在現(xiàn)實網(wǎng)絡(luò)環(huán)境下，經(jīng)常遇到企業(yè)內(nèi)網(wǎng)服務(wù)器需要開放給外網(wǎng)用戶訪問等問題，最直接的做法就是將WEB服務(wù)器的端口映射出去，但是現(xiàn)實場景中，經(jīng)常會看到有端口映射、DMZ和UPnP等方式實現(xiàn)映射的效果，也都能達到端口映射的效果，但是終歸他們之間是有區(qū)別的，那么今天就來說一下DMZ、端口映射及UPnP的作用及區(qū)別。

DMZ

DMZ是英文“demilitarized zone”的縮寫，中文名稱為“隔離區(qū)”，“非軍事化區(qū)”。它是為了解決安裝防火墻后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)，這個緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的小網(wǎng)絡(luò)區(qū)域內(nèi)，在這個小網(wǎng)絡(luò)區(qū)域內(nèi)可以放置一些必須公開的服務(wù)器設(shè)施，如企業(yè)Web服務(wù)器、FTP服務(wù)器等。DMZ相當于映射所有的端口，并且直接把主機暴露在網(wǎng)關(guān)中

DMZ區(qū)的作用

一般網(wǎng)絡(luò)分成內(nèi)網(wǎng)和外網(wǎng)，也就是LAN和WAN，那么，當你有1臺物理位置上的1臺服務(wù)器，需要被外網(wǎng)訪問，并且，也被內(nèi)網(wǎng)訪問的時候，那么，有2種方法，一種是放在LAN中，一種是放在DMZ。因為防火墻默認情況下，是為了保護內(nèi)網(wǎng)，所以，一般的策略是禁止外網(wǎng)訪問內(nèi)網(wǎng)，許可內(nèi)網(wǎng)訪問外網(wǎng)。但如果這個服務(wù)器能被外網(wǎng)所訪問，那么，就意味著這個服務(wù)器已經(jīng)處于不可信任的狀態(tài)，那么，這個服務(wù)器就不能（主動）訪問內(nèi)網(wǎng)。

端口映射

端口映射就是將外網(wǎng)主機的IP地址的一個端口映射到內(nèi)網(wǎng)中一臺機器，提供相應(yīng)的服務(wù)。當用戶訪問該IP的這個端口時，服務(wù)器自動將請求映射到對應(yīng)局域網(wǎng)內(nèi)部的機器上。端口映射有動態(tài)和靜態(tài)之分。

▲ 動態(tài)端口映射：

內(nèi)網(wǎng)中的一臺電腦要訪問網(wǎng)站，會向NAT網(wǎng)關(guān)發(fā)送數(shù)據(jù)包，包頭中包括對方網(wǎng)站IP、端口和本機IP、端口，NAT網(wǎng)關(guān)會把本機IP、端口替換成自己的公網(wǎng)IP、一個未使用的端口，并且會記下這個映射關(guān)系，為以后轉(zhuǎn)發(fā)數(shù)據(jù)包使用。
然后再把數(shù)據(jù)發(fā)給網(wǎng)站，網(wǎng)站收到數(shù)據(jù)后做出反應(yīng)，發(fā)送數(shù)據(jù)到NAT網(wǎng)關(guān)的那個未使用的端口，然后NAT網(wǎng)關(guān)將數(shù)據(jù)轉(zhuǎn)發(fā)給內(nèi)網(wǎng)中的那臺電腦，實現(xiàn)內(nèi)網(wǎng)和公網(wǎng)的通訊.當連接關(guān)閉時，NAT網(wǎng)關(guān)會釋放分配給這條連接的端口，以便以后的連接可以繼續(xù)使用。
動態(tài)端口映射其實也就是NAT網(wǎng)關(guān)的工作方式。

▲ 靜態(tài)端口映射：

就是在NAT網(wǎng)關(guān)上開放一個固定的端口，然后設(shè)定此端口收到的數(shù)據(jù)要轉(zhuǎn)發(fā)給內(nèi)網(wǎng)哪個IP和端口，不管有沒有連接，這個映射關(guān)系都會一直存在。就可以讓公網(wǎng)主動訪問內(nèi)網(wǎng)的一臺電腦。

UPnP

UPnP 范圍廣泛，原因是它面向的是家庭網(wǎng)絡(luò)、臨近網(wǎng)絡(luò)及小型企業(yè)和商住樓中的網(wǎng)絡(luò)。
以下是BC官方網(wǎng)站對UPnP的解釋：UPnP（Universal Plug and Play），通用即插即用，是一組協(xié)議的統(tǒng)稱，不能簡單理解為UPnP=“自動端口映射”。

在BitComet下載中，UPnP包含了2層意思：
▲ 對于一臺內(nèi)網(wǎng)電腦，BitComet的UPnP功能可以使網(wǎng)關(guān)或路由器的NAT模塊做自動端口映射，將BitComet監(jiān)聽的端口從網(wǎng)關(guān)或路由器映射到內(nèi)網(wǎng)電腦上。
▲ 網(wǎng)關(guān)或路由器的網(wǎng)絡(luò)防火墻模塊開始對Internet上其他電腦開放這個端口。對于一般的使用者來講，簡單的把UPnP理解為自動端口映射就可以了。它就是一種基于TCP/IP協(xié)議的，針對設(shè)備彼此間的通訊而制訂的新的Internet協(xié)議，目的就是希望未來所有聯(lián)入Internet中的設(shè)備能夠不受網(wǎng)關(guān)阻礙的相互通信。

UPnP、DMZ、端口映射、三者區(qū)別區(qū) 別

端口映射：

端口映射是將一臺主機IP地址的某個端口映射到另外一個IP地址的某個端口上，當用戶訪問提供映射端口的主機的該端口時，服務(wù)器自動將請求轉(zhuǎn)到提供這種特定服務(wù)的主機，端口映射可以讓內(nèi)部網(wǎng)絡(luò)中某臺機器對外部提供服務(wù)，而不是將真IP地址直接轉(zhuǎn)到內(nèi)部提供服務(wù)的主機。

DMZ：

DMZ相當于映射所有的端口，并且直接把主機暴露在網(wǎng)關(guān)中。DMZ是為了讓外網(wǎng)能訪問內(nèi)部的資源，也就是這個服務(wù)器，而內(nèi)網(wǎng)呢，也能訪問這個服務(wù)器，但這個服務(wù)器是不能主動訪問內(nèi)網(wǎng)的。為了讓物理位置在內(nèi)網(wǎng)的，并且，希望能被外網(wǎng)所訪問的這樣的一個區(qū)域。

UPnP：

由操作系統(tǒng)和應(yīng)用與路由器協(xié)商開放哪個端口，必須同時滿足支持UPnP，缺一不可，否則不能實現(xiàn)。