Extranet 和 DMZ 之间的区别

Question

我现在一直在阅读有关 Intranet、Extranet、DMZ 和 VPN 的文章，我需要一些有关 Extranet 和 DMZ 的说明。我知道它们是不同类型的概念 - 外联网允许对某些内联网资源进行有限访问，而 DMZ 是位于互联网和内联网之间的子网，并托管面向外部的服务。但是，我想知道在通常的设置中它们在实践中的区别是什么？在上外网维基百科的文章说，由于它们用于相同目的外联网类似的DMZ（提供访问某些服务/资源不暴露整个内部网络）。文章还指出外联网是 VPN 的一部分，这篇 TechNet 文章还指出，外联网访问通常与远程内联网访问类似，例如使用 VPN。TechNet 文章还说，外联网通常托管在 DMZ 内。Pearson 的这篇文章说“虽然 [DMZ] 在技术上位于 Intranet 内，但 [it] 也可以作为 Extranet”。这有点令人困惑。

考虑这种情况：一家公司在 DMZ 中托管了一个 B2C 网站。该网站可以从任何地方访问，但需要用户身份验证。底层 Web 应用程序的数据库位于 Intranet 内，并且还与 Intranet 内托管的一些 Web 服务交互（即访问 Intranet 资源）。在我看来，该网站确实有效地提供了对 Intranet 的受限访问。但它可以被认为是一个外联网吗？如果我们从字面上理解维基百科对外联网的定义——“外联网是一种允许从组织内联网外部进行受控访问的计算机网络”——我认为它可以。

假设以上不能被视为外联网。如果我们稍微改变一下场景，假设它是一个 B2B 网站，其中访问仅限于来自特定业务合作伙伴的连接（例如，通过使用站点到站点 VPN）会怎样？在这种情况下，它肯定是一个外联网，对吗？如果是这种情况，那么 Extranet 服务与托管在 DMZ 中的任何其他服务之间的区别仅仅是访问限制吗？

Answer 1

这些是学术上的区别。在现实世界中，您会发现所有这些概念以不同的术语组合在一起。

在某些组织中，DMZ 具有单独的 ISP 网络连接并且无法访问内部资源。在其他组织中，DMZ 中有加入域的机器可以与一组受限的内部机器进行通信。有时内部和 DMZ 有单独的防火墙。有时它们在同一防火墙上有不同的接口。

了解为什么有人应该使用外联网或 DMZ很重要，因为这些是重要的安全概念。从那里，您可以选择如何允许访问某些资源。它实际上叫什么并不重要。在某些情况下，它正在分裂头发。

Answer 2

我想我最近没有听说过教科书和教室之外的外联网。

甲DMZ是一种常见的网络拓扑与由从内部网络的防火墙和隔离网段不可信外部网络（又名互联网）。

相比之下，Extranet，如果它实际上包含在网络设计中，则在某种程度上暗示它连接到 VPN 或实际的专用网络，而不是整个更大的互联网。

许多公司拥有多个 DMZ 网络，并且会将带有 VPN 网关/路由器或专用互连的网络视为另一个 DMZ。

更常见的是，外联网与其说是一种网络拓扑，还不如说是一种与内部网络分离的服务，该服务是为受信任的、已知的和/或经过身份验证的外部用户、公司和网络的受限制集合提供的。

从网络的角度来看，您的网络服务器应该位于 DMZ 网络中。事实上，您的网站允许您的经销商登录、浏览您的目录、查看库存和订单，这意味着您的网站将被营销部门称为外联网。开发成本将从 $$ 到 $$$$。