DMZ ve ağ segmentasyonu: sunucuları ev ağından ayırmak

Kısaca: DMZ, internetten erişilebilen sunucular için korumalı bir ağ bölgesidir; segmentasyon, bir cihaz ele geçirildiğinde hasarı sınırlar.

Biraz daha ayrıntılı: Düz bir ağda her cihaz diğerine ulaşır. Biri (örneğin güvensiz bir IoT cihazı veya genel bir sunucu) hacklenirse tüm ağ saldırgana açıktır. Segmentasyon ağı, aralarındaki trafiği bir güvenlik duvarının denetlediği bölgelere ayırır.

Ayrıntılı

DMZ (askerden arındırılmış bölge)

İnternetten erişilebilir olması gereken sunucular (web sunucuları, posta sunucuları) iç ağdan ayrı kendi bölgelerinde durur:

İnternet ── Güvenlik duvarı ── DMZ (web sunucusu)
                │
                └── İç ağ (PC'ler, yazıcılar)

Kurallar: internetten yalnızca DMZ sunucularına ve yalnızca belirli portlara ulaşılabilir; DMZ’den iç ağa serbest bağlantı yoktur. Bir sunucu ele geçirilirse saldırgan DMZ’de kalır.

Evde

VLAN’larla IoT cihazları, misafirler ve kendi bilgisayarlar ayrılabilir; homelab sunucuları ayrı bir bölgeye konur.

Ayrıca bak: Güvenlik duvarı, VLAN, NAT, Homelab ve kendi barındırma, En az ayrıcalık