DMZ, или демилитаризованная зона, это отдельный сегмент сети между интернетом и внутренней сетью. В нём стоят серверы, к которым должны заходить снаружи: сайт, почта, DNS. Если такой сервер взломают, злоумышленник окажется в DMZ, а до бухгалтерии и файлового хранилища его не пустит межсетевой экран.
В домашнем роутере пункт «DMZ» означает другое: всё, что приходит из интернета, роутер отправляет на один выбранный компьютер или приставку. Ниже разберём оба смысла и покажем, как включить DMZ в роутере TP-Link, ASUS и Keenetic. Если с сетями вы только знакомитесь, сначала пригодится разбор модели OSI.
CheckroiПодборка курсов по информационной безопасности187 курсов • 35 школСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→
Что такое DMZ простыми словами
Термин взят у военных: так называют полосу между двумя сторонами, где нет армий. В сетях смысл похожий. Американский институт стандартов NIST в глоссарии описывает DMZ как сегмент периметра, который логически стоит между внутренней и внешней сетью.
Компания делит свои машины на три зоны с разным уровнем доверия:
| Зона | Что в ней | Кто может зайти |
|---|---|---|
| Интернет | все остальные | кто угодно |
| DMZ | веб-сервер, почтовый шлюз, DNS, обратный прокси | посетители из интернета, но только на нужные порты |
| Внутренняя сеть | рабочие компьютеры, базы, файловые серверы, 1С | сотрудники; из DMZ только по отдельным правилам |
Главное правило DMZ: из интернета можно попасть в DMZ, из DMZ во внутреннюю сеть по умолчанию нельзя. Сервер в зоне считают заранее скомпрометированным: он смотрит наружу и первым принимает атаки.
Как устроена DMZ в корпоративной сети
Разделение делает межсетевой экран. Как он работает и чем современный отличается от старого, мы разбирали в статье про NGFW. Схем две.
Один межсетевой экран с тремя интерфейсами
К экрану подключают три сети: провайдера, DMZ и внутреннюю. Для каждого направления пишут свои правила. Например:
- Из интернета в DMZ разрешены порты 80 и 443 до веб-сервера и 25 до почтового шлюза.
- Из DMZ во внутреннюю сеть разрешено одно соединение: веб-сервер ходит в базу на порт 5432.
- Из интернета во внутреннюю сеть запрещено всё.
Схема дешёвая, но у неё одна точка отказа: ошибка в правилах единственного экрана открывает сразу всё.
Два межсетевых экрана
Внешний экран стоит между интернетом и DMZ, внутренний стоит между DMZ и офисной сетью. Чтобы добраться до баз, атакующему придётся пройти оба. Иногда ставят экраны разных производителей, чтобы уязвимость в прошивке одного не открыла и второй. Дороже, зато надёжнее.
Порты в правилах выше стандартные для HTTP, HTTPS, SMTP и PostgreSQL, подробнее о них в разборе сетевых протоколов. Писать такие правила руками учат на курсах сетевого администрирования.
Канал основателя Checkroi Вани Буявца3 700 человек читают мой Телеграм-канал про нейросетиСобрал промпты для Claude Code и ChatGPT, разборы ИИ-инструментов и лайфхаки по продвижению бизнеса в одном местеПрисоединитьсяDMZ в роутере: что это на самом деле
В домашнем роутере отдельного сегмента нет. Пункт «DMZ» включает так называемый DMZ-хост: роутер пересылает на одно устройство всё входящее, для чего нет других правил. TP-Link в справке о DMZ-хосте прямо пишет, что строго говоря это не настоящая DMZ.
DMZ-хост это не сегмент DMZ, т.к. хост с открытыми портами не изолируется от внутренней сети и не защищен встроенными средствами безопасности.
справка Keenetic
Выходит, что устройство в режиме DMZ-хоста открыто из интернета целиком, а остальные домашние компьютеры остаются с ним в одной сети. Зачем такое включают:
- онлайн-игра не пускает в команду или лобби из-за закрытых портов (такой пример приводит справка производителя);
- IP-камера, видеорегистратор или домашний сервер должны открываться из интернета;
- программа использует порты, которые заранее неизвестны, и пробросить их по одному не выходит.
Как включить DMZ в роутере: пошаговая инструкция
У всех производителей порядок одинаковый, отличаются только названия пунктов.
- Закрепите за устройством постоянный IP-адрес. Иначе после перезагрузки роутер выдаст ему другой адрес, и DMZ будет указывать на чужой или пустой адрес. У ASUS это «LAN» → «DHCP Server» → «Включить ручное назначение», у Keenetic это страница «Список клиентов» и опция «Постоянный IP-адрес».
- Зайдите в веб-интерфейс роутера. Адрес обычно напечатан на наклейке снизу, например 192.168.0.1.
