DMZ 완충 네트워크 영역

DMZ는 외부에 공개하는 서비스와 더 신뢰가 필요한 내부 자원을 분리하기 위해 두는 완충 네트워크 영역입니다.

경계 장비와 정책을 통해 외부에서 필요한 서비스만 접근하게 하고 내부로의 이동을 제한합니다. 별도 구간이라는 이름보다 실제 통신 규칙이 보호 효과를 결정합니다.

공개 웹 서버는 완충 구간에 두고 내부 데이터베이스에는 필요한 연결만 제한적으로 허용하는 구성이 있습니다.

DMZ는 네트워크 구획의 역할이고 VLAN은 논리적 구간을 만드는 기술입니다. VLAN을 따로 만들었다고 DMZ의 통신 통제까지 자동으로 완성되는 것은 아닙니다.

DMZ의 서버가 침해될 수 있음을 전제로 관리 접속과 내부 연결을 최소화합니다. 외부 공개 경로, 반환 경로와 로그도 함께 검증해야 합니다.

보안 설계의 DMZ는 외부 서비스 영역과 내부망 사이의 접근을 경계 정책으로 나누는 구성입니다. 가정용 공유기의 DMZ 호스트는 보통 외부 접속을 내부 단말로 넓게 전달하는 기능으로, 그 단말을 내부 LAN에서 자동으로 격리하는 뜻이 아닙니다. 이름이 같아도 분리 경계와 허용 서비스 및 응답 경로를 기준으로 판단합니다.

이 절의 용어: DMZ host / 공유기의 DMZ 호스트

가정용 공유기의 DMZ 호스트는 일반적으로 다른 규칙에 해당하지 않는 외부 접속을 지정한 내부 호스트로 전달하는 기능입니다.

별도 방화벽 구간으로 설계하는 DMZ 네트워크와 구분합니다. 공유기 메뉴의 DMZ라는 이름만으로 지정 단말이 내부 LAN과 격리되지는 않습니다.

외부 접속을 위해 PC를 DMZ 호스트로 지정하면 필요하지 않은 서비스까지 외부에 노출될 수 있습니다.

포트 포워딩은 선택한 포트를 전달하고 DMZ 호스트는 더 넓은 범위를 전달하는 식으로 구현되는 경우가 많습니다. 제외 포트와 프로토콜은 제품별로 다릅니다.

정확한 공개 범위와 호스트 방화벽을 확인해야 합니다. DMZ 호스트 설정을 보안 구역 생성 기능으로 설명하면 안 됩니다.

TP-Link: DMZ host