Прежде чем добавить подключенное устройство, вам нужно его зарегистрировать. Зайдите в раздел «Список устройств», там вы увидите два списка: «Незарегистрированные» и «Зарегистрированные» устройства. Для регистрации устройства нажмите по нужному аппарату.
Сегментация сети для самых маленьких
Цель статьи: показать базовый подход к сегментации сети компании при разработке новых либо модернизации текущих автоматизированных систем.
Начнем рассмотрение принципов межсетевого экранирования и сегментации сети со следующей схемы:
Пограничный маршрутизатор — соединяет нашу корпоративную сеть с пограничным межсетевым экраном, фильтрует трафик по ACL на 3-м уровне модели OSI;
Межсетевой экран — защищает сеть на 4-м уровне модели OSI, «терминирует» соединения;
Балансировщик нагрузки — ПО, выполняющее распределение нагрузки между веб серверами, расшифрование HTTPS трафика;
Веб сервер — первичный сервер реализующий обработку входящих запросов.
Зона (зона безопасности) — набор сегментов сети содержащих серверы одного назначения, например, сегменты содержащие только базы данных, или сегменты содержащие только персональные рабочие станции, и т.д.
DMZ — сегмент сети, предназначенный для размещения сетевых устройств взаимодействующих с внешними сетями, в частности с сетью интернет.
Логическая схема одноуровневой сети:
Первый уровень
На картинке стрелка означает наличие сетевого доступа с IP адресом источника от того сетевого устройства от которого стрелка отходит, и с IP адресом назначения того сетевого устройства к которому стрелка направлена. Двухсторонняя стрелка соответственно будет означать наличие двух правил межсетевого экранирования в таблице правил межсетевого экранирования.
Давайте посмотрим как будут выглядеть правила межсетевого экранирования при прохождении обоих межсетевых экранов уровня сети:
Правила межсетевого экранирования
Где HTTP — это транспортный протокол TCP и порт стандартный — 80-й.
Как видим правила 2, правила могут быть как и идентичными, так и более широкими у того межсетевого экрана из-за которого трафик выходит, а более точечными за межсетевым экраном который трафик принимает. Так проще писать правила на межсетевом экране из-за которого трафик выходит, достаточно написать одно правило и если серверов много, то множество дублирующих правил писать не потребуется. То есть допустимы и такие правила:
Максимально широкие правила
Вот мы заодно рассмотрели и как понять какое правило межсетевого экранирования требуется написать.
С точки зрения практической безопасности, бОльшую роль играет тот факт, что балансировщик нагрузки и веб сервер — это те сетевые устройства, в которых наверняка почти сразу будут найдены уязвимости, а в случае нахождения уязвимостей удаленного выполнения кода (RCE) злоумышленник сможет получить высокие права в операционной системе. В таком случае если бы на сервере была база данных, то злоумышленник достаточно быстро смог бы до нее добраться.
Так же веб сервер выполняет первичную проверку данных на соответствие каким-то правилам и стандартам: как внутренним так и общеизвестным, например, XML проверяются по DTD , а сами полезные данные, на соответствие форматам данным, например, проверка того, что в поле для чисел пользователь вписал действительно числа, а не только символы.
Сегмент приложений (APP, уровень II)
После первичной проверки, данные можно передавать веб приложению, выполняющее основную логику сервиса и размещенное на отдельном сервере:
Второй уровень сети
Схема для удобства упрощена до 3-х серверов:
Сервер с балансировщиком нагрузки;
Обратим внимание на пунктирную линию, она показывает следующее: все что за демилитаризованной зоной, является милитаризованной зоной, защищаемой другим межсетевым экраном. Отдельный межсетевой экран важен по следующей причине: если из сети интернет будет перегружен пограничный межсетевой экран, то вся сеть перестанет работать, он не сможет пропускать через себя трафик сегментов второго уровня. Если у нас 2 межсетевых экрана, то внутреннее взаимодействие при отказе пограничного межсетевого экрана сохранится:
Последствия DDoS пограничного МЭ
Чтобы больше понять что же такое сегмент, а что такое зона, усложним схему: представим, что наша компания разрешает аутентификацию пользователей через внешнего провайдера аутентификации, пускай это будет Единая система идентификации и аутентификации (ЕСИА). В таком случае? у нас появляется еще один сервис помимо того, что у нас уже имеется — сервис аутентификации:
Усложненная схема
Как видим, пунктирный прямоугольник логически объединяет все сетевые сегменты уровня 2 — сегменты приложений, в данном примере в каждом из сегментов по одному серверу.
