DMZ (Demilitarized Zone): নেটওয়ার্ক সিকিউরিটিতে ভূমিকা, আর্কিটেকচার ও বেস্ট প্র্যাকটিস
**DMZ (Demilitarized Zone)** হলো একটি **পারিমিটার নেটওয়ার্ক সেগমেন্ট** যা একটি সংস্থার অভ্যন্তরিন (Trusted/Internal) নেটওয়ার্ক এবং বাহ্যিক (Untrusted/Internet) নেটওয়ার্কের মাঝে অবস্থিত। এটি পাব্লিক-ফেসিং সার্ভিস (Web, Mail, DNS, VPN Gateway) হোস্ট করার জন্য ব্যবহৃত হয় যাতে অভ্যন্তরিন নেটওয়ার্ক সরাসরি ইন্টারনেটের সম্মুখীন না হয়।
DMZ কীভাবে সিকিউরিটি উন্নত করে? (Core Benefits)
- Layered Defense (Defense in Depth): বাহ্যিক ফায়ারওয়াল (Internet ↔ DMZ) এবং অভ্যন্তরিন ফায়ারওয়াল (DMZ ↔ Internal) — দুই লেয়ার ফিল্টারিং। আক্রমণকারী প্রথম ফায়ারওয়াল ভেদলেও দ্বিতীয় ফায়ারওয়াল রক্ষা করে।
- Attack Surface Reduction: শুধু পাব্লিক সার্ভিসের পোর্ট (80/443, 25, 53) DMZ-এ খোলা থাকে। অভ্যন্তরিন সার্ভার (DB, AD, File Server) ইন্টারনেট থেকে সম্পূর্ণ অদৃশ্য।
- Containment / Blast Radius Limitation: DMZ সার্ভার কোম্প্রোমাইজ হলে আক্রমণকারী সরাসরি অভ্যন্তরিন নেটওয়ার্কে পড়ে না। লেটারাল মুভমেন্টের জন্য দ্বিতীয় ফায়ারওয়াল ভেদতে হয়।
- Traffic Inspection & Control: DMZ ↔ Internal ট্রাফিক শুধু নির্দিষ্ট পোর্ট/প্রোটোকল/সার্ভিসের জন্য Allow (যেমন: Web Server → App Server Port 8080, App Server → DB Port 1433)।
- Monitoring & Logging Focus: DMZ ট্রাফিক হাই-ভ্যালু টার্গেট—এখানে IDS/IPS, Full Packet Capture, SIEM লগিং কনসেন্ট্রেট করা যায়।
- Regulatory Compliance: PCI-DSS Requirement 1.3 (DMZ for Cardholder Data Environment), NIST 800-53 SC-7 (Boundary Protection) পূরণে সাহায্য।
DMZ আর্কিটেকচার টাইপ
| আর্কিটেকচার | বিবরণ | প্রসutus/কন্স |
|---|---|---|
| Single Firewall (Three-Legged) | একটি ফায়ারওয়ালে ৩ ইন্টারফেস: Outside, DMZ, Inside | ✅ সস্তা, সিম্পল | ❌ Single Point of Failure, Misconfiguration Risk |
| Dual Firewall (Back-to-Back) | দুটি আলাদা ফায়ারওয়াল: Front-end (Internet-DMZ), Back-end (DMZ-Inside) | ✅ স্ট্রাঙ্গার সিকিউরিটি, ভেন্ডর ডাইভারসিটি (যেমন: Palo Alto + FortiGate) | ❌ খরচি, কমপ্লেক্স |
| Cloud DMZ (Azure/AWS/GCP) | VPC/VNet-এ Public Subnet (DMZ) + Private Subnet (App/DB) + NAT Gateway/Firewall | ✅ স্কেলেবল, ম্যানেজড, নেটিভ ইন্টিগ্রেশন | ❌ ভেন্ডর লক-ইন |
| Zero Trust / Identity-Based DMZ | নেটওয়ার্ক লোকেশন বাদে আইডেন্টিটি ও কনটেক্সট ভিত্তিক এক্সেস (ZTNA, SASE) | ✅ আধুনিক, রিমোট-ফ্রেন্ডলি | ❌ লেগেসি অ্যাপ্লিকেশনের জন্য চ্যালেঞ্জিং |
DMZ-এ কী কী হোস্ট করা হয় (Typical Services)
- Web Servers (IIS, Nginx, Apache) / Load Balancers (F5, Azure LB, ALB)。——
- Email Gateways / SMTP Relays (Proofpoint, Mimecast, Exchange Edge)。——
