วิธีตั้งค่า DMZ เพื่อปรับปรุงการเชื่อมต่อของคอนโซลของคุณ

การตั้งค่า DMZ บนเราเตอร์เพื่อปรับปรุงการเชื่อมต่อของคอนโซลเป็นหนึ่งในหัวข้อที่ก่อให้เกิดความคิดเห็น ความเชื่อผิดๆ และวิธีแก้ปัญหา "มหัศจรรย์" มากมายในฟอรัมและวิดีโอต่างๆ อย่างไรก็ตาม หากเราพิจารณาในแง่มุมทางเทคนิคแล้ว ทุกอย่างค่อนข้างชัดเจน: DMZ สามารถช่วยคุณกำจัดปัญหา NAT และพอร์ตได้ แต่ก็มีความเสี่ยงและข้อจำกัดที่คุณควรตระหนักก่อนที่จะเปิดใช้งาน

ในบทความนี้ คุณจะได้พบกับคำอธิบายที่ครบถ้วนและเข้าใจง่ายเกี่ยวกับDMZ ว่าคืออะไร จุดประสงค์ที่แท้จริงของการใช้งานกับคอนโซล ข้อดีและข้อเสีย และวิธีการตั้งค่าทีละขั้นตอน (แม้ว่าคอนโซลของคุณจะเชื่อมต่อกับสวิตช์แบบไม่จัดการก็ตาม) นอกจากนี้เรายังจะกล่าวถึงสถานการณ์ที่คุณไม่ควรใช้ DMZ ทางเลือกที่ปลอดภัยกว่า และรายละเอียดขั้นสูงบางอย่างที่คู่มือส่วนใหญ่มักมองข้ามไป

DMZ บนเราเตอร์บ้านคืออะไรกันแน่?

ในบริบทของเราเตอร์บ้าน DMZ (Demilitarized Zone) คือคุณสมบัติที่ช่วยให้คุณสามารถเปลี่ยนเส้นทางการรับส่งข้อมูลอินเทอร์เน็ตขาเข้าทั้งหมดไปยังที่อยู่ IP ส่วนตัวเดียวบนเครือข่ายภายในของคุณซึ่งหมายความว่า แทนที่จะเปิดพอร์ตทีละพอร์ต (การส่งต่อพอร์ต) เราเตอร์จะส่งพอร์ตเกือบทั้งหมดไปยังอุปกรณ์ที่คุณกำหนดให้เป็น DMZ

ในเชิงเทคนิคแล้ว เราเตอร์สำหรับใช้งานในบ้านส่วนใหญ่จะใช้ระบบปฏิบัติการ Linux เวอร์ชันใดเวอร์หนึ่ง และใช้ไฟร์วอลล์โดยใช้iptables หรือ nftables เพื่อทำการ NAT และกรองการรับส่งข้อมูล "DMZ" เป็นเพียงกฎพิเศษที่อยู่ท้ายสุดของห่วงโซ่ NAT: หากแพ็กเก็ตมาจากอินเทอร์เน็ตและไม่ตรงกับการส่งต่อพอร์ตใด ๆ แพ็กเก็ตนั้นจะถูกส่งไปยังที่อยู่ IP ที่กำหนดไว้ใน DMZ

การกำหนดค่านี้ได้รับการออกแบบมาเพื่อเป็นโซนแยกต่างหากระหว่างเครือข่ายภายใน (LAN) และเครือข่ายภายนอก (อินเทอร์เน็ต)โดยมีจุดประสงค์เพื่อรองรับเซิร์ฟเวอร์สาธารณะ (เว็บ อีเมล FTP ฯลฯ) โดยไม่ต้องเปิดเผยเครือข่ายส่วนตัวโดยตรง ในสภาพแวดล้อมภายในบ้าน DMZ ในตัวของเราเตอร์ส่วนใหญ่จะใช้สำหรับอุปกรณ์ที่ต้องการจัดการการเชื่อมต่อขาเข้าจำนวนมากโดยไม่ต้องยุ่งยากกับการเปิดพอร์ตด้วยตนเอง

การใช้งานหลักของ DMZ ที่บ้าน

แม้ว่า DMZ จะมีต้นกำเนิดมาจากสภาพแวดล้อมทางธุรกิจ แต่ก็มีการนำไปใช้ในเครือข่ายภายในบ้านในหลายสถานการณ์ทั่วไป สถานการณ์ที่พบบ่อยที่สุดคือการเล่นเกมออนไลน์บนคอนโซลหรือพีซีเมื่อมีปัญหาเกี่ยวกับ NAT หรือพอร์ตแต่ก็ไม่ใช่สถานการณ์เดียวเท่านั้น

เกมออนไลน์บนเครื่องคอนโซลหรือพีซี

หากคุณเล่นเกมออนไลน์จากเครื่องเล่นเกมหรือคอมพิวเตอร์ และเห็นข้อความเกี่ยวกับประเภท NAT ที่เข้มงวด ปานกลาง หรือประเภทที่คล้ายกัน แสดงว่าพอร์ตของคุณอาจถูกบล็อก ทำให้เครื่องเล่นเกมของคุณไม่สามารถสื่อสารกับเซิร์ฟเวอร์หรือผู้เล่นคนอื่นได้อย่างถูกต้องในกรณีเหล่านี้ ผู้ใช้หลายคนเลือกที่จะตั้งค่าเครื่องเล่นเกมให้อยู่ใน DMZ เพื่อหลีกเลี่ยงการตั้งค่าพอร์ตเฉพาะ

