RouterOS DMZ 配置事例

myh1985 · 发表于 2009-7-24 07:32:26

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？注册

×

[i=s] 本帖最后由 myh1985 于 2009-7-24 09:17 编辑 [/i]

述

DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。

事例：

路由器一般需要3张网卡（Public公网，Local本地网络，DMZ-Zone非军事区）:

[admin@gateway] interface> print

Flags: X - disabled, D - dynamic, R - running

# NAME                      TYPE          RX-RATE TX-RATE MTU

0  R Public                      ether          0       0       1500

1  R Local                      ether          0       0       1500

2  R DMZ-zone                   ether          0       0       1500

[admin@gateway] interface>

给相应的Interface添加对应的IP地址，如下：
[admin@gateway] ip address> print

Flags: X - disabled, I - invalid, D - dynamic

# ADDRESS          NETWORK       BROADCAST    INTERFACE

0 192.168.0.2/24    192.168.0.0    192.168.0.255 Public

1 10.0.0.254/24    10.0.0.0       10.0.0.255    Local

2 10.1.0.1/32       10.1.0.2       10.1.0.2       DMZ-zone

3 192.168.0.3/24    192.168.0.0    192.168.0.255 Public

[admin@gateway] ip address>

添加静态默认路由到本地路由器上：
[admin@MikroTik] ip route> print

Flags: X - disabled, I - invalid, D - dynamic, J - rejected,

C - connect, S - static, r - rip, o - ospf, b - bgp

# DST-ADDRESS       G GATEWAY       DISTANCE INTERFACE

0  S 0.0.0.0/0       r 10.0.0.254    1       ether1

1 DC 10.0.0.0/24       r 0.0.0.0       0       ether1

[admin@MikroTik] ip route>

为IP地址10.1.0.2网关10.1.0.1配置DMZ服务。
配置DMZ服务从因特网地址192.168.0.3配置nat的dst-nat目的地址规则，将所有访问的192.168.0.3数据映射到DMZ区如下：
[admin@gateway] ip firewall nat> add chain=dst-nat action=dst-nat \

\... dst-address=192.168.0.3/32 to-dst-address=10.1.0.2

[admin@gateway] ip firewall dst-nat> print

Flags: X - disabled, I - invalid, D – dynamic

0 chain=dst-nat dst-address=192.168.0.3/32 action=dst-nat to-dst-address=10.1.0.2

[admin@gateway] ip firewall nat>

47771885 · 发表于 2009-7-24 11:56:21

日日日见过无知的没见过这么无知的

WGHBOY · 发表于 2009-7-24 12:14:30

不看了.领金币就走人

ksw520 · 发表于 2009-7-24 12:14:31

太阳太阳 sun sun 见过无知的没见过这么无知的

pxyq · 发表于 2009-7-27 18:15:19

领个金币先

guoxiaoyao1984 · 发表于 2009-7-30 15:52:22

zhanwu007 · 发表于 2009-9-17 16:52:49

领个金币先

ghxiaoguan · 发表于 2009-11-2 16:41:15

keris · 发表于 2009-11-5 17:22:59

高手!!!强人!狗屁!!!1

winepo · 发表于 2009-11-5 17:50:49

呵呵，楼上几位评论真来劲．　

张生 · 发表于 2009-11-9 20:59:11

2个网卡就实现不了DMZ吗

aquaevil · 发表于 2011-9-18 22:09:47

神马, 领个铜币

qinfei · 发表于 2011-9-19 01:19:07

有点乱。。。好像个个都挺生气的

yagamixp · 发表于 2012-9-29 15:16:49

LZ请注意,这不是所谓DMZ的意思,这是端口映射的意思~~
同时请注意,,DMZ的工作方式和这个基本上一样,但这个设置不能算DMZ
不信你试把DMZ区的机器开共享,能否用~~~

账号		自动登录	找回密码
密码			注册

[其它] RouterOS DMZ 配置事例

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。