DMZ é uma área onde os servidores ficam isolados com acesso a internet, separando assim os servidores que precisam de acesso a internet e os que não precisam, que rodam somente local. Assim poderemos isolar o problema colocando servidores, como de e-mail, na DMZ.

DMZ é uma abreviação para "demilitarized zone", o que diz "que é uma área sem segurança". Porque dizer isso!? Bem, como o próprio nome já sugere, ela fica "sem segurança" porque tem o acesso direto à internet. Então vamos adicionar uma camada de segurança para que os servidores que rodam em nossa LAN só usem internet se necessário, deixando apenas os servidores que precisam de acesso externo na DMZ.

Em nosso projeto teremos a comunicação da LAN com a DMZ, da DMZ com a LAN e DMZ e LAN fazendo a comunicação com a internet, passando pelo nosso firewall.

Um pouco do nosso projeto

A intenção do nosso projeto na verdade é proteger os servidores, mas deixá-los com acesso a internet, tanto na DMZ quanto na LAN. Vamos simular uma rede interna que é dividida em LAN e DMZ, então seguindo esse raciocínio precisamos entender que a DMZ faz comunicação tanto com a internet como com a LAN e a LAN faz o mesmo, se comunica com a DMZ e com a internet.

Para a LAN vamos disponibilizar a faixa de rede 10.50.60.0/24. Para a DMZ vamos colocar outra faixa, até mesmo pela questão da segurança, vamos usar 192.168.4.0/24. Suponho que você também já tenha uma LAN com acesso a internet, pois a intenção desse artigo, na verdade, é que você entenda o que é uma DMZ e implante utilizando o PFSense.

Vamos utilizar o PFSense para criar a DMZ. O PFSense é um ótimo firewall, robusto e funcional, que roda em plataforma BSD, para ser mais exato, ele roda no FreeBSD. Existem vários tutoriais espalhados pela internet, até mesmo no Youtube, de como instalar essa maravilhosa ferramenta.

Espero que todos entendam que o conceito de DMZ é que o que está na LAN, só tenha acesso a internet, em último caso, mas neste tutorial ensinarei como deixar tanto a LAN como a DMZ com acesso a internet, então fica a critério de cada um alterar as regras e adaptar as suas necessidades.

Infelizmente não ensinarei como instalar o PFSense, isso ficará como dever de casa para vocês. :)

Bem, agora que entendemos como nossa rede vai funcionar, vou deixar um pouco mais claro, com o diagrama, feito no software DIA (que pode ser baixado no Debian/Ubuntu com um simples "apt-get install dia"): Nossa LAN passa pelo firewall para poder acessar internet e também passa por ele para acessar a DMZ. A DMZ segue o mesmo esquema, ela precisa passar pelo firewall tanto para acessar a LAN como a internet. Isso será configurado mais a frente, nas regras (opção Rules) do PFSense.

Então, na parte física, o que precisamos!? Precisamos de três placas de rede. Uma para ligar a DMZ, uma para ligar a LAN e uma para receber a WAN (internet).