โดยทั่วไปแล้ว เกมออนไลน์จะใช้ช่วงพอร์ต TCP และ UDP เฉพาะซึ่งในทางทฤษฎี คุณสามารถเปิดพอร์ตเหล่านั้นได้ด้วยตนเองในส่วน "การส่งต่อพอร์ต" ของเราเตอร์ ปัญหาคือแต่ละเกมใช้พอร์ตที่แตกต่างกัน และพอร์ตเหล่านี้จะเปลี่ยนแปลงไปตามการอัปเดต ทำให้การเพิ่มกฎทุกครั้งที่ติดตั้งเกมใหม่เป็นเรื่องที่ยุ่งยากมาก

การวางเครื่องเล่นเกมไว้ใน DMZ จะทำให้พอร์ตทั้งหมดที่ยังไม่ได้ถูกส่งต่ออย่างชัดเจนถูกส่งไปยังเครื่องเล่นเกมโดยตรง ซึ่งจะช่วยป้องกันปัญหาความขัดแย้งของ NAT และปัญหาการจับคู่ผู้เล่นคุณจะไม่ต้องเสียเวลา "ค้นหา" ว่าแต่ละเกมต้องการพอร์ตใด หรือต้องพึ่งพา uPnP ของเราเตอร์ให้ทำงานได้อย่างถูกต้องอีกต่อไป

ในแง่ของความปลอดภัย ผู้เชี่ยวชาญหลายคนเห็นพ้องกันว่าการวางเครื่องเล่นเกมคอนโซลรุ่นใหม่ (PlayStation, Xbox, Nintendo Switch ฯลฯ) ไว้ใน DMZนั้นมีความเสี่ยงน้อยกว่าการวางเครื่องพีซีไว้ใน DMZ เนื่องจากเป็นระบบปิดที่มีข้อจำกัดในการใช้งานหลายอย่าง มีช่องโหว่ให้โจมตีได้น้อยกว่า และมีการควบคุมซอฟต์แวร์ที่ทำงานอยู่บนระบบได้ค่อนข้างเข้มงวด นี่ไม่ได้หมายความว่าเครื่องเล่นเกมคอนโซลจะไม่มีช่องโหว่เลย แต่ช่องโหว่ที่ส่งผลกระทบต่อคอมพิวเตอร์ทั่วไปมักจะไม่ส่งผลกระทบต่อเครื่องเล่นเกมคอนโซลในลักษณะเดียวกัน

สำหรับพีซี สถานการณ์จะแตกต่างออกไปการเปิดคอมพิวเตอร์ให้เชื่อมต่อกับอินเทอร์เน็ตอย่างเต็มที่ผ่าน DMZ นั้นทำได้ก็ต่อเมื่อคุณมีไฟร์วอลล์ที่ตั้งค่าไว้อย่างดีเยี่ยมและระบบได้รับการอัปเดตแพตช์อย่างสม่ำเสมอเท่านั้นมิเช่นนั้น คุณจะตกเป็นเป้าหมายของการสแกนพอร์ตอัตโนมัติและการใช้ประโยชน์จากช่องโหว่ที่รู้จักกันดีได้ง่าย

การทดสอบไฟร์วอลล์หรือ VPN บนคอมพิวเตอร์

อีกหนึ่งการใช้งาน DMZ ที่พบบ่อยคือการทดสอบไฟร์วอลล์หรือเซิร์ฟเวอร์ VPNจากภายนอกเครือข่ายของคุณหากคุณสงสัยว่ามีปัญหาเกี่ยวกับการกำหนดค่าพอร์ตหรือเชื่อว่าไฟร์วอลล์ของคุณบล็อกมากกว่าที่ควรจะเป็น การวางอุปกรณ์ไว้ใน DMZ ชั่วคราวจะช่วยให้คุณตรวจสอบได้อย่างรวดเร็วว่าปัญหาเกิดจากเราเตอร์หรือไม่

โปรโตคอลอย่าง IPsec ต้องการให้เปิดพอร์ตหลายพอร์ตพร้อมกัน และถึงแม้จะตั้งค่าอย่างถูกต้องแล้ว บางครั้งก็อาจเกิดความขัดแย้งกับ NAT ได้ในสถานการณ์เช่นนี้ การเปิดใช้งาน DMZ สำหรับที่อยู่ IP ของเซิร์ฟเวอร์จะช่วยตัดประเด็นเรื่องเราเตอร์เป็นต้นเหตุของปัญหาออกไปได้ เมื่อคุณตรวจสอบแล้วว่า VPN ทำงานได้ วิธีที่เหมาะสมคือการปิด DMZ และเปิดเฉพาะพอร์ตที่จำเป็นจริงๆเท่านั้น

การตรวจสอบและวิเคราะห์การจราจร

ในระดับที่สูงขึ้น DMZ ยังถูกใช้เป็นจุดสังเกตเพื่อวิเคราะห์การรับส่งข้อมูลที่มาจากอินเทอร์เน็ตโดยใช้เครื่องมือจับข้อมูล (เช่น sniffers, protocol analyzers, IDS/IPS เป็นต้น) เราสามารถศึกษาแพ็กเก็ตที่ผ่านโซนนี้ ตรวจสอบต้นทาง ปลายทาง โปรโตคอล และเนื้อหา รวมถึงตรวจจับรูปแบบที่น่าสงสัยได้

แอปพลิเค ชันเหล่านี้มักมีฟังก์ชันบันทึกและจัดเก็บข้อมูลการรับส่งข้อมูลเพื่อนำไปวิเคราะห์ในภายหลัง ทำให้สามารถตรวจสอบเหตุการณ์หรือข้อผิดพลาดได้อย่างละเอียดหลังจากที่เกิดขึ้น หลายแอปพลิเคชันยังใช้อัลกอริธึมการเรียนรู้ของเครื่องและปัญญาประดิษฐ์เพื่อแยกแยะระหว่างพฤติกรรมปกติและภัยคุกคามที่อาจเกิดขึ้น โดยนำเสนอผลลัพธ์ในรูปแบบแดชบอร์ดกราฟิกที่เข้าใจง่าย

