Vorlesung Kommunikationssysteme ... - Herzer Online

4.3 DMZ
Die Demilitarisierte Zone ist ein besonderer Netzwerkbereich. Wie sein militärischer Name
schon andeutet, handelt es sich dabei um eine Art Niemandsland. In der demilitarisierten
Zone haben externe Nutzer (also solche die über das WAN kommunizieren) und lokale Nutzer
(aus dem LAN) eine Plattform auf der sie relativ frei (aber trotzdem kontrolliert) bestimmte
Ressourcen gemeinsam nutzen können. In der DMZ werden deshalb häufig Dienste wie ftp-,
Mail oder auch ssh-Server angeboten.
Host DMZ: Auch unechte DMZ genannt. Alle externen Anfragen werden an eine IP-
Adresse im LAN weitergeleitet. Diese Funktion findet man oft bei Billig-Routern. Der Schutz
des LANs ist hier aber ähnlich schwach wie bei einer Software-Firewall.
DMZ: Bei der echten DMZ hat man ein Netzwerkgerät mit zwei LAN-Schnittstellen (im
wesentlichen also einen Router). Aus diesem Grund kann man sich auch aus zwei Routern die
jeweils eine LAN-Schnittstelle haben ebenfalls eine DMZ aufbauen.
Ein weiteres Thema sind LAN-Angriffe von innen, also den lokalen LAN-Usern. Durch
VLAN-Segmentierung und Verwendung von geswitchten Netzwerken sind solche Probleme
aber meist relativ leicht in den Griff zu kriegen.
Demilitarisierte Zone:
Aufbau einer DMZ
DMZ 69 / 110
Die DMZ ist ein isolierter Bereich, der sich zwischen zwei IP-
Netzen befindet. Man kann nun den Zugriff auf öffentliche Dienste
(z.B. WWW-Server) innerhalb der DMZ anbieten und gleichzeitig
das LAN vor unberechtigten Zugriffen aus dem WAN schützen.
Zwei Router: Der eine mit HOST DMZ, der andere mit echter
DMZ.
Abbildung 4.5: DMZs sind besonders gesicherte Netzwerkbereiche.
83