DMZ (Demilitarized Zone) trong bảo mật mạng: Khái niệm, kiến trúc, triển khai và thực hành tốt

DMZ (Demilitarized Zone / Khu phi quân sự hóa) là gì?

DMZ là một **mạng con (subnetwork) vật lý hoặc logic** nằm giữa mạng nội bộ tin cậy (Internal/Trusted Network) và mạng ngoài không tin cậy (Internet/Untrusted Network). Mục đích: **Cung cấp dịch vụ công khai (web, email, DNS, VPN, FTP...) cho Internet mà không cho phép truy cập trực tiếp vào mạng nội bộ nhạy cảm.**

Kiến trúc DMZ phổ biến

1. Single Firewall (Three-legged Firewall) – Phổ biến cho SMB

   Internet
      │
      ▼
┌─────────┐
│ Firewall│ ◄── 3 interface: Outside (WAN), DMZ, Inside (LAN)
└─────────┘
   │       │
   ▼       ▼
  DMZ     LAN
(Web,    (DB, AD,
 Mail,   File, App
  DNS)    Server)

• Firewall duy nhất với 3 interface, dùng rule/zone kiểm soát traffic giữa 3 vùng
• Ưu: Rẻ, đơn giản. Nhược: Single point of failure, firewall xử lý nhiều traffic

2. Dual Firewall (Screened Subnet) – Tiêu chuẩn Enterprise

   Internet
      │
      ▼
┌─────────────┐
│ Firewall 1  │ ◄── Outside interface (WAN)
│ (External)  │
└─────────────┘
      │
      ▼
┌─────────┐
│   DMZ   │ ◄── Web, Mail, DNS, Proxy, VPN Gateway, API Gateway
│(Servers)│
└─────────┘
      │
      ▼
┌─────────────┐
│ Firewall 2  │ ◄── Inside interface (LAN)
│ (Internal)  │
└─────────────┘
      │
      ▼
     LAN
(DB, AD, ERP,
 Workstation)

• Firewall 1 (External): Chặn traffic từ Internet → chỉ cho phép port cần thiết đến DMZ (80, 443, 25, 53...)
• Firewall 2 (Internal): Chặn traffic từ DMZ → LAN (chỉ cho phép traffic quản trị, replication DB, API nội bộ)
• Ưu: Bảo vệ sâu (Defense in Depth), cô lập lỗi, nếu DMZ bị xâm nhập vẫn còn Firewall 2 bảo vệ LAN
• Nhược: Tốn kém, phức tạp hơn

3. Cloud DMZ (AWS/Azure/GCP)

• Public Subnet = DMZ (ALB, NLB, NAT Gateway, Bastion Host, VPN Gateway)
• Private Subnet = LAN (App Server, DB, Cache)
• Security Groups / NACL = Firewall logic thay thế firewall vật lý
• Cơ chế tương tự: Public subnet chỉ nhận traffic công khai, Private subnet không có đường đi ra Internet trực tiếp

Mục đích & Lợi ích của DMZ

• ✅ **Cô lập rủi ro:** Server công khai (dễ bị tấn công) tách biệt khỏi tài sản nhạy cảm (DB, AD, tài chính)
• ✅ **Kiểm soát traffic chặt chẽ:** Chỉ cho phép port/protocol cần thiết vào DMZ; DMZ→LAN chỉ cho traffic quản trị/replication
• ✅ **Tuân thủ:** PCI-DSS, HIPAA, GDPR yêu cầu tách hệ thống công khai và nhạy cảm
• ✅ **Giám sát tập trung:** IDS/IPS, WAF, log tập trung tại DMZ
• ✅ **Giảm bề mặt tấn công nội bộ:** Kẻ tấn công xâm nhập DMZ vẫn phải vượt Firewall 2 mới đến LAN

Cách bảo mật DMZ (Hardening DMZ)

DMZ tại nhà (Home Router DMZ) – Cảnh báo

Nhiều router gia đình có tính năng **"DMZ Host"** – chuyển **TẤT CẢ** port từ WAN đến một IP nội bộ.

• ⚠️ **KHÔNG phải DMZ thật** – đây là "1-to-1 NAT" / "Exposed Host"
• ⚠️ **Rất nguy hiểm:** Thiết bị đó hoàn toàn trần trước Internet – mọi port đều mở
• ✅ **Chỉ dùng khi:** Cần test nhanh, thiết bị không hỗ trợ UPnP/port forwarding, VÀ bạn hiểu rủi ro, có firewall phần mềm mạnh trên thiết bị đó
• ✅ **Thay thế an toàn:** Port Forwarding chỉ port cần thiết (VD: 80, 443 cho web server) + Firewall rule giới hạn IP nguồn nếu có thể

DMZ có còn cần thiết không?

CÓ. Dù xu hướng Zero Trust, Micro-segmentation, Cloud Native làm mờ ranh giới, nguyên tắc **cô lập workload công khai khỏi tài sản crown jewel** vẫn cốt lõi. DMZ hiện đại triển khai bằng: Security Groups (Cloud), Service Mesh (Istio/Linkerd), Zero Trust Network Access (ZTNA), API Gateway – nhưng tư duy cốt lõi không đổi.

DMZ và Gaming – Sự thật

• Bật DMZ Host trên router gia đình **KHÔNG** giảm ping, **KHÔNG** cải thiện hiệu năng game
• Nó chỉ mở **TẤT CẢ** port cho console/PC – rủi ro bị tấn công, botnet, khai thác
• Cách đúng: **Port Forwarding** các port game cụ thể (xem tài liệu game) + UPnP (nếu tin cậy) + QoS ưu tiên traffic game

Tóm tắt

DMZ = Mạng đệm giữa Internet và LAN nội bộ. Kiến trúc Dual Firewall an toàn nhất. Triển khai bằng firewall vật lý, ảo, hoặc Security Group/NACL trên Cloud. Bảo mật DMZ: Hardening OS/App, WAF, Micro-segmentation, SIEM, Vuln Mgmt. **Không bật DMZ Host trên router gia đình** – dùng Port Forwarding. DMZ vẫn cần thiết trong kiến trúc Zero Trust hiện đại.