สิ่งสำคัญที่ควรจำไว้คือ DMZ มักเป็นพื้นที่ที่ได้รับการโจมตีมากที่สุด เนื่องจากเป็นส่วนที่เสี่ยงต่อการถูกโจมตีมากที่สุดในเครือข่ายของคุณนั่นเป็นเหตุผลที่ในสภาพแวดล้อมที่จริงจัง มักมีการผสมผสานเครื่องมือตรวจสอบต่างๆ ระบบตรวจจับการบุกรุก (IDS) และระบบป้องกันการบุกรุก (IPS) เพื่อเสริมความแข็งแกร่งให้กับแนวป้องกันด่านแรกนี้

การใช้งานเชิงธุรกิจ: เซิร์ฟเวอร์สาธารณะที่ได้รับการปกป้อง

ในบริษัทต่างๆ DMZ ใช้สำหรับโฮสต์เซิร์ฟเวอร์ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต (เว็บ อีเมล FTP API ฯลฯ) บนซับเน็ตที่แยกต่างหากจาก LAN ภายในด้วยวิธีนี้ แม้ว่าผู้โจมตีจะสามารถเจาะระบบเซิร์ฟเวอร์เหล่านี้ได้หนึ่งเครื่อง ก็จะเป็นเรื่องยากมากที่พวกเขาจะเข้าถึงเครือข่ายที่คอมพิวเตอร์ของพนักงานหรือข้อมูลสำคัญตั้งอยู่

หลักการทำงานคือ ไฟร์วอลล์จะกรองการรับส่งข้อมูลระหว่างอินเทอร์เน็ตและ DMZ รวมถึงระหว่าง DMZ และ LANอนุญาตเฉพาะสิ่งที่จำเป็นอย่างยิ่งเท่านั้น เช่น การเข้าถึง HTTP/HTTPS จากอินเทอร์เน็ตไปยังเว็บเซิร์ฟเวอร์ และอาจรวมถึงการเข้าถึงฐานข้อมูลจาก LAN ไปยัง DMZ แต่ไม่ใช่ในทางกลับกัน วิธีนี้ จะช่วยเพิ่มระดับการป้องกันอีกชั้นหนึ่งจาก การรั่วไหลของข้อมูลและการโจมตีแบบฟิชชิ่งที่เกิดขึ้นบ่อยครั้งมากขึ้น

หลีกเลี่ยงปัญหา Double NAT เมื่อคุณใช้เราเตอร์ของคุณเอง

สถานการณ์ที่พบได้บ่อยมากกับการเชื่อมต่อไฟเบอร์ออปติกคือ การต้องการใช้เราเตอร์ของตนเอง เนื่องจากเราเตอร์ที่ผู้ให้บริการอินเทอร์เน็ต (ISP) ให้มานั้นไม่เพียงพอ ค้าง หรือสัญญาณ Wi-Fi ไม่ดีมากปัญหาคือ ISP หลายรายไม่อนุญาตให้ใช้โหมดบริดจ์อย่างแท้จริง ไม่ให้ข้อมูลประจำตัวของ ONT หรือปิดใช้งานตัวเลือกขั้นสูงไปเลย

หากคุณไม่สามารถตั้งค่าเราเตอร์ของ ISP ให้อยู่ในโหมดบริดจ์ได้ คุณจะต้องเชื่อมต่อเราเตอร์ "ที่ดี" ของคุณไว้ด้านหลังเราเตอร์ของ ISP ซึ่งจะทำให้เกิดการทำ NAT สองชั้น (เราเตอร์สองตัวทำการแปลงที่อยู่ IP แบบต่อเนื่อง)ในกรณีนั้น เพื่อให้อุปกรณ์ที่อยู่ด้านหลังเราเตอร์ของคุณได้รับการเชื่อมต่ออินเทอร์เน็ต คุณจะต้องเปิดพอร์ตบนเราเตอร์ของ ISP ให้ชี้ไปยังเราเตอร์ของคุณ จากนั้นจึงเปิดพอร์ตบนเราเตอร์ของคุณให้ชี้ไปยังอุปกรณ์ปลายทาง

เพื่อให้ง่ายขึ้น ผู้ใช้หลายคนตั้งค่า DMZ บนเราเตอร์ของผู้ให้บริการอินเทอร์เน็ต (ISP) โดยชี้ไปยังที่อยู่ IP WAN ของเราเตอร์ตัวที่สองด้วยวิธีนี้ ทราฟฟิกขาเข้าทั้งหมดที่ไม่ได้กำหนดการส่งต่อพอร์ตบนเราเตอร์ของ ISP จะถูกส่งต่อไปยังเราเตอร์ตัวที่สอง และคุณจำเป็นต้องจัดการพอร์ตเฉพาะบนเราเตอร์ตัวนั้นเท่านั้น นี่เป็นวิธีที่ใช้งานได้จริงในการ "จำลอง" โหมดบริดจ์เมื่อ ISP ไม่ได้ให้บริการโหมดนี้

ข้อดีและข้อเสียของการใช้ DMZ

การตั้งค่า DMZ อาจฟังดูเหมือนเป็นทางออกที่ดีที่สุดสำหรับปัญหาการเชื่อมต่อทั้งหมด แต่ในเกือบทุกกรณีสิ่งที่คุณได้มาในด้านหนึ่ง คุณก็อาจเสียไปในอีกด้านหนึ่งดังนั้นจึงเป็นสิ่งสำคัญที่จะต้องพิจารณาความสมดุลระหว่างความสะดวกสบายและความปลอดภัยอย่างรอบคอบ