В демилитаризованной зоне у нас так же 2 сетевых сегмента, в исходном размещено 2 сервера, в новом — 1.
Давайте вернемся к упрощенной схеме с одним сервисом. Давайте взглянем на наше монолитное приложение с огромным количеством строк кода в разрезе сервера:
Монолитная архитектура
Мы видим, что на серверах могут быть размещены какие-то файлы необходимые для работы приложений, могут быть запущены сами приложения. Давайте представим, что у нас не одно монолитное приложение, а множество маленьких приложений и все они вместе решают всё ту же задачу, только размещены на разных серверах:
Микросервисная архитектура
Теперь у изначального сервиса может в единственном сетевом сегменте приложений быть уже N серверов.
Мы можем разрабатывать наши сервисы так:
Один DMZ только для входящих соединений из внешних сетей;
Другой DMZ только для исходящих соединений.
Такая хитрость позволит уменьшить возможные векторы атаки на нашу базу данных, но увеличит количество серверов и правил межсетевого экранирования:
Учитывая открытость компьютера, метод считается довольно опасным, поэтому стоит использовать его, когда другие методы переадресации не дают нужного результата.
Что такое DMZ в роутере
Аббревиатура DMZ расшифровывается как DeMilitarized Zone, то есть «Демилитаризованная зона». Неожиданно и непонятно какое это отношение имеет к роутеру. Однако на самом деле это очень полезная в ряде случаев вещь. Об этом и пойдёт речь в данной статье.
DMZ – это сегмент сети, создаваемый для сервисов и программ, которым требуется прямой доступ в интернет. Прямой доступ необходим для торрентов, мессенджеров, онлайн-игр, некоторых других программ. А также без него не обойтись, если вы хотите установить камеру видеонаблюдения и иметь к ней доступ через интернет.
Если компьютер, на котором запущена программа, подключается к интернету напрямую, минуя роутер, то необходимости использовать DMZ нет. Но если подключение осуществляется через роутер, то «достучаться» до программы из интернета не получится, потому что все запросы будут получены роутером и не переправлены внутрь локальной сети.
Для решения этой проблемы обычно используют проброс портов на роутере. Об этом на нашем сайте есть отдельная статья. Однако это не всегда удобно и кто-то предпочитает настраивать DMZ. Если вы настроите DMZ на вашем роутере и добавите в неё нужный узел сети, например, ПК, на котором запущен игровой сервер или видеорегистратор, к которому подключена IP-камера, этот узел будет виден из внешней сети так, как будто он подключен к интернету напрямую. Для остальных устройств вашей сети ничего не изменится – они будут работать так же, как и до этого.
Следует внимательно относиться к этим всем настройкам. Так как и проброс портов и DMZ — это потенциальная дыра в безопасности. Для повышения безопасности в крупных компаниях зачастую создают отдельную сеть для DMZ. Для того, чтобы закрыть доступ из сети DMZ к другим компьютерам, используют дополнительный маршрутизатор.
Настройка DMZ на роутере
Роутеры позволяют добавить в DMZ только одно устройство. Роутер должен получать «белый» IP-адрес. Только в этом случае будет возможен доступ к нему из глобальной сети. Информацию об этом можно получить у вашего интернет провайдера. Некоторые провайдеры бесплатно выдают внешний IP-адрес, но зачастую за эту услугу требуется дополнительная плата.
Установка статического IP-адреса
Добавить в DMZ можно только компьютер, имеющий статический IP-адрес. Поэтому первым делом меняем его. Для этого открываем свойства сетевого подключения и в настройках TCP/IP прописываем статический IP-адрес в диапазоне адресов вашей сети. Например, если у вашего роутера IP 192.168.0.1, то для компьютера можно указать 192.168.0.10. Маска подсети стандартная – 255.255.255.0. А в поле «Шлюз» нужно указать адрес вашего роутера.
Следует обратить внимание, что IP-адрес, заданный компьютеру не должен быть в диапазоне адресов, раздаваемых DHCP сервером.
На этом настройка компьютера завершена и можно переходить к настройкам роутера.
Настройка роутера
Первым делом DMZ на роутере нужно включить, поскольку по умолчанию она всегда отключена.
