DMZ kérdés

[Somogyi László]

2014.10.27. 14:19 keltezéssel, Takács Tibor írta:
>
> Belülről a DMZ eléréséhez külön routing szabály kellene?

Csak találgatni tudok a meglévő információkból, bocs ha az alábbiak 
teljesen világosak és rendben vannak.

A 10.0.0.20-as címből ítélve ez nem publikus ip címtartomány.
Ha kívülről elérhető, akkor ott routolás van.

Az úgynevezett belső háló, ahonnan nem éri el a kamerát, az milyen 
címtartományban van?

Ha másikban, akkor routing, vagy Vlan, vagy mi, vagy hogy jutnak ki a 
DMZ-be a belső gépek? Nem látom magam előtt a topológiát.
Értsd: ha ugyanabban a címtartományban lennének, akkor mitől "DMZ" az 
egyik oldal, a kamera, és mitől "belső" oldal a gép?
Úgy értem az egész megkülönböztetésnek akkor van értelme, ha 
de-militarizált az egyik és militarizált a másik.
Szóval belülről valahol csak van szabály! (ahol már egyáltalán a DMZ 
fogalmát használják és beállítják, ott tutti van szabály, külön 
belülről, külön kívülről)
Ez egy szimpla logikai dolog, kívülről a dmz-be több mindent szabad, 
mint belülről, pontosabban a dmz-ből belső hálóra irányuló forgalom 
biztos, hogy szűrve van.
(Példa: dmz-ben webszervert feltörik, csinálnak egy deface-t, csak ne 
jussanak már be rögtön a belső háló gépeibe.)

Egy dolog az ip cím, másik, hogy milyen tcp porton (portokon) akar 
kommunikálni a kamerával, nincs ez véletlenül tiltva befelé? Vagy akár 
oda-vissza?

Tűzfal valahol?

Van másik gép a dmz-ben, másik ilyen 10.0.akármi ip, amit gond nélkül 
elér a belső hálóról?

Ez a működött-nem működött dolog: mi van ha a runing config olyan volt a 
routeren és/vagy switcen, hogy működött a szabály belülről, oszt mégse 
volt elmentve a startup configba, oszt volt egy újraindulás az aktív 
hálózati eszközökön, és most olyan config fut, ami jobban tilt. Sűrű 
káromkodások közepette tanulja meg a kezdő cisco rendszergazda a "copy 
run start" parancsot! :) ( persze nem tudjuk, hogy micsoda, mert nem 
írtad, de a biztonság kedvéért cisco terminológiát használtam rá, csak 
találgattam :) )

Összefoglalva vagy ip vagy tcp tiltásra tippelek dmz és belső között.
A ping se biztos ilyenkor, az is lehet tiltva...

sl