DMZ (համակարգչային ցանցեր)

**DMZ** (**Demilitarized zone**, , ԱՌԳ), ցանցի հատված, որը պարունակում է հանրային ծառայություններ և դրանք առանձնացնում է մասնավորներից: Օրինակ՝ վեբ ծառայությունը կարող է գործել որպես հանրային ծառայություն․ այն մատուցող սերվերը, որը ֆիզիկապես գտնվում է տեղական ցանցում (Ինտրանետ), պետք է արձագանքի արտաքին ցանցից (Ինտերնետ) ստացված ցանկացած հարցմանը, մինչդեռ մյուս տեղական ռեսուրսները (օրինակ՝ ֆայլային սերվերները, աշխատանքային կայանները) պետք է մեկուսացված լինեն արտաքին մուտքից:

DMZ-ի նպատակն է տեղական ցանցին ավելացնել անվտանգության լրացուցիչ շերտ, որը թույլ կտա նվազագույնի հասցնել վնասը հանրային ծառայություններից մեկի վրա հարձակման դեպքում․ արտաքին հարձակվողը անմիջական մուտք ունի միայն DMZ-ում գտնվող սարքավորումներին:

## Տերմինաբանություն և հասկացություն
Անվանումը ծագում է «ապառազմականացված գոտի» ռազմական տերմինից՝ պատերազմող պետությունների միջև ընկած տարածք, որտեղ ռազմական գործողություններ չեն թույլատրվում։ Այլ կերպ ասած, ԱՌԳ մուտքը բաց է երկու կողմերի համար, եթե այցելուն չարամիտ մտադրություն չունի։ Համեմատության համար, ԱՌԳ հասկացությունը (օրինակ՝ հանրային ինտերնետ մուտք գործելու դարպաս կառուցելիս) այն է, որ տեղական ցանցի մի հատված է հատկացվում, որը այնքան անվտանգ չէ, որքան ցանցի մնացած մասը (ներքին) և այնքան վտանգավոր չէ, որքան հանրայինը (արտաքին)։

Արտաքին ցանցերից անմիջական մուտքի համար բաց համակարգերը սովորաբար հարձակվողների հիմնական թիրախներն են և պոտենցիալ ենթակա են սպառնալիքների: Արդյունքում, այս համակարգերին լիովին վստահելի չեն: Հետևաբար, անհրաժեշտ է սահմանափակել այս համակարգերի մուտքը ցանցի ներսում գտնվող համակարգիչներին:

Արտաքին հարձակումներից պաշտպանություն ապահովելով հանդերձ, DMZ-ն ընդհանուր առմամբ չի տուժում ներքին հարձակումներից, ինչպիսիք են երթևեկության խափանումները:

## Ճարտարապետություն և իրականացում
Սեգմենտների բաժանումը և դրանց միջև երթևեկության կառավարումը սովորաբար իրականացվում է մասնագիտացված սարքերի՝ firewall-ների միջոցով։ Նման սարքի հիմնական խնդիրներն են:

* մուտքի վերահսկողություն արտաքին ցանցից դեպի DMZ։
* ներքին ցանցից դեպի DMZ մուտքի վերահսկողություն։
* ներքին ցանցից արտաքին ցանց մուտք գործելու թույլտվություն (կամ վերահսկողություն).
* արտաքին ցանցից ներքին ցանց մուտքի արգելափակում։

Որոշ դեպքերում, DMZ կազմակերպելու համար բավարար է ռաութերը կամ նույնիսկ պրոքսի սերվերը:

DMZ-ում գտնվող սերվերները կարող են սահմանափակ հնարավորություններ ունենալ անհրաժեշտության դեպքում ներքին ցանցի առանձին հանգույցներին միանալու համար: DMZ-ում սերվերների միջև և արտաքին ցանցի հետ հաղորդակցությունը նույնպես սահմանափակ է, ինչը DMZ-ն դարձնում է որոշակի ծառայություններ տեղակայելու ավելի անվտանգ վայր, քան ինտերնետը: DMZ-ում գտնվող սերվերները պետք է աշխատեցնեն միայն անհրաժեշտ ծրագրերը, իսկ ավելորդները անջատվում կամ ջնջվում են:

DMZ ցանցային ճարտարապետության համար կան բազմաթիվ տարբեր տարբերակներ։ Երկու հիմնական տարբերակներն են՝ մեկ և երկու firewall-ով: Այս մեթոդների հիման վրա հնարավոր է ստեղծել ինչպես պարզեցված, այնպես էլ շատ բարդ կոնֆիգուրացիաներ, որոնք համապատասխանում են օգտագործվող սարքավորումների հնարավորություններին և որոշակի ցանցի անվտանգության պահանջներին:

