Askerden Arındırılmış Bölge (DMZ): Örnekler & Mimari
Bir Askerden Arındırılmış Bölge (DMZ) ağı, bir kuruluşun genel erişime açık hizmetlerini barındıran bir alt ağdır. Genellikle Internet gibi güvenilmeyen bir ağa maruz kalan bir nokta görevi görür.
DMZ'ler, ev yönlendiricilerinden kurumsal ağlara kadar çeşitli ortamlarda, genel erişime açık hizmetleri yalıtmak ve iç sistemleri korumak için kullanılır. DMZ'ler (askerden arındırılmış bölgeler), genel erişime açık hizmetleri barındırırken onları bir kuruluşun iç LAN'ından yalıtır.1 Kuruluşlar, DMZ çevrelerini Zero Trust mikrosegmentasyon ve katı erişim kontrolleriyle birleştirir.2
Gerçek dünya DMZ örneklerini ve farklı DMZ mimarilerini (tek ve çift güvenlik duvarı) keşfedin:
DMZ ağ güvenliğinde neden önemlidir?
DMZ'ler, iç özel ağı savunmak için bir ağ segmentasyonu katmanı ekler. Genel internet ile kuruluşun özel ağları arasında bir tampon bölge oluşturur.
Bu alt ağlar, dahili sunuculara ve varlıklara yönelik harici erişimi sınırlayarak, saldırganların iç ağa sızmasını daha da zorlaştırır.
Tipik yapılandırmalarda (yukarıdaki şekle bakın), DMZ alt ağı iki güvenlik duvarı arasına veya birden çok arabirime sahip tek bir güvenlik duvarının özel bir bölümüne yerleştirilir. Bu, şunları sağlar:
- Yetkisiz erişim, bir DMZ'de barındırılan hizmet güvenliği ihlal edilse bile iç ağa engellenir.
- İnternetten gelen tüm gelen trafik, DMZ sunucularına ulaşmadan önce filtrelenir ve incelenir.
- İç ağ trafiği, DMZ'ye giden ve DMZ'den gelen trafik sıkı bir şekilde kontrol edilir ve izlenir.
DMZ örnekleri
DMZ örneği 1: Tek güvenlik duvarı ile DMZ uygulaması
Şekil 1'de görüldüğü gibi, DMZ ağı ne güvenlik duvarının içinde ne de dışındadır. Hem iç hem de dış ağlar üzerinden erişilebilir.
Bu ağ şemasının başlıca avantajlarından biri yalıtımdır. Örneğin, e-posta sunucusu saldırıya uğrarsa, saldırgan iç ağa erişemeyecektir. Bu senaryoda, saldırgan aynı fiziksel ağı paylaştıkları için DMZ'deki çeşitli sunuculara erişebilir.
Şekil 1. Basit DMZ diyagramı
Kaynak: International Journal of Wireless and Microwave Technologies3
Bu yapılandırmada, DMZ aşağıdaki erişim kontrollerini uygular:
- Dış ağ: Dış ağ, iç ağ ile bağlantı kuramaz, ancak DMZ'ye bağlantı başlatabilir.
- İç ağ: İç ağ dış ağlara bağlantı başlatabilir, ancak dış ağ iç ağa bağlantı başlatamaz.
DMZ örneği 2: Üçüncü taraf bir cihaza bağlı bir DMZ
Bir başka tipik DMZ yaklaşımı, bir satıcı gibi üçüncü taraf bir cihaza bağlanmaktır. Şekil 2, bir satıcının DMZ'deki bir yönlendiriciye T1 bağlantısı üzerinden bağlandığı bir ağı göstermektedir.
Bu DMZ örneği, şirketler sistemlerini dış bir tarafa devrettiklerinde, bu kurulum aracılığıyla satıcının sunucusuna doğrudan erişime izin vermek için kullanılabilir.
Şekil 2. Bir satıcıya bağlanan DMZ
Kaynak: Network Varrior4
DMZ örneği 3: Üçüncü taraf bir cihaza bağlı birden çok DMZ
Bazen karmaşık ağlar işleten kuruluşlar için tek bir DMZ yetersiz kalır. Şekil 3, birden çok DMZ'li bir ağı göstermektedir. Tasarım, ilk iki örneği birleştirir: Internet dışarıdadır ve kullanıcılar ağın içindedir.
