DMZ

#informatik/netzwerk/firewall #informatik/sicherheit/it-sicherheit

Demilitarisierte Zone

Ein Sicherheitsbereich in einem Netzwerk, der es ermöglicht, dass bestimmte Dienste von außen erreichbar sind, ohne das interne Netzwerk zu gefährden.

Es liegt zwischen dem internen Netzwerk (LAN) un dem Internet.
Es ist ein separates Subnetz, das durch zwei Firewalls geschützt ist.

Firewall-Router A: Erlaubt Verbindungen aus dem Internet zum Server in der DMZ, blockiert aber andere nicht angeforderte Verbindungen.

Firewall-Router B: Erlaubt nur Verbindungen, die aus der DMZ zum LAN angefordert wurden, und blockiert unautorisierte Zugriffe.

Important

Falls ein Angreifer in die DMZ gelangt, wird er durch die zweite Firewall daran gehindert, ins interne LAN einzudringen.

Die zwei klassischen Aufbauten:

Screened Host Firewall: Firewall auf einem gehärteten Host, vom Router abgeschirmt → 2 Schichten, aber keine echte DMZ.
Screened Subnet Firewall: Firewall beidseitig von Routern abgeschirmt → höchste Sicherheit, bildet die DMZ (genau das Bild oben).

Security-Level-Regel (jede Zone bekommt eine Stufe, z.B. 1–100):

Von → Nach	Entscheidung
Hoch → Niedrig	PERMIT (innen darf raus)
Niedrig → Hoch	DENY (außen darf nicht rein)
gleiches Level	DENY