ความได้เปรียบ

ข้อดีที่สำคัญที่สุดอย่างหนึ่งคือความเรียบง่าย เมื่อคุณต้องการเปิดพอร์ตจำนวนมาก หรือไม่แน่ใจว่าแอปพลิเคชันหรือเกมใดต้องการพอร์ตใดบ้างแทนที่จะค้นหาเอกสารหรือลองผิดลองถูก คุณเพียงแค่ใส่ที่อยู่ IP ของคอนโซลหรืออุปกรณ์ลงใน DMZ และปัญหาจะได้รับการแก้ไข

นอกจากนี้ ในบริบทดั้งเดิมของเครือข่ายแบบแบ่งส่วน DMZ ที่ออกแบบมาอย่างดีจะช่วยลดพื้นที่การโจมตีโดยตรงบนเครือข่ายภายในบริการที่เปิดเผยจะถูกรวมไว้ในซับเน็ตระดับกลางที่สามารถบำรุงรักษาและอัปเดตได้โดยไม่ส่งผลกระทบต่อ LAN ซึ่งช่วยลดความซับซ้อนในการบำรุงรักษาและการจัดการความเสี่ยง

ข้อเสียและความเสี่ยงด้านความปลอดภัย

ข้อเสียนั้นชัดเจน: การเปิดพอร์ตทั้งหมดบนอุปกรณ์ไปยังอินเทอร์เน็ตทำให้มีความเสี่ยงต่อการสแกนและการโจมตีอัตโนมัติมากขึ้นสำหรับพีซีหรือเซิร์ฟเวอร์ทั่วไป นี่อาจเป็นปัญหาใหญ่หากไฟร์วอลล์ในเครื่องของคุณไม่ได้ตั้งค่าอย่างถูกต้องและระบบของคุณไม่ได้อัปเดตด้วยแพตช์ความปลอดภัยล่าสุด

การตั้งค่า DMZ ที่เหมาะสม (ด้วยการแบ่งส่วนเครือข่าย ไฟร์วอลล์ที่กำหนดค่าอย่างดี โซนหลายโซน ฯลฯ) ไม่ใช่เรื่องง่าย และอาจต้องใช้ทั้งฮาร์ดแวร์และเวลาในสภาพแวดล้อมภายในบ้าน DMZ ของเราเตอร์มักจะเป็นการทำให้ง่ายขึ้น แต่สำหรับโครงสร้างพื้นฐานที่ซับซ้อนกว่า คุณอาจต้องใช้สวิตช์เฉพาะ ไฟร์วอลล์มากกว่าหนึ่งตัว และความรู้ด้านเครือข่ายอย่างมาก

ดังนั้น ผู้เชี่ยวชาญหลายคนจึงแนะนำว่า ในบ้านควรใช้การส่งต่อพอร์ตแบบคลาสสิกเป็นอันดับแรก และควรใช้ DMZ เป็นทางเลือกสุดท้ายหรือใช้ชั่วคราวเมื่อคุณกำลังแก้ไขปัญหาเฉพาะเจาะจงกับเกมหรือแอปพลิเคชัน เท่านั้น

เมื่อไหร่ที่ไม่ควรใช้ DMZ

มีบางสถานการณ์ที่การเปิดใช้งาน DMZ เป็นความคิดที่ไม่ดี แทนที่จะทำให้สถานการณ์ดีขึ้น มันอาจเพิ่มความเสี่ยงต่อช่องโหว่ต่างๆ อย่างมาก

อุปกรณ์ที่เปราะบางหรือไม่ได้รับการบำรุงรักษา

หากอุปกรณ์ที่คุณต้องการเปิดเผยมีช่องโหว่ด้านความปลอดภัยที่ทราบกันดี เฟิร์มแวร์ที่ล้าสมัย หรือซอฟต์แวร์ที่ถูกทิ้งร้างการวางอุปกรณ์นั้นไว้ใน DMZ ก็เหมือนกับการแขวนป้าย "เปิดประตู" ไว้บนอินเทอร์เน็ต กล้อง IP ราคาถูก อุปกรณ์ NAS รุ่นเก่า เราเตอร์ที่ล้าสมัย หรือพีซีที่ไม่ได้อัปเดตแพตช์ ล้วนเป็นเป้าหมายที่ง่ายต่อการโจมตี

แม้ว่าบางครั้งจะมีการกล่าวกันว่า "ถ้าคุณไม่รู้เกี่ยวกับปัญหาใดๆ ก็จะไม่มีอะไรเกิดขึ้น" แต่ความเป็นจริงก็คือช่องโหว่จำนวนมากจะไม่ถูกตรวจพบจนกว่าจะถูกโจมตีไปแล้วนั่นเป็นเหตุผลว่าทำไมจึงควรระมัดระวังเป็นอย่างยิ่งก่อนที่จะนำสิ่งใดๆ เข้าไปใน DMZ ที่คุณไม่สามารถควบคุมได้อย่างเต็มที่

ขาดการควบคุมและการแบ่งแยกการจราจร

เมื่อคุณเปิดใช้งาน DMZ บนเราเตอร์ที่บ้านทราฟฟิกขาเข้าทั้งหมดที่ไม่มีกฎกำหนดไว้ล่วงหน้าจะถูกส่งไปยังอุปกรณ์ที่กำหนดค่าไว้ไม่มีไฟร์วอลล์ระดับกลางที่ให้การกรองอย่างละเอียด ดังนั้นภัยคุกคามจึงเข้าถึงอุปกรณ์ที่เปิดเผยโดยตรง

หากเครือข่ายของคุณไม่ได้แบ่งออกเป็นซับเน็ตหรือ VLAN อุปกรณ์ที่ถูกบุกรุกใน DMZ อาจทำหน้าที่เป็นเกตเวย์ไปยังส่วนที่เหลือของ LAN ของคุณได้ หากคุณมีข้อมูลสำคัญหรืออุปกรณ์สำคัญอยู่ในเครือข่ายเดียวกัน คุณกำลังเพิ่มความเสี่ยงโดยไม่รู้ตัว

