DMZ так возможно?

Question

[Дядька Серёжа]

Интересует выделение части серверов в демилитаризованную зону, как я почитал у роутеров только один IP может быть демилитаризованным, значит нужна связка из двух роутеров как на рисунке?
То есть если я на HP основном укажу что IP «такой-та» это DMZ, а поскольку DMZ может быть только конкретное устройство, то я ставлю роутер «FW 7» на этот IP к которому я уже цепляю что хочу.

Answer 1

[Sergey]

То, что на SOHO-роутерах называют DMZ, на самом деле называется static nat. Т.е. когда один WAN ip сопоставляется целиком с одним LAN ip.
Если нужно опубликовать несколько сервисов/серверов, то это можно сделать при помощи PAT. На SOHO-роутерах еще называют virtual server.

Answer 2

[Пума Тайланд]

Что то вы какую то фигню нагородили, сделайте проброс портов на нужные сервера и не парьтесь.

Comments

[Дядька Серёжа]

5308XL не имеетмежсетевого экрана.
Просто хотелось добавить межсетевой экран, чтобы ограничить основную сеть от DMZ в случае взлома одного из серверов

[Sergey]

Ну так добавь его. Какой бюджет? Если совсем плохо, то всегда можно на стареньком железе запустить какой-нибудь smoothwall или clearos, выбрать по вкусу.

[Дядька Серёжа]

Ну вот я присмотрел роутер market.yandex.ru/model.xml?modelid=927901&hid=91088, не хочется ставить эти ПК с двумя сетевыми картами

[Sergey]

Тогда уж лучше к mikrotik присмотреться, мне кажется.

[Пума Тайланд]

На вашем рисунке совершенно не ясно как ваш фаервол будет ограничивать сервер от остальных. Вы придумываете странное.

[Дядька Серёжа]

никак и не может быть видно, видно будет когда правила ля него будут же

[Пума Тайланд]

Они у вас все стыкуются в точке до фаервола, какая им будет разница на правила фаервола?

Answer 3

[mikes]

dmz — это может быть подсеть (vlan к примеру) доступ в/из которой контролируется неким firewall. Так что это не обязательно 1 ip — устройство.
не обязательно она будет 1… можно иметь много dmz