作者netpchome (寄居蟹)
看板Broad_Band
標題[問題]請問DMZ可以導向ROUTER嗎？！
時間Fri Jul 27 22:54:05 2018
請問DMZ是否可以導向ROUTER ?
記得在家用級的DMZ大多是指定外網連內網中特定SERVER，以確保內網用戶的資料安全。
那假使我將外網連入ROUTER(NAT 功能開啟)。
NAT ALG 也是用於外網連內網時，可以穿越NAT與用戶端相連。
針對9Z與vaper的問題，我再解釋清楚一下。
HW NAT 運作的原理就是為了彌補家用級路由器本身CPU效能不足的問題，延伸出使用另外的晶片或是特定指令集來處理特定表頭的數據，以減緩CPU的loading，以達到提速的效果。
一般router的管理，都會經由CPU作處理，但HW NAT由於會繞過 CPU致使原本設定ACCESS ROULES（ALG)會變無效化。
所以在使用ping/tracert 時，未開使用HW NAT經由硬播得到ip端口出去，但是HW NAT開啟後metric會多了一個。
DMZ（非軍事區）目的就是將外網連內網導入獨立區（通常是服務主機且端口全開），以保障內網資訊安全。而關於這點我確實有點天馬行空，因爲這樣導入的話，有點畫蛇添足。但家用級別DMZ和企業級的DMZ還是有差別的。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.32.165.51
1F：→ atrix: 應該是無效的07/27 23:57
2F：→ atrix: DMZ不是拿來確保安全的07/27 23:58
3F：→ atrix: DMZ會使安全性變糟07/27 23:58
4F：→ atrix: DMZ會使安全性變糟07/27 23:58
5F：→ netpchome: 了解…07/28 00:03
6F：→ atrix: 我對ALG不熟，看了一下，應該是讓NAT能處理「把server的ip,07/28 00:06
7F：→ atrix: port藏在應用層的網路協議」07/28 00:06
8F：→ atrix: 算是NAT的應用層版本？07/28 00:06
9F：→ atrix: 不過可以預想普通的NAT硬體加速不能處理+NAT效能下降，大概07/28 00:07
10F：→ atrix: 。07/28 00:07
11F：→ netpchome: HW NAT開啟後，ALG 就等於無效。因為沒有過CPU07/28 00:12
12F：推 tomsawyer: DMZ導向router跟沒有設DMZ也沒有設port80的導向有87%07/28 00:40
13F：→ tomsawyer: 像07/28 00:40
14F：推 Windcws9Z: 推樓上 Router開硬撥外界當然先連到Router啊07/28 08:37
15F：→ Windcws9Z: 不懂原Po到底在公蝦小...07/28 08:38
16F：→ Windcws9Z: 另外不是ALG無效 是HW NAT會無效化07/28 08:39
17F：推 Windcws9Z: 只要韌體運作正常 需要丟給CPU處理的都一定會丟 放心07/28 08:49
18F：→ Windcws9Z: 原Po說的ALG應該單純只是NAT穿透技術的一種而已07/28 08:58
19F：→ Windcws9Z: 支援此技術的程式可以完成在特定協定上的位址和埠轉換07/28 08:58
20F：→ Windcws9Z: 理論上HW NAT應該影響不大07/28 08:59
21F：→ vaper: 同樓上，原po犯了新手常見錯誤，只知道功能不知原理07/28 22:35
22F：→ vaper: 導致有很多天馬行空的想法07/28 22:36
23F：→ netpchome: 可是，實務上，家用級HW NAT開啟後，外網連到ROUTER後07/30 00:34
※ 編輯: netpchome (114.32.165.51), 07/30/2018 01:08:04
※ 編輯: netpchome (114.32.165.51), 07/30/2018 01:18:45
※ 編輯: netpchome (114.32.165.51), 07/30/2018 01:18:45
25F：→ Windcws9Z: 繞過CPU...07/30 03:20
27F：→ Windcws9Z: 另外不會編輯文章的話用推文就好07/30 03:23
28F：→ Windcws9Z: 家用產品沒那麼佛心07/30 03:27
29F：→ Windcws9Z: 還給你多顆硬體加速晶片 這個要商用等級才有的07/30 03:27
30F：→ Windcws9Z: 我看你的Tracert圖很正常啊 什麼叫做多了一個？！07/30 03:31
※ 編輯: netpchome (101.14.212.211), 07/30/2018 13:27:25
31F：→ netpchome: 開了HW NAT 會變成這樣07/30 13:29
※ 編輯: netpchome (114.32.165.51), 07/30/2018 13:51:34
34F：→ netpchome: 這篇文章應該說明就很清楚了。 07/30 13:56
35F：→ atrix: 1.後續增加的文章不要放回內文中，麻煩標記一下，不然誰看 07/30 21:59
36F：→ atrix: 得到啊？ 07/30 21:59