### Մեկ firewall-ով կարգավորում
link=https://ru.wikipedia.org/wiki/%D0%A4%D0%B0%D0%B9%D0%BB:DMZ_network_diagram_2_firewall.svg|աջից|մինի|275x275փքս|Մեկ firewall-ով սխեմա
DMZ-ով ցանց ստեղծելու համար կարելի է օգտագործել մեկ firewall, որն ունի առնվազն երեք ցանցային ինտերֆեյս՝ մեկը մատակարարին (WAN) միանալու համար, երկրորդը՝ ներքին ցանցին (LAN), երրորդը՝ DMZ-ին: Նման սխեման հեշտ է իրականացնել, բայց այն ավելի մեծ պահանջներ է ներկայացնում սարքավորումների և կառավարման համար. firewall-ը պետք է մշակի ինչպես DMZ, այնպես էլ ներքին ցանց գնացող ողջ երթևեկությունը: Այս դեպքում այն ​​դառնում է ձախողման միակ կետ, և եթե այն կոտրվի (կամ կարգավորումներում սխալ լինի), ներքին ցանցը խոցելի կլինի անմիջապես արտաքին ցանցիցref:

### Երկու firewall-նով կարգավորում
Ավելի անվտանգ մոտեցում է DMZ ստեղծելու համար երկու firewall-ի օգտագործումը. մեկը, որը վերահսկում է արտաքին ցանցից DMZ կապերը, և մեկը, որը վերահսկում է DMZ-ից ներքին ցանց կապերը: Այս դեպքում, ներքին ռեսուրսների վրա հաջողությամբ հարձակվելու համար պետք է երկու սարքերի վրա հարձակվել: Բացի այդ, արտաքին firewall-ի վրա կարող են կարգավորվել ավելի դանդաղ ծրագրային մակարդակի ֆիլտրման կանոններ, որոնք ապահովում են տեղական ցանցի համար բարելավված պաշտպանություն՝ առանց ներքին հատվածի աշխատանքի վրա բացասաբար ազդելու:
link=https://ru.wikipedia.org/wiki/%D0%A4%D0%B0%D0%B9%D0%BB:DMZ_network_diagram_2_firewall.svg|աջից|մինի|275x275փքս|Երկու firewall-ով սխեմա
Ավելի բարձր մակարդակի պաշտպանության կարելի է հասնել՝ օգտագործելով երկու տարբեր արտադրողների և (ցանկալի է) տարբեր ճարտարապետությունների երկու firewall-ներ։ Սա նվազեցնում է այն հավանականությունը, որ երկու սարքերն էլ կունենան նույն խոցելիությունը: Օրինակ, պատահական կարգավորման սխալի առաջացման հավանականությունը երկու տարբեր արտադրողների ինտերֆեյսների կազմաձևման մեջ ավելի քիչ է. մեկ արտադրողի համակարգում հայտնաբերված անվտանգության անցքն ավելի քիչ է հավանականությունը, որ հայտնվի մյուսում: Այս ճարտարապետության թերությունը դրա ավելի բարձր արժեքն է:

### DMZ-հոսթ
Որոշ SOHO ռաութերներ ունեն արտաքին ցանցից ներքին սերվերներին մուտք ապահովելու հնարավորություն (*DMZ հոսթ* կամ *էքսպոզիցիոն հոսթ* ռեժիմ): Այդպիսի ռեժիմում դրանք հոսթ են, որոնց բոլոր միացքները բաց են (անպաշտպան), բացառությամբ նրանց, որոնք թարգմանված են այլ կերպ: Սա լիովին չի համապատասխանում իրական DMZ-ի սահմանմանը, քանի որ բաց միացքներով սերվերը առանձնացված չէ ներքին ցանցից: Այսինքն՝ DMZ հոսթը կարող է ազատորեն միանալ ներքին ցանցի ռեսուրսներին, մինչդեռ իրական DMZ-ից ներքին ցանցին միացումները արգելափակված են դրանք առանձնացնող firewall-ով, եթե չկա հատուկ թույլատրման կանոն: DMZ հոսթը չի ապահովում ենթացանցերի օգտագործման անվտանգության որևէ առավելություն և հաճախ օգտագործվում է որպես բոլոր միացքները մեկ այլ firewall կամ սարք փոխանցելու պարզ մեթոդ:

## Ծանոթագրություններ