- DNS Servers (Authoritative External DNS)。——
- VPN Gateways / RD Gateway / Citrix Gateway / Zscaler ZPA Connector。——
- Proxy Servers / Forward Proxies / Secure Web Gateways (SWG)。——
- FTP/SFTP Servers (Partner File Exchange)。——
- API Gateways / Public APIs (Kong, Apigee, Azure APIM)。——
DMZ সিকিউর করার বেস্ট প্র্যাকটিস
- Hardening: OS Hardening (CIS Benchmarks), Minimal Services, Disable Unused Ports, Auto-Patching।
- Network Segmentation within DMZ: Web Tier, App Tier, Proxy Tier আলাদা সাবনেট/ভিএলএন-এ।
- Application Layer Defenses: WAF (ModSecurity, AWS WAF, Azure WAF), API Gateway Security, Bot Management।
- East-West Traffic Control: DMZ সার্ভার আপসটি (Internal) কানেক্ট করবে শুধু নির্দিষ্ট পোর্ট/আইপি দিয়ে।
- Vulnerability Management: Continuous Scanning (Qualys, Tenable), Virtual Patching (WAF/IPS)。——
- Deception: DMZ-এ Honeypots (Cowrie SSH, Dionaea) ডিপ্লয় করুন আক্রমণকারী আট্র্যাক্ট/ডিটেক্ট করতে।
- Encryption: TLS 1.3 Enforce, mTLS Service-to-Service, Certificate Management (Venafi, Cert-Manager)。——
- DDoS Protection: Cloudflare, AWS Shield, Azure DDoS Protection, On-prem DDoS Appliance।
DMZ সক্রিয় করার রিস্ক (যদি ভুল কনফিগার করা হয়)
- DMZ Host / Exposed Host Feature (Home Routers): এটি **আসলে DMZ নয়**—এটি একটি IP-কে সব পোর্ট খুলে দেয় (1:1 NAT)। এটি **খুবই আপসুরক্ষিত**। এন্টারপ্রাইজে ব্যবহার করবেন না।
- Flat DMZ (সব সার্ভার একই সাবনেটে, ইন্টার-সার্ভার ফায়ারওয়াল নেই)。——
- ডিফল্ট ক্রেডেনশিয়াল, আউটডেটেড সফটওয়্যার, অপ্রয়োজনীয় পোর্ট ওপেন।
DMZ vs ফায়ারওয়াল: পার্থক্য
ফায়ারওয়াল হলো একটি **এনফোর্সমেন্ট পয়েন্ট** (টুল/ডিভাইস/সফটওয়্যার)। DMZ হলো একটি **নেটওয়ার্ক আর্কিটেকচার কনসেপ্ট/জোন** যা ফায়ারওয়াল দিয়ে বাস্তবায়ন করা হয়। DMZ বানানোর জন্য ফায়ারওয়াল দরকার।
ক্লাউডে DMZ (Azure / AWS / GCP)
- Azure: Public Subnet (App Gateway, Firewall, Bastion) + Private Subnet (VM, AKS, SQL) + NSG/ASG/Firewall Policy।
- AWS: Public Subnet (ALB, NAT Gateway, Bastion) + Private Subnet (EC2, RDS) + Security Groups + Network Firewall।
- GCP: External Load Balancer + Cloud Armor (WAF) + Private Service Connect + VPC Service Controls।
উপসংহার: DMZ আজও নেটওয়ার্ক সিকিউরিটির একটি **ক্রিটিক্যাল আর্কিটেকচার প্যাটার্ন**। যদিও Zero Trust/SASE মডেলে পারিমিটার ধুঁধলা হয়েছে, পাব্লিক-ফেসিং সার্ভিস হোস্টিং, থার্ড-পার্টি ইন্টিগ্রেশন, এবং রেগুলেটরি কম্প্লায়েন্সের জন্য DMZ (ফিজিক্যাল বা লজিক্যাল) অপরিহার্য। **Dual Firewall + Micro-segmentation + Continuous Monitoring** — এটি আধুনিক DMZ সিকিউরিটির মানদণ্ড।
