DMZ и сегментация сети: отделяем серверы от домашней сети

Коротко: DMZ — защищённая зона сети для серверов, доступных из интернета; сегментация ограничивает ущерб при захвате одного устройства.

Подробнее: В плоской сети каждое устройство достаёт до любого другого. Если одно из них (например, небезопасное устройство IoT или публичный сервер) взломано, вся сеть открыта злоумышленнику. Сегментация делит сеть на зоны, трафик между которыми контролирует межсетевой экран.

Подробности

DMZ (демилитаризованная зона)

Серверы, которые должны быть доступны из интернета (веб-серверы, почтовые серверы), находятся в отдельной зоне, отделённой от внутренней сети:

Интернет ── Межсетевой экран ── DMZ (веб-сервер)
                  │
                  └── Внутренняя сеть (ПК, принтеры)

Правила: из интернета можно достучаться только до серверов DMZ и только до определённых портов; из DMZ нет свободных соединений во внутреннюю сеть. Если сервер захвачен, злоумышленник остаётся в DMZ.

Дома

С помощью VLAN можно отделить устройства IoT, гостей и собственные компьютеры; серверы homelab помещают в отдельную зону.

См. также: межсетевой экран, VLAN, NAT, Homelab и self-hosting, принцип наименьших привилегий