DMZ (מחשוב)
נימוק

ה-DMZ נתפס כלא שייך לאף אחת מהרשתות הגובלות בו. מטאפורה זו חלה על השימוש במחשוב שכן ה-DMZ פועל כשער לאינטרנט הציבורי. זה לא מאובטח כמו הרשת הפנימית, ולא לא מאובטח כמו האינטרנט הציבורי.
במקרה זה, המארחים הפגיעים ביותר להתקפה הם אלה המספקים שירותים למשתמשים מחוץ לרשת המקומית, כגון שרתי דואר אלקטרוני, אינטרנט ומערכת שמות דומיין (DNS). בגלל הפוטנציאל המוגבר של מארחים אלה הסובלים מתקפה, הם ממוקמים לתוך תת-רשת ספציפית זו על מנת להגן על שאר הרשת במקרה שאחד מהם ייפגע.
למארחים ב-DMZ מותרת רק קישוריות מוגבלת למארחים ספציפיים ברשת הפנימית, מכיוון שהתוכן הקיים ב-DMZ לא בהכרח מאובטח כמו התוכן ברשת הפנימית. באופן דומה, התקשורת בין מארחים ב-DMZ ולרשת החיצונית מוגבלת גם כדי להפוך את ה-DMZ למאובטח יותר מהאינטרנט ומתאים לאכלס שירותים מיוחדים אלה. זה מאפשר למארחים ב-DMZ לתקשר עם הרשת הפנימית והחיצונית כאחד, בעוד חומת אש מתערבת שולטת בתעבורה בין שרתי ה-DMZ לבין לקוחות הרשת הפנימיים, וחומת אש אחרת תבצע רמה מסוימת של שליטה כדי להגן על ה-DMZ מהרשת החיצונית.
תצורת DMZ מספקת אבטחה נוספת מפני התקפות חיצוניות (ב-WAN, אך בדרך כלל אין לה כל השפעה על התקפות פנימיות (ב-LAN) כגון רחרוח תקשורת באמצעות רחרחן (מנתח פקטות) (באנגלית: Sniffer), שימוש במתקפת ARP Spoofing או זיוף דואר אלקטרוני.
זה גם נוהג טוב לפעמים להגדיר אזור צבאי מסווג נפרד (CMZ), אזור צבאי מפוקח מאוד הכולל בעיקר שרתי אינטרנט (ושרתים דומים שמתממשקים לעולם החיצוני כלומר לאינטרנט) שאינם נמצאים ב-DMZ אלא מכילים מידע רגיש על גישות לשרתים מסוימים בתוך הרשת המקומית (הפנימית) כמו שרתי מסד נתונים. בארכיטקטורה כזו, ל-DMZ יש בדרך כלל את חומת האש של האפליקציה וה-FTP בעוד שה-CMZ מארח את שרתי האינטרנט. שרתי מסד הנתונים יכולים להיות ב-CMZ, ב-LAN או ב-VLAN נפרד לגמרי.
כל שירות שניתן למשתמשים ברשת החיצונית יכול להיות ממוקם ב-DMZ. הנפוצים ביותר מבין השירותים הללו הם:
שרתי אינטרנט
שרתי דואר
שרתי FTP
שרתי VoIP
שרתי אינטרנט המתקשרים עם מסד נתונים פנימי דורשים גישה לשרת מסד נתונים, שאולי אינו נגיש לציבור ויכול להכיל מידע רגיש. שרתי האינטרנט יכולים לתקשר עם שרתי מסד נתונים ישירות או דרך חומת אש של יישומים מטעמי אבטחה.
הודעות הדואר האלקטרוני ובמיוחד מסד הנתונים של המשתמשים הם חסויים, ולכן הם מאוחסנים בדרך כלל בשרתים שלא ניתן לגשת אליהם מהאינטרנט (לפחות לא בצורה לא מאובטחת), אך ניתן לגשת אליהם משרתי דואר אלקטרוני החשופים לאינטרנט.
שרת הדואר בתוך ה-DMZ מעביר דואר נכנס לשרתי הדואר המאובטחים/פנימיים וגם מטפל בדואר יוצא.
מטעמי אבטחה, עמידה בתקנים משפטיים כגון HIPAA וסיבות נוספות לניטור, בסביבה עסקית, ארגונים מסוימים מתקינים שרת proxy בתוך ה-DMZ. יש לזה את היתרונות הבאים:
מחייב משתמשים פנימיים (בדרך כלל עובדים) להשתמש בשרת ה-proxy לגישה לאינטרנט.
דרישות רוחב פס מופחתות של גישה לאינטרנט מכיוון שחלק מתוכן האינטרנט עשוי להיות מאוחסן במטמון על ידי שרת ה-proxy.
מפשט את ההקלטה והניטור של פעילויות המשתמש.
סינון תוכן אינטרנט מרכזי.
שרת פרוקסי הפוך, כמו שרת פרוקסי, הוא מתווך, אך נעשה בו שימוש הפוך. במקום לספק שירות למשתמשים פנימיים המעוניינים לגשת לרשת חיצונית, הוא מספק גישה עקיפה לרשת חיצונית (בדרך כלל האינטרנט) למשאבים פנימיים. לדוגמה, גישה ליישום אחורי, כגון מערכת דואר אלקטרוני, יכולה להיות מסופקת למשתמשים חיצוניים (כדי לקרוא מיילים מחוץ לחברה), אך למשתמש המרוחק לא תהיה גישה ישירה לשרת הדואר האלקטרוני שלו (רק שרת ה-proxy ההפוך יכול לגשת פיזית לשרת האימייל הפנימי). זוהי שכבת אבטחה נוספת שמומלצת במיוחד כאשר יש צורך לגשת למשאבים פנימיים מבחוץ, אך ראוי לציין שהעיצוב הזה עדיין מאפשר למשתמשים מרוחקים (ועלולים להיות זדוניים) לדבר עם המשאבים הפנימיים בעזרת ה-proxy. מכיוון שה-proxy מתפקד כממסר בין הרשת הלא מהימנה למשאב הפנימי: הוא עשוי גם להעביר תעבורה זדונית (למשל לניצול ברמת האפליקציה) לכיוון הרשת הפנימית; לכן יכולות זיהוי התקפות וסינון ה-proxy הן חיוניות במניעת תוקפים חיצוניים לנצל נקודות תורפה הקיימות במשאבים הפנימיים שנחשפים דרך ה-proxy. בדרך כלל מנגנון פרוקסי הפוך כזה מסופק על ידי שימוש בחומת אש שכבת יישומים המתמקדת בצורה ובתוכן הספציפיים של התעבורה במקום רק בשליטה בגישה ליציאות TCP ו-UDP ספציפיות (כפי שחומת אש רגילה הייתה עושה), אלא פרוקסי הפוך הוא בדרך כלל לא תחליף טוב לעיצוב DMZ מחושב היטב מכיוון שהוא צריך להסתמך על עדכוני חתימה מתמשכים עבור וקטורי התקפה מעודכנים.