Находим соответствующий пункт меню в веб-интерфейсе устройства:
- На роутерах Asus нужная вкладка так и называется – DMZ.
- На роутерах TP-Link откройте пункт «Переадресация», а в нём будет подпункт DMZ.
- У D-Link ищите пункт «Межсетевой экран».
В любом случае на вкладке настроек нужно поставить галочку в поле «Включить». А рядом найти поле, которое называется «Адрес узла DMZ» или «Адрес видимой станции» (в зависимости от модели роутера могут быть другие варианты). В это поле вписываем статический адрес компьютера или другого устройства, которое нужно добавить в DMZ. В нашем случае это 192.168.0.10.
Сохраните настройки и перезапустите роутер. На этом всё: все порты на выбранном ПК открыты. Любая программа, которая использует входящие подключения, будет думать, что выходит в сеть напрямую. Все остальные программы будут работать в штатном режиме.
Ниже приведен пример настройки маршрутизатора с англоязычным интерфейсом.
Создание DMZ удобный способ упростить работу нужных программ, однако следует иметь в виду, что открытый доступ к ПК повышает риски сетевых атак и заражения вирусами.
Поэтому на устройстве, используемом в качестве узла DMZ, нужно обязательно установить файервол и антивирусную программу.
Аббревиатура DMZ расшифровывается как DeMilitarized Zone, то есть «Демилитаризованная зона». Неожиданно и непонятно какое это отношение имеет к роутеру. Однако на самом деле это очень полезная в ряде случаев вещь. Об этом и пойдёт речь в данной статье.
TP-Link
Функция находится в разделе «Переадресация».
«Дополнительные настройки» – «NAT переадресация» – находим функцию, включаем, вводим IP адрес устройства и сохраняем параметры.
D-Link
Внизу выбираем «Расширенные настройки» и находим нашу функцию в разделе «Межсетевого экрана».
Сервис находим в разделе «Межсетевой экран».
Включаем функцию и вводим адрес устройства. Вы кстати можете выбрать адрес из списка, уже подключенных. В конце нажмите «Применить». В некоторых моделях вы можете увидеть функцию «NAT Loopback» – эту функция, которая позволяет проверять пакеты, уходящие из локальной сети во внешнюю (интернет) с помощью межсетевого экрана. Если у вас слабый аппарат, то включать её не стоит, так как она сильно нагружает процессор роутера.
Мы видим, что на серверах могут быть размещены какие-то файлы необходимые для работы приложений, могут быть запущены сами приложения. Давайте представим, что у нас не одно монолитное приложение, а множество маленьких приложений и все они вместе решают всё ту же задачу, только размещены на разных серверах:
Как настроить функцию
Настройка «демилитаризованной зоны» вашей сети – очень простая задача. Главный пункт инструкции – найти DMZ в роутере. Всё остальное выполняется в несколько кликов.
- Перейдите в веб-панель маршрутизатора. Для этого введите в адресной строке браузера 192.168.1.1 или 192.168.0.1.
- Введите логин и пароль. Обычно это «труднозапоминаемое» сочетание «admin» и «admin», которое я рекомендовал бы сменить. Возможны и другие варианты – проверьте наклейку на дне роутера. Там может быть указан другой логин и пароль.
- Теперь найдите пункт «DMZ». Например, для устройств Asus перейдите в «Интернет» и затем выберите нужный пункт. В роутерах TP-Link – пункт «Перенаправление» и подпункт «DMZ». В девайсах D-Link – «Расширенные» (Advanced) либо «Межсетевой экран».
- Разрешите использование DMZ, выбрав «Enabled» или «Включить».
- Введите IP-адрес устройства.
- Сохраните изменения и перезагрузите роутер.
Дополнительные нюансы настройки DMZ
Итак, теперь вы можете получить доступ к девайсу, например камере наблюдения, извне. Но как это сделать? Тут возникают дополнительные нюансы:
Нюанс 1 . У маршрутизатора должен быть внешний IP-адрес, к которому можно обратиться. Он называется «белый адрес». Это зависит от вашего провайдера. Некоторые предоставляют его сразу, другие – за дополнительную плату. Выяснить этот адрес можно у провайдера, либо он может быть указан на той же наклейке снизу девайса.
