见过 无知的没见过这么 无知的

pxyq 发表于 2009-7-27 18:15:19

领个金币先

guoxiaoyao1984 发表于 2009-7-30 15:52:22

顶

zhanwu007 发表于 2009-9-17 16:52:49

领个金币先

ghxiaoguan 发表于 2009-11-2 16:41:15

:lol

keris 发表于 2009-11-5 17:22:59

高手!!!强人!狗屁!!!1

winepo 发表于 2009-11-5 17:50:49

呵呵，楼上几位评论真来劲．　

张生 发表于 2009-11-9 20:59:11

2个网卡就实现不了DMZ吗

aquaevil 发表于 2011-9-18 22:09:47

神马, 领个铜币

qinfei 发表于 2011-9-19 01:19:07

有点乱。。。好像个个都挺生气的;P

yagamixp 发表于 2012-9-29 15:16:49

LZ请注意,这不是所谓DMZ的意思,这是端口映射的意思~~
同时请注意,,DMZ的工作方式和这个基本上一样,但这个设置不能算DMZ
不信你试把DMZ区的机器开共享,能否用~~~
页: [1]
查看完整版本: RouterOS DMZ 配置事例