- Найдите раздел DMZ по таблице ниже и включите его.
- Впишите локальный IP-адрес устройства из шага 1, например 192.168.0.100.
- Сохраните настройки. После этого перезагрузите роутер, если он не сделал это сам.
| Роутер | Где включается | Справка |
|---|---|---|
| TP-Link | Advanced → NAT Forwarding (или Forwarding) → DMZ, галочка Enable, поле DMZ Host IP Address | справка TP-Link |
| ASUS | WAN → DMZ → «Включить DMZ», затем «Применить» | справка ASUS |
| Keenetic | отдельного пункта нет: «Переадресация портов» → правило с протоколом «TCP/UDP (все порты) и ICMP», в поле «Вход» выбрать подключение к провайдеру | справка Keenetic |
Пункты TP-Link мы привели так, как они названы в справке, на английском. В прошивке с русским интерфейсом названия могут быть переведены, а на роутерах, которые выдаёт провайдер, меню бывает перестроено. Тогда ищите DMZ в разделе с NAT или переадресацией.
DMZ или проброс портов: что выбрать
Проброс открывает конкретные порты на конкретное устройство. DMZ открывает всё сразу. Разница в безопасности большая. Что такое порт и какие номера заняты стандартными службами, мы разбирали в статье про сетевые порты TCP и UDP.
| Проброс портов | DMZ-хост | |
|---|---|---|
| Что открыто | только указанные порты | все порты, кроме уже проброшенных на другие устройства |
| Нужно знать номера портов | да | нет |
| Риск для устройства | ниже: доступна одна служба | выше: доступно всё, что на нём запущено |
| Сколько устройств | сколько угодно | обычно одно |
Keenetic в справке называет DMZ-хост частным случаем и советует открывать только те порты и протоколы, которые нужны серверу. Мы согласны: DMZ стоит включать, когда список портов найти не удалось, и выключать, как только задача решена.
Частые ошибки и что с ними делать
- Включили DMZ, а снаружи устройство не открывается. Первым делом проверьте адрес роутера: если провайдер выдал «серый» IP, входящие соединения до него не доходят. В справке одного из производителей сказано, что переадресация работает только с «белым» публичным IP. Решение: заказать у провайдера белый IP.
- Через день всё перестало работать. Устройство получило от роутера новый адрес, а DMZ смотрит на старый. Решение: закрепить постоянный IP, шаг 1 инструкции.
- Два роутера подряд. Если интернет приходит через роутер провайдера, а за ним стоит ваш, DMZ на вашем ничего не даст. На роутере провайдера укажите в DMZ адрес своего роутера, а на своём укажите адрес нужного устройства.
- В DMZ поставили рабочий ноутбук. Все его службы видны из интернета: общие папки, удалённый рабочий стол. ASUS предупреждает, что открытие всех портов делает сеть уязвимой для внешних атак. Решение: ставить в DMZ отдельное устройство без личных данных и с обновлённой системой.
- Забыли выключить. Игра давно пройдена, а приставка или компьютер так и остаются открытыми из интернета. Справка одного из производителей советует отключать DMZ, когда она не используется.
Канал основателя Checkroi Вани БуявцаЗабирайте промпты и обучение по нейросетям в моём Телеграм-каналеБольше 3 700 человек уже применяют Claude Code, ChatGPT и другие нейросети в работе, учёбе, бизнесе и жизниПерейти в каналГде освоить сетевую безопасность системно
Включить DMZ в роутере можно за пять минут. Спроектировать периметр компании с двумя экранами, правилами и журналами — уже работа сетевого инженера или специалиста по кибербезопасности. Тем, кто хочет в эту сторону, пригодится план из статьи как стать сетевым инженером и курсы по информационной безопасности:
| Курс | Школа | Стоимость со скидкой | В рассрочку | Длительность | Обзор курса от Checkroi |
|---|---|---|---|---|---|
| ДО Профессия Специалист по кибербезопасности 2.0 Перейти на сайт курса |  GeekBrains | 141 563 ₽ | 3933 ₽/мес. | 12 месяцев | Обзор курса |
| Кибербезопасность Перейти на сайт курса |  Нетология | 200 000 ₽ | - | 24 месяца | Обзор курса |
| Специалист по кибербезопасности Перейти на сайт курса |  Эдюсон | 145 900 ₽ | 6079 ₽/мес. | 5 месяцев | Обзор курса |
| Онлайн-магистратура МИФИ "Информационная безопасность" Перейти на сайт курса |  SkillFactory | 225 000 ₽ | - | 24 месяца | Обзор курса |
| Магистратура «Кибербезопасность» с НИУ ВШЭ Перейти на сайт курса | Нетология | 310 000 ₽ | - | 23 месяца | Обзор курса |
Больше программ — в полном каталоге курсов по информационной безопасности
