Проектирование сети DMZ

Reply to Проектирование сети DMZ on Fri, 27 Feb 2026 23:41:45 GMT

amojarra — Fri, 27 Feb 2026 23:41:45 GMT

Привет
[, @adamgibs7] Как упомянул Милош, у нас нет P3 (M1: управление, P1 и P2: порт данных, T1 и T2: интерфейс Tap, которые не используются для проксирования данных). Как вы наверняка знаете, дизайн не может быть универсальным, и есть несколько элементов, которые имеют решающее значение для принятия решений. Лучше всего определить путь между клиентом и Интернетом, а затем приступить к размещению WSA. Кроме того, если вы планируете использовать прозрачный прокси или IP-спуфинг, лучше всего использовать как P1, так и P2. Что касается пути, о котором вы упомянули, я вижу внешний брандмауэр между клиентами и внутренним брандмауэром: внешний брандмауэр --- внутренний брандмауэр -- порт WSA P1 --- порт WSA-P2 --- Интернет Возможно, это выглядит так: Клиент --> внутренний брандмауэр --> внешний брандмауэр --> Интернет Если вышеуказанный путь правильный, вы можете разместить WSA за каждым из брандмауэров, в зависимости от структуры вашей сети. [1] Клиент --> WSA --> внутренний брандмауэр --> внешний брандмауэр --> Интернет [2] Клиент --> внутренний брандмауэр -->WSA --> внешний брандмауэр --> Интернет Лучше не допускать, чтобы WSA был открыт для публичного Интернета, в этом случае вы можете фильтровать некоторый нежелательный трафик (например, флуд...) с помощью брандмауэра. С уважением, Амирхоссейн Моджаррад +++++++++++++++++++++++++++++++++++++++++++++++++++ ++++ Если этот ответ оказался вам полезным, пожалуйста, оцените его ++++ +++++++++++++++++++++++++++++++++++++++++++++++++++ С уважением,
Амирхоссейн Моджаррад
+++++++++++++++++++++++++++++++++++++++++++++++++++
++++ Если этот ответ оказался вам полезным, пожалуйста, оцените его ++++
+++++++++++++++++++++++++++++++++++++++++++++++++++

Reply to Проектирование сети DMZ on Fri, 27 Feb 2026 23:41:44 GMT

Milos_Jovanovic — Fri, 27 Feb 2026 23:41:44 GMT

Привет,
@adamgibs7
, На WSA нет порта P3. Ознакомьтесь с
этим руководством
, и вы поймете, как устроены порты. То, что вам кажется P3, на самом деле может быть T1, который не совпадает с P1. Лично я не вижу никаких значительных скачков (просто представьте, через сколько разных точек проходит ваш трафик через Интернет), и это вполне стандартная настройка. Вы не можете иметь порт WSA в каждой зоне, так как это просто не имеет смысла. Однако, если вас это все еще беспокоит, вы всегда можете запустить другой WSAv в другой зоне и использовать его для определенного трафика. С уважением, Милош

Reply to Проектирование сети DMZ on Fri, 27 Feb 2026 23:41:43 GMT

adamgibs7 — Fri, 27 Feb 2026 23:41:43 GMT

Уважаемые коллеги, спасибо Серверы, которые находятся в DMZ и которым необходимо выйти в Интернет, чтобы отправить трафик на явный IP-адрес прокси, который является IP-адресом порта P1, должны маршрутизировать трафик из внешнего брандмауэра --- внутреннего брандмауэра -- WSA P1 порт ---- WSA-P2 порт --- Интернет, что занимает много времени и возвращается к прокси, вместо того, чтобы сделать следующее: если я подключу порт P3 от прокси к внешнему брандмауэру, и это будет явный IP-адрес прокси для сервера DMZ, будет ли это иметь смысл? Прошу ответить, жду совета экспертов. Спасибо.

Reply to Проектирование сети DMZ on Fri, 27 Feb 2026 23:41:42 GMT

amojarra — Fri, 27 Feb 2026 23:41:42 GMT

Я также согласен с Милосом не будет необходимости в дополнительном брандмауэре между WSA и клиентами, Порт P1 Шлюз по умолчанию — это внутренний брандмауэр, подключенный через основной коммутатор... Таким образом, в данном случае у вас будет: Клиент > Основной коммутатор > Внутренний брандмауэр > Основной коммутатор > WSA > Внешний брандмауэр > ISP а для сценария 2 (поправьте меня, если я ошибаюсь): Клиент > Основной коммутатор > Внутренний брандмауэр > Внешний брандмауэр > WSA > Внешний брандмауэр > ISP Обратите внимание, что большая часть вашего трафика будет HTTPS, поэтому WSA может расшифровать и заново зашифровать его, чтобы брандмауэры не имели большого доступа к вашему HTTPS-трафику. С уважением, Амирхоссейн Моджаррад +++++++++++++++++++++++++++++++++++++++++++++++++++ ++++ Если этот ответ оказался полезным, пожалуйста, оцените его ++++ +++++++++++++++++++++++++++++++++++++++++++++++++++ С уважением,
Амирхоссейн Моджаррад
+++++++++++++++++++++++++++++++++++++++++++++++++++
++++ Если этот ответ оказался вам полезным, пожалуйста, оцените его ++++
+++++++++++++++++++++++++++++++++++++++++++++++++++

Reply to Проектирование сети DMZ on Fri, 27 Feb 2026 23:41:41 GMT

Milos_Jovanovic — Fri, 27 Feb 2026 23:41:41 GMT

Привет,
@adamgibs7
, Я бы выбрал вариант № 1. Учитывая, что этот трафик является исходящим, я не вижу дополнительных преимуществ в прохождении этого трафика через несколько брандмауэров. С моей точки зрения, достаточно одного брандмауэра, расположенного перед интерфейсом P2. В вашем случае, учитывая, что внутренний FW является шлюзом по умолчанию для сегмента пользователей, мне кажется неизбежным прохождение через внутренний, а затем внешний FW, но я бы на этом остановился. Передача трафика через внутренний, а затем два внешних FW мне кажется ненужной. С уважением, Милош