ข้อผิดพลาดในการกำหนดค่าที่อาจเกิดขึ้น

DMZ กำหนดให้ที่อยู่ IP ของอุปกรณ์ที่เปิดเผยต้องคงที่ (แบบคงที่หรือสำรองไว้ผ่าน DHCP)หากคุณไม่ควบคุมสิ่งนี้ คุณอาจเสี่ยงที่เราเตอร์จะกำหนดที่อยู่ IP ที่แตกต่างกันไปตามเวลา ส่งผลให้พอร์ตทั้งหมดเปิดไปยังอุปกรณ์ที่ไม่ถูกต้อง

หากคุณขาดประสบการณ์ด้านการบริหารจัดการเครือข่าย การกำหนดค่า DMZ ผิดพลาดอาจทำให้เกิดความเสี่ยงมากกว่าที่คุณตั้งใจไว้โดยที่คุณไม่รู้ตัวในกรณีเช่นนี้ การเลือกใช้ทางเลือกที่ปลอดภัยกว่า เช่น ระบบส่งต่อพอร์ตที่ดี หรือ VPN มักจะเป็นทางเลือกที่ชาญฉลาดกว่า

อุปกรณ์ IoT (กล้อง หลอดไฟ ฯลฯ)

ไม่ควรอย่างยิ่งที่จะวางอุปกรณ์ IoT ราคาถูก (เช่น กล้อง ปลั๊กอัจฉริยะ หลอดไฟอัจฉริยะ ฯลฯ) ไว้ใน DMZ เนื่องจากฮาร์ดแวร์ประเภทนี้มักใช้เฟิร์มแวร์ที่ดูแลรักษาไม่ดี มีช่องโหว่ด้านความปลอดภัยที่รู้จักกันดี และมีการอัปเดตน้อยหรือไม่ได้รับการอัปเดตเลยเมื่อเวลาผ่านไป

หากคุณจำเป็นต้องเข้าถึงกล้องเหล่านั้นจากภายนอกเครือข่าย ควรเปิดเฉพาะพอร์ตที่จำเป็น หรือจะดีกว่านั้นคือเข้าถึงผ่าน VPNการปล่อยให้กล้องที่มีปัญหาเปิดเผยสู่สาธารณะทางอินเทอร์เน็ตอย่างเต็มที่นั้นจะนำมาซึ่งปัญหาอย่างแน่นอน

DMZ เปิดพอร์ตทั้งหมดจริงหรือ?

รายละเอียดทางเทคนิคที่สำคัญมากอย่างหนึ่งคือ ในเราเตอร์ส่วนใหญ่กฎการส่งต่อพอร์ตจะมีลำดับความสำคัญเหนือกว่ากฎ DMZ ทั่วไปหมายความว่า หากคุณได้กำหนดพอร์ต 80 ให้กับพีซีเครื่องใดเครื่องหนึ่งแล้ว การรับส่งข้อมูลนั้นจะไม่ถูกส่งไปยังที่อยู่ IP ของ DMZ แต่จะถูกส่งไปยังอุปกรณ์ที่ระบุไว้ในกฎการส่งต่อพอร์ตแทน

ภายในระบบ iptables/nftables จะประมวลผลกฎตามลำดับที่กำหนด และโดยปกติแล้วรายการ DMZ จะอยู่ท้ายสุดของห่วงโซ่สิ่งใดก็ตามที่ตรงกับการส่งต่อที่ระบุไว้อย่างชัดเจนจะถูกนำไปใช้ก่อน ส่วนที่เหลือจึงจะถูกส่งไปยัง IP ของ DMZ สิ่งนี้สำคัญมากหากคุณคิดว่า "ทุกอย่าง" จะถูกส่งไปยังคอนโซล เพราะอาจมีพอร์ตที่สงวนไว้สำหรับอุปกรณ์อื่นอยู่แล้ว

ทางเลือกขั้นสูงกว่า DMZ แบบดั้งเดิม

หากคุณกังวลเรื่องความปลอดภัยแต่จำเป็นต้องเปิดเผยบริการสู่โลกอินเทอร์เน็ต มีทางเลือกที่ยืดหยุ่นและแข็งแกร่งกว่าการใช้ DMZ แบบง่ายๆ บนเราเตอร์ที่บ้าน ทางเลือกเหล่านี้มักต้องการความรู้ทางเทคนิคเพิ่มเติมและบางครั้งอาจต้องใช้อุปกรณ์ฮาร์ดแวร์เพิ่มเติมด้วย

ทางเลือกหนึ่งคือการติดตั้งไฟร์วอลล์โดยตรงบนเซิร์ฟเวอร์ซึ่งจะควบคุมการรับส่งข้อมูลเข้าและออกจากเครือข่ายภายในอย่างแม่นยำ อีกทางเลือกหนึ่งคือการใช้ไฟร์วอลล์แบบสามด้านที่มีอินเทอร์เฟซทางกายภาพสามตัว ได้แก่ หนึ่งตัวสำหรับ LAN ส่วนตัว หนึ่งตัวสำหรับ DMZ และอีกหนึ่งตัวสำหรับอินเทอร์เน็ต โดยแบ่งโซนแต่ละโซนอย่างเหมาะสม

อีกทางเลือกหนึ่ง คุณสามารถเลือกใช้ไฟร์วอลล์แยกกันหลายตัว : ตัวหนึ่งปกป้องเครือข่ายส่วนตัว และอีกตัวปกป้อง DMZ วิธีนี้มีราคาแพงกว่าและจัดการได้ซับซ้อนกว่า แต่ให้ความปลอดภัยที่เหนือกว่ามาก เนื่องจากผู้โจมตีจะต้องหลีกเลี่ยงอุปกรณ์ที่แตกต่างกันสองตัว ซึ่งหากเป็นไปได้ควรเป็นอุปกรณ์จากผู้ผลิตที่แตกต่างกันด้วย