Нюанс 2 . Если вы добавляете в «демилитаризованную зону» компьютер, то у него должен быть статический IP-адрес, который вы и пропишете в описанной выше инструкции. Поэтому сначала назначьте ему постоянный адрес:
- Пропишите статический IP-адрес, который не пересекается с динамично назначаемыми адресами.
- Проверить, какие адреса назначаются динамически, можно на вкладке «Настройка DHCP» в интерфейсе роутера.
- Например, если адрес маршрутизатора – 192.168.0.1, а диапазон DHCP начинается от 192.168.0.100, то для компьютера можно указать 192.168.0.25. В поле «Шлюз» необходимо отметить адрес маршрутизатора.
Нюанс 3 . В некоторых моделях роутеров нужно отключить опцию «Virtual Servers». Одновременно они работать не будут.
Теперь вы знаете всю информацию о DMZ. Если вы сделаете всё грамотно, то получите очень удобный инструментарий. Таким образом можно подключить небольшой сервер, даже разместить тестовый сайт. Помните о безопасности и используйте эту опцию «с умом», не открывая доступ к важному оборудованию.
Обычный роутер может вас удивить, и в этой статье речь как раз об одной из таких функций. Я расскажу о нестандартном разделе в настройках: DMZ что это в роутере и как его настроить.
В каких случаях используется DMZ
Учитывая открытость компьютера, метод считается довольно опасным, поэтому стоит использовать его, когда другие методы переадресации не дают нужного результата.
-
Для работы приложений, требующих открытие всех доступных портов. Таковых мало, но они встречаются.
Команда netstat -a позволяет узнать, какие порты (подключения) являются открытыми
Настройка DMZ в роутере
Чтобы DMZ успешно работал в вашей сети, настройка маршрутизатора должна быть выполнена корректно. Это абсолютно не сложно. Войдите в установки через веб-интерфейс. Обычно IP-адрес, логин и пароль входа указывают на самом роутере или в его инструкции. Следующий алгоритм и рекомендации представляют собой общий принцип действия.
- В зависимости от производителя, этот раздел может находиться либо во вкладке «Настройка интернета», либо «Переадресация».
- Первым делом в установках DHCP-сервера нужно присвоить статичный адрес устройству, на котором будет организован сервер;
- После этого во вкладке DMZ активируйте пункт «Включить» и добавьте присвоенный IP-адрес, сохраните и перезагрузите устройство;
- Побеспокойтесь о том, чтобы на всех устройствах сети были установлены актуальные обновления безопасности, так как, несмотря на удобство, они подвержены дополнительному риску.
- Для внешнего доступа у вас должен быть «белый» IP адрес.
Далее в статье мы представляем более подробное руководство для различных моделей, чтобы окончательно развеять любые вопросы по точной наладке данной опции.
TP-Link
В старой версии прошивки эта функция расположена в разделе «Переадресация», который можно открыть на контрольной панели слева. Чтобы произвести активацию, установите флажок напротив соответствующей строчки «Включить». После этого не забудьте сохранить изменения.
В новой версии перейдите во пути «Дополнительные настройки» → «NAT переадресация» → «DMZ». Затем включите её, введите IP адрес устройства и сохраните.
D-Link
Нужную нам опцию можно найти в категории «Межсетевой экран». В светлой версии она находится в левой области рабочего окна, а для темной нужно предварительно выполнить переход в «Расширенные настройки».
После чего производим включение функции, вводим IP-адрес (или выбираем из готового списка) и нажимаем на «Применить».
Важно! Владельцы некоторых моделей могут увидеть параметр «NAT Loopback», предоставляющий возможность проверять пакеты, которые отправляются из локальной сети во внешнюю. Не рекомендуем применять, если у вас слабый ПК, так как во время его работы происходит существенная нагрузка на процессор.
Слева выбираем раздел «Интернет», а далее вкладку «DMZ». Активируем функцию, заполняем «IP адрес видимой станции» и щёлкаем на «Применить».
Zyxel Keenetic
Новая прошивка. В первую очередь устройство следует зарегистрировать. Для этого перейдите в «Список устройств» и кликните по нужному аппарату. В следующем окне введите имя и подтвердите регистрацию. После этих манипуляций ваше устройство появится в перечне зарегистрированных, снова найдите его и откройте настройки. В открывшемся диалоге установите флажок напротив строки «Постоянный IP-адрес». Далее перейдите в «Переадресацию» и создайте новое правило со следующими параметрами:
