在部分企業(yè)路由器上，配有DMZ口，那么DMZ口的作用有哪些？適合應(yīng)用在什么樣的環(huán)境呢？

本文將以TL-ER5110為例對(duì)企業(yè)路由器的DMZ口展開詳細(xì)介紹。

目前具有兩種模式：局域網(wǎng)模式和廣域網(wǎng)模式。

一、局域網(wǎng)模式

開啟“DMZ口狀態(tài)”，選擇“局域網(wǎng)接口模式”，則可以設(shè)置一個(gè)不同于LAN網(wǎng)段的私網(wǎng)地址（默認(rèn)情況下，IP地址為：192.168.2.1，子網(wǎng)掩碼為：255.255.255.0）。其作用是：

1.擴(kuò)展LAN網(wǎng)段：普通的NAT設(shè)備只有一個(gè)LAN區(qū)域，ER路由器的DMZ口可以作為另一個(gè)LAN區(qū)域，滿足多網(wǎng)段的接入需求。

2.不同網(wǎng)段互訪：普通NAT設(shè)備或者二層交換機(jī)下接入不同網(wǎng)段的電腦是不可以互訪的，但ER路由的LAN區(qū)域與DMZ區(qū)域之間為路由模式，可以直接互訪。各接口間的模式關(guān)系如下圖：

3.DMZ區(qū)域接入服務(wù)器：在DMZ區(qū)域中接入服務(wù)器，外網(wǎng)主動(dòng)向DMZ區(qū)服務(wù)器發(fā)起訪問，需要在虛擬服務(wù)器中設(shè)置端口映射或者DMZ主機(jī)。

【典型應(yīng)用環(huán)境】：

拓?fù)湔f明：

1． 開啟DMZ口之后，可以在路由器下接入兩個(gè)不同網(wǎng)段的區(qū)域：LAN區(qū)域和DMZ區(qū)域。對(duì)原來的LAN區(qū)域進(jìn)行了擴(kuò)展。

2． LAN區(qū)域和DMZ區(qū)域都可以正常的訪問網(wǎng)絡(luò)，并且兩者之間可以互訪。

3．路由器的防火墻、帶寬控制、策略選路（僅針對(duì)多WAN口路由器）等各項(xiàng)功能對(duì)LAN網(wǎng)段和DMZ網(wǎng)段都生效，可以嚴(yán)格控制各個(gè)區(qū)域的上網(wǎng)規(guī)則。

4． 可以針對(duì)LAN區(qū)域中的主機(jī)設(shè)置防火墻規(guī)則，嚴(yán)格控制對(duì)DMZ區(qū)域的訪問權(quán)限。

二、廣域網(wǎng)模式

開啟“DMZ口狀態(tài)”，選擇“廣域網(wǎng)接口模式”，則可以設(shè)置一個(gè)不同于WAN口網(wǎng)段的公網(wǎng)地址。一般情況下，用戶需要申請(qǐng)2個(gè)或者以上的公網(wǎng)IP地址，由于DMZ區(qū)域與WAN區(qū)域?yàn)槁酚赡Ｊ剑�因此需要廣域網(wǎng)DMZ中填入的公網(wǎng)IP地址與WAN口IP地址都不在同一網(wǎng)段。外網(wǎng)訪問數(shù)據(jù)是通過WAN口再到DMZ口。此模式實(shí)際中很少使用。

接口間模式關(guān)系為：

_____________________________________________________________________

DMZ簡(jiǎn)介：

DMZ是 “Demilitarized Zone”的縮寫，中文名稱為“隔離區(qū)”，也稱“非軍事化區(qū)”。它是為了解決安裝防火墻后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個(gè)非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)，這個(gè)緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的小網(wǎng)絡(luò)區(qū)域內(nèi)，在這個(gè)小網(wǎng)絡(luò)區(qū)域內(nèi)可以放置一些必須公開的服務(wù)器設(shè)置，如企業(yè)Web服務(wù)器、FTP服務(wù)器等。另一方面，通過這樣一個(gè)DMZ區(qū)域，更加有效地保護(hù)了內(nèi)部網(wǎng)絡(luò)，常見網(wǎng)絡(luò)結(jié)構(gòu)如下：

DMZ方案為要保護(hù)的內(nèi)部網(wǎng)絡(luò)增加了一道安全防線，同時(shí)它提供了一個(gè)區(qū)域放置公共服務(wù)器，從而又能有效地避免一些互聯(lián)應(yīng)用需要公開，而與內(nèi)部安全策略相矛盾的情況發(fā)生。在DMZ區(qū)域中通常放置公共服務(wù)器等一些公共設(shè)施。簡(jiǎn)單來說DMZ區(qū)是一個(gè)不同于LAN的另外一個(gè)區(qū)域，但位于防火墻之上，不受防火墻限制。