DMZ (Demilitarized Zone) ในความปลอดภัยเครือข่าย คืออะไร? วัตถุประสงค์ และการตั้งค่า

DMZ (Demilitarized Zone) คืออะไร?

DMZ (Demilitarized Zone / พื้นที่ منز้อนทหาร) เป็นเครือข่ายย่อย (Subnet) ที่แยกออกจากเครือข่ายภายใน (Internal/LAN) และเครือข่ายภายนอก (Internet/Untrusted) เพื่อวางบริการที่ต้องเข้าถึงได้จากสาธารณะ เช่น Web Server, Mail Server, DNS Server, VPN Gateway โดยมี Firewall ควบคุมการเข้าถึงทั้งสองด้าน

[Internet] ── [Firewall ภายนอก] ── [DMZ: Web, Mail, DNS] ── [Firewall ภายใน] ── [Internal LAN]

วัตถุประสงค์ของ DMZ

• Buffer Zone: เป็นพื้นที่กลาง ป้องกันการเข้าถึงเครือข่ายภายในโดยตรง
• Isolate Public Services: แยกเซิร์ฟเวอร์ที่ Public-facing ออกจากข้อมูล/ระบบสำคัญ
• Limit Blast Radius: หากเซิร์ฟเวอร์ใน DMZ ถูกเจาะ โจมตียังไม่เข้าถึง LAN ได้ทันที
• Controlled Access: กำหนดกฎ Firewall เฉพาะเจาะจง (Allow List) ระหว่าง Internet↔DMZ และ DMZ↔LAN

DMZ เป็น Trusted หรือ Untrusted?

• Internet = Untrusted
• DMZ = Semi-trusted / Untrusted (จากมุมมอง LAN) - ไม่ไว้ใจเต็มที่ เพราะโดนโจมตีตลอดเวลา
• Internal LAN = Trusted
• Traffic จาก DMZ → LAN ต้องผ่าน Firewall ภายใน และถูก Inspect อย่างเคร่งครัด

การออกแบบ DMZ แบบต่าง ๆ

1. Single Firewall (Three-Legged DMZ) - ราคาถูก ใช้บ้าน/SME

        [Internet]
           │
    [Firewall: 3 Interface]
      │      │      │
   [WAN]  [DMZ]  [LAN]

• Firewall ตัวเดียว 3 Interface (WAN, DMZ, LAN)
• ประหยัดเงิน แต่ Single Point of Failure
• Firewall ต้องแรงพอจัดการ Traffic ทั้ง 3 ด้าน

2. Dual Firewall (Screened Subnet) - มาตรฐาน Enterprise

[Internet] ── [Firewall ภายนอก] ── [DMZ] ── [Firewall ภายใน] ── [LAN]

• Firewall 2 ตัว (Vendor ต่างกันแนะนำ - Diversity)
• External FW: Allow Inbound เฉพาะ Port ที่จำเป็น (80, 443, 25, 53)
• Internal FW: Allow DMZ→LAN เฉพาะที่จำเป็น (เช่น Web→App Server, Mail→AD)
• ปลอดภัยกว่า ไม่มี Single Point of Failure

3. Cloud DMZ / Cloud Perimeter

• AWS: Public Subnet (Internet Gateway) + Private Subnet (NAT Gateway) + Security Groups / NACL
• Azure: DMZ Subnet + Azure Firewall / Network Virtual Appliance
• GCP: DMZ Network + Cloud Armor / Firewall Rules

บริการที่วางใน DMZ ทั่วไป

การรักษาความปลอดภัย DMZ (Hardening)

1. Server Hardening: CIS Benchmarks, ปิด Service/Port ไม่ใช้, Patch ทุกเดือน
2. Network Segmentation: Private VLAN ใน DMZ แยกเซิร์ฟเวอร์จากกัน
3. Application Layer Defense: WAF, API Gateway, Rate Limiting, Bot Protection
4. Vulnerability Management: Scan ทุกสัปดาห์, Patch Critical < 48 ชม.
5. Monitoring & Logging: SIEM, NetFlow, File Integrity Monitoring (FIM), EDR
6. Zero Trust: ไม่ไว้ใจ DMZ อัตโนมัติ Verify ทุก Request (mTLS, SPIFFE)

DMZ บนเราเตอร์บ้าน (Home Router DMZ Host) - ควรใช้หรือไม่?

ไม่แนะนำ สำหรับ Home Router "DMZ Host" หมายถึงการ Forward ทุก Port ไปยัง IP เดียว → Expose ทั้งเครื่องสู่ Internet เสี่ยงมาก

• ใช้ Port Forwarding เฉพาะ Port ที่จำเป็น แทน
• หรือใช้ VPN (WireGuard/OpenVPN) เข้าถึงเครือข่ายบ้านจากนอก
• DMZ Host เหมาะเฉพาะ Console Game เก่าที่ไม่รองรับ UPnP/NAT-PMP (และยอมรับความเสี่ยง)

DMZ ยังจำเป็นหรือไม่ในยุค Cloud/Zero Trust?

• ยังคงเกี่ยวข้อง - หลักการแยก Public-facing Services ออกจาก Internal ยังคงใช้ได้
• โปรดักตอนนี้: Micro-segmentation, Zero Trust Network Access (ZTNA), Service Mesh แทน DMZ แบบเดิม
• แนวคิด "DMZ" ยังใช้ใน On-prem, Hybrid, และ Cloud (Public/Private Subnet)

สรุป

DMZ เป็น Buffer Zone ระหว่าง Internet และ LAN วาง Public Services ไว้ที่นี่ ควบคุมด้วย Firewall 2 ชั้น (Dual Firewall) Hardening เซิร์ฟเวอร์ 監控 Log และปัจจุบันกำลังวิวัฒนาการสู่ Zero Trust Architecture

โซลูชันความปลอดภัยเครือข่าย 2 อย่าง ที่ช่วยลดโจมตี DoS (Denial of Service)

Netgear ใช้ประเภทความปลอดภัยเครือข่ายอะไร? WEP WPA WPA2 WPA3 และการตั้งค่า