37F：→ atrix: 2.DMZ是怎麼保障內網安全的這我還是想不透？ 07/30 22:00
38F：→ atrix: 把設備丟到外網去怎麼會變安全啊？誘導彈嗎？ 07/30 22:05
39F：→ atrix: DMZ有分家用企業? 07/30 22:07
40F：→ netpchome: atrix 家用和商用是指設備。 07/31 00:34
41F：→ netpchome: dmz 是指(外網連內網某一個服務主機)沒有直接與內網連 07/31 00:35
42F：→ netpchome: 接，而我原本的作法是不對的。 07/31 00:36
43F：→ Windcws9Z: DMZ我懶得講惹 07/31 00:48
44F：→ Windcws9Z: 我來稍微說一下HW NAT 07/31 00:49
45F：→ Windcws9Z: 你可以把他當作類似是機場的快速通關 07/31 00:49
46F：→ Windcws9Z: 當今天沒有HW NAT的時候 每個人都要依照規定來做安檢 07/31 00:49
47F：→ Windcws9Z: 如果CPU速度不夠快 安檢的人力不足時 07/31 00:49
48F：→ Windcws9Z: 整個NAT throughput轉發速度自然就會被拉下去 07/31 00:49
49F：→ Windcws9Z: HW NAT就好比是用機器來快速通關 07/31 00:49
50F：→ Windcws9Z: CPU安檢的人力Loading自然就大幅降低 07/31 00:49
51F：→ Windcws9Z: 但是如果今天出現了一些突發狀況 07/31 00:49
52F：→ Windcws9Z: 要嚴格控管境外傳染病or預防恐怖攻擊時 07/31 00:49
53F：→ Windcws9Z: 整個機場的安檢層級拉高下 快速通關就形同沒有意義 07/31 00:54
54F：→ Windcws9Z: 因為只有靠CPU人力才能執行更嚴格的篩檢 07/31 00:54
55F：→ Windcws9Z: 我這樣貼近生活化的解釋 你有稍微了解了嗎？！ 07/31 00:54
56F：推 Windcws9Z: 所以當你去開啟一些服務 是需要去分析篩選封包的 07/31 01:19
57F：→ Windcws9Z: 功能上會與HW NAT相衝的 有些韌體就會自動關閉HW NAT 07/31 01:19
58F：→ Windcws9Z: 一般家用分享器大致上會有兩種NAT加速方式 07/31 01:24
59F：→ netpchome: 9Z大說的很正確 07/31 01:34
60F：→ Windcws9Z: 依照韌體硬體支援的程度不同分成 07/31 01:42
61F：→ Windcws9Z: Level 1 CTF = CTF 07/31 01:42
62F：→ Windcws9Z: Level 2 CTF = FA + CTF 07/31 01:42
63F：→ Windcws9Z: 簡單來說 07/31 01:42
64F：→ Windcws9Z: CTF是軟體加速 07/31 01:42
65F：→ Windcws9Z: (Cut Through Forwarding) 07/31 01:42
66F：→ Windcws9Z: FA是硬體加速 07/31 01:42
67F：→ Windcws9Z: (Flow Accelerator) 07/31 01:42
68F：→ netpchome: 以我手邊的C7為例，高通晶片Qualcomm Atheros QCA9558 07/31 01:59
69F：→ netpchome: 720MHz，用的就是level 2 CTF= FA+CTF. 07/31 01:59
70F：推 Windcws9Z: CTF做法比較簡單 優化調整了轉發程序 07/31 02:00
71F：→ Windcws9Z: 所以使用上比較沒有限制 當然加速的力道也就比較弱 07/31 02:00
72F：→ Windcws9Z: FA做法比較複雜 需要硬體的支援 07/31 02:00
73F：→ Windcws9Z: 所以加速的力道也就比較強 當然使用上限制就比較多 07/31 02:00
74F：→ Windcws9Z: 舉凡QoS STP 流量監控 AI Protection bla bla等等之類 07/31 02:15
75F：→ Windcws9Z: 的 07/31 02:15
76F：→ Windcws9Z: 都會導致FA被Disable 使用上限制很多 07/31 02:15
77F：→ Windcws9Z: 要爽用FA 基本上你就只能讓他乖乖當葛純分享器用 07/31 02:15
78F：→ netpchome: 的確如此。我最近都在和TPLINK的工程師一起排除IPV6 07/31 11:46
79F：→ netpchome: 可是，我不懂的是台灣ipv6採用dual stack運作，可當我 07/31 11:56
80F：→ netpchome: 真的ipv6/ipv4雙軌運行的時候，C7如要實現這個論點時 07/31 11:56
81F：→ netpchome: ，我必需要將所有設備的mtu設置為1480才能正常運作， 07/31 11:56
82F：→ netpchome: 後來幾經波折，透過sli 修改封包表頭與mss，才能正常 07/31 11:56
83F：→ netpchome: 運作。畢竟還有行動裝置的關係。 07/31 11:56