DMZ і сегментація мережі: відокремлюємо сервери від домашньої мережі

Коротко: DMZ — захищена зона мережі для серверів, доступних з інтернету; сегментація обмежує шкоду, коли один пристрій захоплено.

Докладніше: У плоскій мережі кожен пристрій сягає будь-якого іншого. Якщо один із них (наприклад, небезпечний пристрій IoT чи публічний сервер) зламано, уся мережа відкрита зловмиснику. Сегментація ділить мережу на зони, трафік між якими контролює міжмережевий екран.

Подробиці

DMZ (демілітаризована зона)

Сервери, які мають бути доступні з інтернету (вебсервери, поштові сервери), розташовані в окремій зоні, відокремленій від внутрішньої мережі:

Інтернет ── Міжмережевий екран ── DMZ (вебсервер)
                  │
                  └── Внутрішня мережа (ПК, принтери)

Правила: з інтернету можна дістатися лише до серверів DMZ і лише до певних портів; з DMZ немає вільних з’єднань до внутрішньої мережі. Якщо сервер захоплено, зловмисник залишається в DMZ.

Удома

За допомогою VLAN можна відокремити пристрої IoT, гостей і власні комп’ютери; сервери homelab розміщують в окремій зоні.

Див. також: міжмережевий екран, VLAN, NAT, Homelab і self-hosting, принцип найменших привілеїв