नेटवर्क सिक्योरिटी में DMZ (डीमिलिटराइज्ड जोन) क्या है?

DMZ (डीमिलिटराइज्ड जोन) - नेटवर्क सुरक्षा का बफर जोन

DMZ (Demilitarized Zone) एक भौतिक या तार्किक सबनेटवर्क है जो संगठन के आंतरिक विश्वसनीय नेटवर्क (LAN) को अविश्वसनीय बाहरी नेटवर्क (इंटरनेट) से अलग करता है। सार्वजनिक-सामना करने वाली सेवाओं को DMZ में रखा जाता है ताकि आंतरिक नेटवर्क सीधे उजागर न हो।

DMZ आर्किटेक्चर

सिंगल फायरवॉल (थ्री-लेग्ड) - छोटे संगठनों के लिए

इंटरनेट
    |
[फायरवॉल] -- DMZ (वेब सर्वर, मेल सर्वर, DNS)
    |
   LAN (आंतरिक नेटवर्क)

फायरवॉल में 3 इंटरफेस: WAN, DMZ, LAN। DMZ और LAN के बीच ट्रैफिक नियंत्रित होता है।

डुअल फायरवॉल (अधिक सुरक्षित) - एंटरप्राइज मानक

इंटरनेट
    |
[बाहरी फायरवॉल] -- DMZ (सार्वजनिक सेवाएं)
    |
[आंतरिक फायरवॉल] -- LAN (संवेदनशील संसाधन)

• बाहरी फायरवॉल: इंटरनेट से DMZ ट्रैफिक नियंत्रित करता है (केवल आवश्यक पोर्ट खुले)।
• आंतरिक फायरवॉल: DMZ से LAN ट्रैफिक सख्ती से नियंत्रित करता है (डिफॉल्ट डेनी)।
• लाभ: दो सुरक्षा परतें, लोड बैलेंसिंग, DoS से आंतरिक फायरवॉल सुरक्षित।

DMZ में क्या रखा जाए

• वेब सर्वर (HTTP/HTTPS)
• ईमेल सर्वर (SMTP/IMAP/POP3 - मेल गेटवे)
• DNS सर्वर (सार्वजनिक)
• FTP/SFTP सर्वर
• प्रॉक्सी सर्वर
• VPN गेटवे / रिमोट एक्सेस सर्वर
• VoIP गेटवे
• पब्लिक API एंडपॉइंट

DMZ में क्या नहीं रखा जाए

• डेटाबेस सर्वर (डेटा DMZ में न रखें - बैकएंड LAN में रखें)
• एक्टिव डायरेक्टरी / डोमेन कंट्रोलर
• फाइल सर्वर, एप्लिकेशन सर्वर (आंतरिक)
• बैकअप सर्वर
• प्रबंधन इंटरफेस (आउट-ऑफ-बैंड प्रबंधन अलग नेटवर्क पर)

DMZ सुरक्षा सर्वोत्तम अभ्यास

1. न्यूनतम विशेषाधिकार: केवल आवश्यक पोर्ट/प्रोटोकॉल खोलें।
2. सर्वर हार्डनिंग: अनावश्यक सेवाएं बंद, पैच अपडेट, मजबूत प्रमाणीकरण।
3. आंतरिक फायरवॉल नियम: DMZ → LAN केवल विशिष्ट सर्वर/पोर्ट (उदाहरण: वेब सर्वर → ऐप सर्वर पोर्ट 8080)।
4. निगरानी: DMZ ट्रैफिक का पूर्ण लॉगिंग, IDS/IPS, फ्लो विश्लेषण।
5. भेद्यता प्रबंधन: नियमित स्कैन, त्वरित पैचिंग।
6. एप्लिकेशन लेयर सुरक्षा: WAF (वेब एप्लिकेशन फायरवॉल), API गेटवे।
7. नेटवर्क सेगमेंटेशन: DMZ के भीतर भी सेवाओं को अलग VLAN में रखें।

DMZ बनाम पोर्ट फॉरवर्डिंग

होम राउटर पर "DMZ होस्ट" फीचर

अधिकांश होम राउटर में "DMZ होस्ट" सेटिंग होती है जो एक डिवाइस के सभी पोर्ट इंटरनेट पर खोल देती है। यह सच्चा DMZ नहीं है - बस पोर्ट फॉरवर्डिंग का आलसी विकल्प। गेमिंग कंसोल के लिए कभी-कभी उपयोगी, लेकिन सुरक्षा जोखिम उच्च। उपयोग न करें जब तक बिल्कुल जरूरी न हो।

क्लाउड में DMZ (AWS/Azure/GCP)

• AWS: पब्लिक सबनेट (इंटरनेट गेटवे से जुड़ा) = DMZ समतुल्य। NAT गेटवे प्राइवेट सबनेट के लिए।
• Azure: DMZ के लिए "पेरिमीटर नेटवर्क" आर्किटेक्चर, NVA (नेटवर्क वर्चुअल एप्लायंस) फायरवॉल के साथ।
• GCP: बाहरी IP वाले इंस्टेंस, क्लाउड आर्मर WAF, फायरवॉल नियम।

निष्कर्ष

DMZ नेटवर्क सुरक्षा की आधारभूत अवधारणा है: सार्वजनिक सेवाओं को आंतरिक संपत्तियों से अलग करें। आधुनिक आर्किटेक्चर में माइक्रो-सेगमेंटेशन, जीरो ट्रस्ट, और क्लाउड-देशी नियंत्रण DMZ अवधारणा को विकसित कर रहे हैं, लेकिन सिद्धांत वही रहता है।