防火墙，NAT安全问题

blackwhite

如果在防火墙上用NAT，进行port forwarding。这个时候内网的提供服务的主机，需要不需要安装另外防火墙？
另外防火墙上NAT 80端口，这个时候防火墙不需要打开80端口吧？
安全问题，自己不可以马虎，先问清楚。:thank。

laonainai

Post by blackwhite;1901271
如果在防火墙上用NAT，进行port forwarding。这个时候内网的提供服务的主机，需要不需要安装另外防火墙？
另外防火墙上NAT 80端口，这个时候防火墙不需要打开80端口吧？
安全问题，自己不可以马虎，先问清楚。:thank。

服务器要装上防火墙。内网的所有机器按道理都应该装上防火墙。NAT本身不应该被看做防火墙。

NAT需要设置向内网服务器的80端口映射。即所有外网访问防火墙TCP 80端口的数据包都转发给内网服务器。

更专业的做法是设置DMZ，即Web服务器单独占一个“区域”，外网和内网都可以访问这个“区域”，这个区域除必要的数据外(比如DNS、SMTP、POP3)，不访问区域以外的任何资源。内网可以随意访问外网。外网只能主动访问DMZ的Web服务，不得访问内网的任何资源。

这样做更安全些，当然“费用”也更高。