Şekil 3. Birden çok DMZ
Kaynak: Network Varrior5
- DMZ-1, bir satıcıya erişim noktasıdır.
- DMZ-2, İnternet sunucularının bulunduğu yerdir.
Güvenlik gereksinimleri önceki örnekle (Örnek 2) tutarlıdır, ancak ek bir husus dikkate alınmalıdır: DMZ-1'in DMZ-2'ye bağlantı başlatmasına izin verilip verilmediği ve tam tersi.
Bu çift yönlü erişimin değerlendirilmesi, karmaşık ağ ortamlarında ayrıntılı güvenlik kontrollerinin uygulanmasına yardımcı olur.
DMZ mimarileri
Bir DMZ, tek güvenlik duvarından çift veya çoklu güvenlik duvarlarına kadar çeşitli şekillerde yapılandırılabilir. Günümüzdeki DMZ mimarilerinin çoğu, karmaşık ağları desteklemek için ölçeklenebilen ikiz güvenlik duvarlarını içerir.
1. Tek güvenlik duvarı
Bir DMZ içeren bir ağ mimarisi oluşturmak için en az üç ağ arabirimine sahip tek bir güvenlik duvarı gereklidir.
Şekil 4. Tek güvenlik duvarı mimarisinin gösterimi
Kaynak: SAP6
Neden tek güvenlik duvarı kullanılır: Tek bir güvenlik duvarı, trafik kontrolü, politika uygulama ve günlüğe kaydetmeyi tek bir cihazda birleştirerek ağ mimarisini basitleştirir. Bu, yönetim karmaşıklığını azaltır ve hem sermaye hem de işletme maliyetlerini düşürür. Çok katmanlı çevre savunmalarına ihtiyaç duyulmayan daha küçük ortamlar için en iyisidir.
2. Çift güvenlik duvarı
Bu uygulama, iki güvenlik duvarı kullanarak bir DMZ oluşturur.
Şekil 5. Çift güvenlik duvarı mimarisinin gösterimi
Kaynak: SAP7
Neden çift güvenlik duvarı kullanılır: Çift güvenlik duvarı daha güvenli bir sistem sunar. Bazı şirketlerde, iki güvenlik duvarı farklı sağlayıcılar tarafından sunulur. Harici bir saldırı ilk güvenlik duvarını aşabilirse, ikincisi farklı bir üretici tarafından yapılmışsa, ikinci güvenlik duvarını aşmak daha uzun sürebilir, bu da aynı güvenlik açıklarına yakalanma olasılığını azaltır.
Yakın zamandaki donanım sürümleri, büyük ortamlar için bir Intel Core i7-14701E işlemciye sahip olan ve yüksek verim (45 Gbps ham) sağlayan WatchGuard'ın Firebox M695'ini (Aralık 2025'te piyasaya sürüldü) de içeren DMZ güvenlik duvarı dağıtımları için yeni seçenekler sunmuştur.8
Küçük ve orta ölçekli işletme dağıtımları için, WatchGuard Firebox T185 (Ocak 2026'da piyasaya sürüldü), yaklaşık 5.7 Gbps ham güvenlik duvarı verimi ve şube ofis ağları için kurumsal sınıf güvenlik özellikleri sunar.9
Askerden Arındırılmış Bölge (DMZ) Avantajları
Bir DMZ'nin temel değeri, genel İnternet kullanıcılarına belirli harici hizmetlere erişim sağlarken, kuruluşun iç ağını koruyan bir bariyer görevi görme yeteneğinde yatar.
Bu ek güvenlik katmanı, birkaç önemli güvenlik avantajı sunar:
1. Erişim kontrolleri sağlar
Bir DMZ ağı, İnternet üzerinden erişilebilen ve şirketin çevre ağı içinde olmayan hizmetlere erişimi kontrol eder. Ayrıca, bir kullanıcının şirketin özel ağına giriş yapmadan önce aşması gereken engel sayısını artırarak bir ağ segmentasyonu katmanı ekler.
2. Ağ keşfini önler
Bir DMZ, saldırganın ağdaki olası hedefleri değerlendirme yeteneğini sınırlar. DMZ'deki bir makine saldırıya uğrasa bile, iç güvenlik duvarı özel ağı DMZ'den yalıtarak korur. Bu yapılandırma, harici ağ istismarlarını daha zor hale getirir.