สุดท้ายนี้ ยังมีการตั้งค่าที่ไฟร์วอลล์ใช้กฎเกณฑ์ที่แตกต่างกันอย่างสิ้นเชิงขึ้นอยู่กับช่วง IP โดยแต่ละโซนจะมีกฎเฉพาะของตนเอง ในทุกสถานการณ์ เป้าหมายก็เหมือนกันคือ การบังคับให้การโจมตีต้องฝ่าฟันการป้องกันหลายชั้นก่อนที่จะเข้าถึงเครือข่ายที่เปราะบางอย่างแท้จริง

DMZ และโปรโตคอล IPv6

เมื่อเทียบกับ IPv4 แล้ว มีหลายสิ่งหลายอย่างที่เปลี่ยนแปลงไปใน IPv6 โดยเริ่มจากข้อเท็จจริงที่ว่าNAT ไม่ได้ถูกใช้งานในลักษณะเดียวกันอุปกรณ์แต่ละเครื่องจะได้รับที่อยู่ IPv6 สากลที่ไม่ซ้ำกัน ซึ่งสามารถเข้าถึงได้โดยตรงจากอินเทอร์เน็ต เว้นแต่จะถูกบล็อกโดยไฟร์วอลล์

ในการตั้งค่า DMZ ใน IPv6 คุณต้องใช้มากกว่าแค่ซับเน็ต /64 ธรรมดาใน IPv6 แต่ละโซนความปลอดภัย (LAN, DMZ, guest ฯลฯ) ต้องมีที่อยู่ /64 ของตัวเอง ดังนั้นโดยปกติคุณจึงขอบล็อกขนาดใหญ่จากผู้ให้บริการอินเทอร์เน็ตของคุณ เช่น /56 หรือ /48 ซึ่งคุณสามารถแบ่งออกเป็นที่อยู่ /64 หลายๆ ที่อยู่ได้

แทนที่จะปรับแต่ง NAT คุณสามารถกำหนดค่าไฟร์วอลล์เพื่อกำหนดว่าทราฟฟิกใดได้รับอนุญาตให้ผ่านระหว่างอินเทอร์เน็ตและ DMZ และระหว่าง DMZ และ LANตัวอย่างเช่น คุณสามารถอนุญาตเฉพาะทราฟฟิก HTTP/HTTPS จากอินเทอร์เน็ตไปยังเว็บเซิร์ฟเวอร์ใน DMZ และอนุญาตเฉพาะบริการที่กำหนดจาก DMZ ไปยัง LAN เท่านั้น แนวคิดยังคงเป็นเขตกันชนที่มีการควบคุม แต่ใช้กฎการกรองแทนการแปลงที่อยู่

วิธีการตั้งค่า DMZ สำหรับคอนโซลของคุณทีละขั้นตอน

มาเริ่มกันเลย: วิธีการตั้งค่าคอนโซลให้อยู่ใน DMZ อย่างปลอดภัยและไม่ทำให้การตั้งค่าเสียหายหลังจากใช้งานไปสองสามวันหลักการพื้นฐานยังคงเหมือนเดิมเสมอ: การกำหนดที่อยู่ IP แบบคงที่ให้กับคอนโซล และ DMZ ที่ชี้ไปยังที่อยู่ IPนั้น

ขั้นตอนที่ 1: กำหนดที่อยู่ IP แบบคงที่ให้กับคอนโซล

สิ่งแรกที่ต้องทำคือตรวจสอบให้แน่ใจว่าคอนโซลมีที่อยู่ IP เดียวกันภายในเครือข่ายท้องถิ่นของคุณ เสมอ เนื่องจาก DMZ ของเราเตอร์ถูกกำหนดค่าให้ชี้ไปยังที่อยู่ IP เฉพาะ หากที่อยู่ IP เปลี่ยนไป การรับส่งข้อมูลจะถูกส่งไปยังอุปกรณ์อื่น

โดยทั่วไปแล้ว คุณมีสองวิธีในการทำเช่นนั้น:

• การกำหนดที่อยู่ IP แบบคงที่บนคอนโซลเองคุณเข้าถึงการตั้งค่าเครือข่ายของคอนโซล ปิดใช้งานการรับที่อยู่ IP อัตโนมัติ (DHCP) และป้อนที่อยู่ IP, ซับเน็ตมาสก์, เกตเวย์ และที่อยู่เซิร์ฟเวอร์ DNS ด้วยตนเอง ควรเลือกที่อยู่ IP ที่อยู่นอกช่วงที่กำหนดโดยเซิร์ฟเวอร์ DHCP ของเราเตอร์เพื่อหลีกเลี่ยงข้อขัดแย้ง
• DHCP estático en el เราเตอร์บนแผงควบคุมของเราเตอร์ ให้มองหาสิ่งที่คล้ายกับ "การกำหนดค่าด้วยตนเอง" หรือ "DHCP แบบคงที่" เลือกเครื่องคอมพิวเตอร์ (โดยใช้ที่อยู่ MAC) กำหนดที่อยู่ IP ให้ภายในช่วง DHCP แล้วบันทึก จากนั้น เครื่องคอมพิวเตอร์จะได้รับที่อยู่ IP เดียวกันเสมอ

ตัวอย่างเช่น ในเราเตอร์ ASUS หลายรุ่น คุณจะต้องไปที่LAN > DHCP Server เปิดใช้งานการกำหนดค่าด้วยตนเอง เลือกคอนโซลของคุณจากรายการ กำหนดที่อยู่ IP ให้กับคอนโซลนั้น (ตัวอย่างเช่น 192.168.1.50) และบันทึกการเปลี่ยนแปลง

