何謂 DMZ ? 可以看看以下兩篇文章：
DMZ 最大的目的就是要將公開提供服務的主機與內部網段隔離，即使公開主機被入侵或是中毒，也不會影響到內部網路。
在 Untangle 中，要進行 DMZ 的設定，必須在 Network 選項中開啟 Advanced Mode，並進入 Interface 中進行設定。
在 DMZ 的設定中，有三種不同的 Config Type，分別為 static、dynamic、bridge，分別說明如下：
static
若是 public IP 數量不足，沒有辦法讓 DMZ 中的主機各自擁有 public IP 的話，那就必須要設定為 private IP。
若要處理 external –> DMZ 的網路流量，由於 untangle 對外僅有 external 介面，因此必須透過 port forwarding 的方式來進行設定。(若 public IP 足夠也可以用 IP alias 的方式來作)
再來就是 DMZ –> external 這一段，這裡需要設定 NAT policy，最簡單的設定方式為：
| Address and Netmask | Source Address |
| 0.0.0.0 / 0 | auto |
這樣設定代表網路封包怎麼過來，就怎麼回去，Untangle 在中間並沒有做什麼額外的篩選動作。
其中 Address & Netmask 的部份，是設定在 DMZ 中需要將網路封包進行 NAT 動作的主機；Source Address 則是只要 NAT 到哪個 external interface，因此這邊設定的是 external interface 的 IP address。(如果只有一個 external interface，直接設定 auto 即可)
因此若是在 DMZ 中有台主機 IP 為 192.168.1.1/24，特別指定要 NAT 到 IP 為 61.61.61.61 的 IP，可以使用以下設定：
| Address and Netmask | Source Address |
| 192.168.1.1 / 24 | 61.61.61.61 |
最後 firewall 的部份就必須要針對要開放的服務進行設定，可透過 Packet Filter 或是 Firewall service 進行設定。
dynamic
還搞不清楚這要如何設定……有空再來補…
bridge
以下是官方網站對 bridge 選項的說明：
If selected, bridges any two interfaces. A common use is when you want to bridge the Untangle Server's DMZ interface to the Untangle Server's external interface. It's not uncommon for the DMZ to have an internal IP address; in fact, the main reason you might want to bridge the DMZ to the External is so that you don't need to assign the DMZ its own external IP addresses.
若是在 DMZ 中的 server 都各自擁有自己的 public ip(也就是跟 Untangle server 的 external interface 擁有同網段的 IP address)，而管理者也希望可以讓外面的連線直接透過 server 的 ip 進行連線，就可以設定為 bridge mode，以下是其他設定：
- Bridge To: External (static)
- Ethernet Media: Auto
設定完後，只要 firewall 的部份設定無誤(External 與 Internal 的 source 與 port；若是沒有設定，就是直接讓網路封包通過)，就可以通啦!
基本上，針對需要開放的對外服務來設定防火牆的規則，不要全部開放，才是比較安全的作法。
參考資料
沒有留言:
張貼留言