DMZ nedir ve tipik bir DMZ mimarisi nasıl tasarlanır?

DMZ (Demilitarized Zone), internetten erişilmesi gereken sunucuların (web, mail relay, DNS, reverse proxy, VPN gateway) iç ağdan ayrı bir güvenlik bölgesinde tutulmasıdır. Amaç: dışa açık bir sunucu ele geçirilirse saldırganın iç ağa doğrudan ulaşamaması.

Mimari seçenekleri

• Tek firewall, üç bacak (three-legged): Firewall'un outside, inside ve DMZ arayüzleri vardır. Ucuz ve yaygındır; tek cihaz kritik nokta olur.
• Çift firewall (back-to-back): Dış firewall internet ile DMZ arasında, iç firewall DMZ ile LAN arasında. Farklı üreticiler seçilirse tek bir zafiyet iki katmanı birden aşamaz.

Tipik trafik politikası

İyi pratikler

• DMZ sunucularını hardening ile küçültmek, gereksiz servisleri kapatmak.
• Veritabanını DMZ'de değil, iç ağda veya ayrı bir data zone'da tutmak.
• Mümkünse reverse proxy / WAF önde, uygulama sunucusu arkada olacak şekilde katmanlamak.
• DMZ'deki sunucuları birbirinden de izole etmek (private VLAN veya mikro-segmentasyon).
• DMZ içi tüm trafiği loglamak ve IDS/IPS ile izlemek.
• Static NAT veya port forwarding'i yalnızca DMZ adreslerine yapmak.

Bulutta DMZ karşılığı: public subnet (load balancer, bastion) ve private subnet (uygulama, veritabanı) ayrımı, Security Group'lar ile katman bazlı erişim.