ขั้นตอนที่ 2: เปิดใช้งาน DMZ บนเราเตอร์

เมื่อคุณทราบที่อยู่ IP แบบคงที่ของคอนโซลแล้ว คุณต้องบอกเราเตอร์ให้ส่งต่อทราฟฟิกขาเข้าทั้งหมดที่ไม่ได้ระบุพอร์ตไปยังคอนโซลนั้น โดยทั่วไปแล้วขั้นตอนจะคล้ายคลึงกันในผู้ผลิตส่วนใหญ่:

• คุณเชื่อมต่อพีซีหรืออุปกรณ์มือถือเข้ากับเราเตอร์ (ผ่านสายเคเบิลหรือ Wi-Fi) และ คุณสามารถเข้าถึงเว็บอินเทอร์เฟซได้โดยพิมพ์ที่อยู่ IP ของ LAN ของเราเตอร์ลงในเบราว์เซอร์ของคุณ (เช่น 192.168.1.1, 192.168.0.1 หรือ URL ที่ระบุไว้บนสติกเกอร์ เช่น http://www.asusrouter.com)
• เข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านของผู้ดูแลระบบ หากคุณไม่ทราบ ตรวจสอบฉลากหรือคู่มือการใช้งานของเราเตอร์โดยสรุปแล้ว การรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานจะคืนค่าข้อมูลประจำตัวเริ่มต้นกลับมา
• คุณกำลังมองหาส่วนของ... DMZ ซึ่งโดยปกติจะอยู่ภายใน WAN, ระบบรักษาความปลอดภัย, ไฟร์วอลล์, เซิร์ฟเวอร์เสมือน หรือแอปพลิเคชัน/เกมขึ้นอยู่กับยี่ห้อ
• คุณเปิดใช้งานตัวเลือก DMZ และป้อน ที่อยู่ IP ภายในที่คุณกำหนดให้กับคอนโซล.
• คุณบันทึกหรือใช้งานการเปลี่ยนแปลงเพื่อให้เราเตอร์เริ่มทำการเปลี่ยนเส้นทางการรับส่งข้อมูล

ตัวอย่างเช่น ในเราเตอร์ ASUS ขั้นตอนจะเป็นดังนี้: WAN > DMZ, เปิดใช้งาน DMZ, ป้อนที่อยู่ IP ของคอนโซล (192.168.1.50 ในตัวอย่าง) และกด Applyในรุ่นอื่นๆ ชื่อเมนูอาจแตกต่างกัน แต่ตรรกะจะเหมือนกันเสมอ

เครื่องเกมคอนโซลของนินเทนโด: คำแนะนำเฉพาะเจาะจง

ในคู่มืออย่างเป็นทางการของ Nintendo มีคำแนะนำทั่วไปสำหรับการตั้งค่า DMZ บน Switch (และคอนโซลอื่นๆ)แต่เน้นย้ำเสมอว่าความปลอดภัยของเครือข่ายเป็นความรับผิดชอบของผู้ใช้ กระบวนการที่ระบุไว้มีดังนี้:

• จากคอมพิวเตอร์ส่วนบุคคลหรืออุปกรณ์เครือข่าย จดบันทึกที่อยู่ IP, ซับเน็ตมาสก์ และเกตเวย์ จากเครือข่ายท้องถิ่น
• กำหนดอย่างใดอย่างหนึ่ง ที่อยู่ IP แบบคงที่สำหรับคอนโซล โดยอิงจากข้อมูลนั้น
• เข้าไปที่การตั้งค่าเราเตอร์ ค้นหาส่วน DMZ แล้วเปิดใช้งาน จากนั้น ป้อนที่อยู่ IP ของคอนโซลลงในช่องที่เกี่ยวข้อง.
• บันทึกและใช้งานเพื่อเปิดเผยคอนโซลสู่โลกอินเทอร์เน็ตผ่าน DMZ

พวกเขาเน้นย้ำให้คุณประเมินด้วยตนเองว่าการเปิดเผยข้อมูลนั้นเหมาะสมกับความต้องการด้านความปลอดภัยของเครือข่ายภายในบ้านของคุณหรือไม่ซึ่งเป็นการย้ำเตือนถึงความเสี่ยงที่แฝงอยู่ในการเปิดพอร์ตทั้งหมด

มันช่วยลดค่า ping และปรับปรุงคุณภาพเกมได้จริงหรือ?

สิ่งสำคัญที่ต้องเข้าใจให้ชัดเจนคือการวางเครื่องเล่นเกมไว้ใน DMZ ไม่ได้ช่วยลดค่า ping หรือทำให้การเชื่อมต่อ "เร็วขึ้น " อย่างน่าอัศจรรย์ แต่จะช่วยกำจัดปัญหาพอร์ตปิดและ NAT ที่ขัดแย้งกัน ซึ่งจะส่งผลให้เกิดข้อผิดพลาดในการเชื่อมต่อน้อยลง การถูกตัดออกจากเกมน้อยลง และการจับคู่ผู้เล่นราบรื่นขึ้น

ในบางเกมที่มีระบบเครือข่ายที่ออกแบบมาไม่ดี การขาดพอร์ตที่เปิดอยู่ อาจทำให้เกิดการจับคู่ที่ไม่สิ้นสุด การถูกเตะออกจากเกม ข้อผิดพลาดในการเชื่อมต่อ การเทเลพอร์ต ปัญหาการรักษาการเชื่อมต่อ และอื่นๆ อีกมากมายการอนุญาตให้เซิร์ฟเวอร์สื่อสารกับคอนโซลของคุณได้อย่างอิสระ มักจะช่วยลดปัญหาเหล่านี้ได้ แต่ค่าความหน่วง (ping) ที่แท้จริงนั้นขึ้นอยู่กับปัจจัยต่างๆ เช่น ความหน่วงของคุณไปยังเซิร์ฟเวอร์ เส้นทางเครือข่าย คุณภาพการเชื่อมต่อ และภาระงานของ ISP ของคุณ

