Criando uma DMZ: como isolar servidores públicos da rede interna
Quando um servidor precisa ficar acessível pela internet — como um site, servidor de e-mail ou API pública — ele se torna naturalmente mais exposto a ataques. Uma DMZ (zona desmilitarizada) isola esses servidores em um segmento de rede separado, para que, se um deles for comprometido, o invasor não tenha acesso direto à rede interna.
Conceito da DMZ
A DMZ fica entre a internet e a rede interna, geralmente conectada a uma interface própria do firewall. As regras de segurança tratam esse segmento como não confiável: o tráfego da DMZ para a rede interna é bloqueado ou extremamente restrito, enquanto o tráfego da internet para a DMZ é permitido apenas nas portas necessárias.
Passo a passo
- Reserve uma interface física (ou uma VLAN dedicada) no firewall para representar a zona DMZ, separada da LAN e da WAN.
- Conecte o switch da DMZ a essa interface e mova os servidores que precisam ser expostos publicamente para esse segmento.
- Crie uma política de firewall permitindo tráfego da internet (WAN) para a DMZ, apenas nas portas específicas que cada serviço usa (por exemplo, 443 para um site).
- Crie uma política separada bloqueando por padrão qualquer tráfego iniciado da DMZ em direção à rede interna (LAN).
- Se algum serviço na DMZ realmente precisar acessar um recurso interno (como um banco de dados), crie uma regra específica e restrita, permitindo apenas o IP, porta e protocolo estritamente necessários.
- Configure o NAT/port forwarding para direcionar o tráfego externo até os servidores da DMZ, seguindo o mesmo princípio de exposição mínima.
- Teste o acesso externo aos serviços publicados e confirme que, a partir da DMZ, não é possível alcançar hosts da rede interna sem autorização explícita.
Boas práticas
Trate todo servidor na DMZ como potencialmente comprometido: mantenha-o atualizado, com hardening aplicado e monitoramento de logs ativo — a DMZ reduz o raio de impacto de um ataque, mas não elimina o risco do servidor exposto em si.
Perguntas frequentes
Preciso de um firewall físico separado para a DMZ?
Não necessariamente — a maioria dos firewalls corporativos suporta múltiplas interfaces/zonas, permitindo configurar a DMZ no mesmo equipamento que protege a rede interna.
DMZ e VLAN são a mesma coisa?
Não. VLAN é a tecnologia de segmentação de rede; DMZ é o conceito de arquitetura de segurança que pode ser implementado usando uma VLAN dedicada, entre outras formas.
Conclusão
Uma DMZ bem planejada é uma das arquiteturas mais eficazes para expor serviços à internet sem colocar em risco direto o restante da infraestrutura corporativa.