วิดีโอและฟอรัมจำนวนมากโปรโมต DMZ ว่าเป็นเหมือน"โหมดเทอร์โบ" สำหรับการเล่นเกมออนไลน์แต่ความจริงแล้วมันเป็นเพียงความเชื่อมากกว่า ประโยชน์ของ DMZ อยู่ที่การทำให้พอร์ตใช้งานได้และหลีกเลี่ยงปัญหา NAT เท่านั้น ส่วนอย่างอื่นขึ้นอยู่กับผู้ให้บริการอินเทอร์เน็ตและวิธีการเขียนโปรแกรมของเกม

คอนโซลใน DMZ และสวิตช์อีเธอร์เน็ตแบบไม่จัดการ: เกิดอะไรขึ้น?

คำถามที่พบบ่อยมากคือจะเกิดอะไรขึ้นหากเครื่องเล่นเกมของคุณไม่ได้เชื่อมต่อโดยตรงกับเราเตอร์ แต่เชื่อมต่อกับสวิตช์อีเธอร์เน็ตแบบไม่มีการจัดการ (สวิตช์ "ธรรมดา")พร้อมกับอุปกรณ์อื่นๆ ความกังวลนี้เข้าใจได้: "ถ้าฉันใส่ที่อยู่ IP ของเครื่องเล่นเกมลงใน DMZ ฉันจะไม่ใส่สวิตช์ทั้งหมด (และอุปกรณ์ที่เชื่อมต่อทั้งหมด) ลงใน DMZ ด้วยหรือ?"

ในทางเทคนิคแล้ว คำตอบคือไม่ใช่ DMZ ใช้กับที่อยู่ IP เฉพาะ ไม่ใช่พอร์ตทางกายภาพบนสวิตช์ สวิตช์แบบไม่มีการจัดการจะส่งต่อเฟรมอีเธอร์เน็ตภายในโดยอิงตามที่อยู่ MAC เท่านั้น ไม่ได้ทำการ NAT กรองตาม IP หรือเข้าใจ DMZ

ในทางปฏิบัติ กระบวนการทำงานเป็นดังนี้: เราเตอร์จะมองเห็นที่อยู่ IP ของอุปกรณ์ทั้งหมดที่เชื่อมต่อกับสวิตช์ราวกับว่าอุปกรณ์เหล่านั้นเชื่อมต่อโดยตรงกับพอร์ต LAN ของเราเตอร์ เมื่อมีแพ็กเก็ตเข้ามาจากอินเทอร์เน็ต เราเตอร์จะตรวจสอบที่อยู่ IP ปลายทางและใช้กฎของมัน: หากมีการตั้งค่าการส่งต่อพอร์ต (port forwarding) ไว้ เราเตอร์จะส่งแพ็กเก็ตไปยังที่อยู่ IP ที่ระบุ หากไม่มีการตั้งค่าการส่งต่อพอร์ต และมีการกำหนดค่า DMZ ไว้ เราเตอร์จะเปลี่ยนเส้นทางแพ็กเก็ตไปยังที่อยู่ IP ของ DMZ หากไม่มีการจับคู่ใดๆ เราเตอร์จะทิ้งแพ็กเก็ตนั้นไป

ข้อพิจารณาขั้นสุดท้าย

ดังนั้น แม้ว่าเครื่องเล่นเกม พีซี ทีวี และ NAS จะอยู่บนสวิตช์เดียวกัน แต่จะมีเพียงที่อยู่ IP ที่กำหนดค่าเป็น DMZ เท่านั้นที่จะได้รับทราฟฟิกขาเข้าที่ถูกส่งต่อมาอุปกรณ์ที่เหลือจะยังคงได้รับการปกป้องโดยไฟร์วอลล์ของเราเตอร์ตามปกติ สวิตช์ทำหน้าที่เพียงแค่ส่งต่อสิ่งที่เราเตอร์ส่งไปยังที่อยู่ MAC ที่เกี่ยวข้องเท่านั้น ไม่มีอะไรมากไปกว่านั้น

สิ่งเดียวที่ต้องระลึกไว้คือ หากเครื่องเล่นเกมใช้การเชื่อมต่อทางกายภาพเดียวกัน และเครือข่ายเกิดการโอเวอร์โหลด (เนื่องจากการดาวน์โหลด การสตรีม ฯลฯ) คุณอาจสังเกตเห็นคุณภาพของเกมลดลงอย่างไรก็ตาม เรื่องนี้ไม่ได้เกี่ยวข้องกับ DMZ โดยตรง แต่เกี่ยวข้องกับแบนด์วิดท์ทั้งหมดที่มีอยู่และการกระจายแบนด์วิดท์นั้นระหว่างอุปกรณ์ต่างๆ

หากคุณสรุปจากทั้งหมดนี้ได้อย่างชัดเจน ควรจะเป็นว่า DMZ ของเราเตอร์เป็นเครื่องมือที่มีประโยชน์ในการช่วยลดปัญหาเรื่องพอร์ตและ NAT (โดยเฉพาะในคอนโซลและการตั้งค่าแบบสองเราเตอร์) แต่ควรใช้งานอย่างชาญฉลาด จำกัดเฉพาะอุปกรณ์ที่มีความปลอดภัยค่อนข้างสูง รักษา IP แบบคงที่และอัปเดตระบบอยู่เสมอ และใช้ทางเลือกอื่น เช่น การส่งต่อพอร์ตหรือ VPN เมื่ออุปกรณ์หรือข้อมูลที่มีความละเอียดอ่อนกว่านั้นมีความเสี่ยง