3. Internet Protokolü (IP) sahteciliğini sınırlar
IP sahteciliği, yetkisiz erişim elde etmek için paketlerin kaynak IP adresini taklit etmeyi içerir. Bir DMZ, özellikle IP doğruluğunu onaylayan ek güvenlik önlemleriyle birleştirildiğinde, sahte trafiği tespit etmeye ve engellemeye yardımcı olur, böylece iç ağı kimlik hırsızlığı saldırılarından daha fazla korur.
Ağ güvenliğinde DMZ'lerin en önemli 5 güvenlik açığı
Bir DMZ yararlıdır, ancak zayıflıkları vardır. Bu zayıflıklar, saldırganların sorun bulmasını kolaylaştırabilir.
1. Genel bölümler internetten kolayca görülebilir
DMZ'deki sunucular, insanlar kullanabilsin diye açık olmalıdır. Bilgisayar korsanları, zayıflıkları aramak için bu genel erişime açık sistemleri bulup tarayabilirler.
2. Yanlış yapılandırma risk oluşturur
DMZ yapılandırması ve yönetimi karmaşık olabilir. Güvenlik duvarı kuralları veya erişim kontrolleri yanlış olursa, saldırganlar içeri girebilir.
3. Karmaşıklık hataları artırır
Bir DMZ, yönetilmesi gereken daha fazla cihaz, kural ve ayar ekler. Daha fazla karmaşıklık, daha fazla insan hatası olasılığı anlamına gelir.
4. Sahte bir güvenlik hissi
Bazı insanlar bir DMZ'nin bir ağı tamamen güvenli hale getirdiğini düşünür. Öyle değildir. Bir DMZ riski azaltır, ancak tüm saldırıları tek başına durduramaz.
5. DMZ'ler yeni teknolojilerle mücadele edebilir
Geleneksel DMZ tasarımları, bulut hizmetleri veya modern ağ modelleriyle iyi uyuşmayabilir, bu da kullanışlılıklarını sınırlar.
Şubat 2026'da, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Polonya'nın elektrik şebekesine yönelik bir siber saldırının ardından kritik altyapı operatörleri için yeni rehberlik yayınladı.10 Tavsiye, tehditleri operasyonel teknoloji (OT) ağlarında sınırlamaya yardımcı olmak için katı ağ segmentasyonu ve diğer kontrolleri vurgulamaktadır.
Tercih edilen kaynak olarak ekleDMZ'lerin uygulamaları
1. Bulut hizmetleri
Bazı bulut hizmetleri, şirketin şirket içi ağı ile mantıksal ağı arasında bir DMZ'nin kurulduğu hibrit bir güvenlik stratejisi kullanır. Bu strateji, genellikle şirketin hizmetleri kısmen şirket içinde ve kısmen mantıksal bir ağ üzerinden çalıştığında kullanılır.
AWS ve Google Cloud, yerleşik güvenlik duvarı hizmeti çözümlerini içerir. Örneğin, AWS, AWS Network Firewall (VPC'ler için yönetilen, durum bilgisi olan bir güvenlik duvarı hizmeti) sağlar.11 Google Cloud'un Cloud Next-Generation Firewall'u, alan adı tabanlı trafik kontrolü için bir URL filtreleme hizmeti içerir ve ayrıntılı ağ segmentasyonu için hiyerarşik güvenlik duvarı politikalarını destekler 12 .13
2. Ev ağları
Bir DMZ, LAN ayarları ve geniş bant yönlendiriciler kullanan ev ağları için de yararlı olabilir. Birçok ev yönlendiricisi, DMZ seçenekleri veya DMZ ana bilgisayar ayarları içerir. Bu seçenekler, kullanıcıların bir cihazı internete bağlamasını sağlar.
3. Endüstriyel kontrol sistemleri (ICS)
DMZ'ler, ICS ile ilişkili güvenlik sorunlarına bir çözüm sağlayabilir.
İnternete bağlanan operasyonel teknoloji (OT) ekipmanlarının çoğu, BT cihazları kadar saldırıları azaltmak için iyi tasarlanmamıştır. Bir DMZ, OT ağ segmentasyonunu geliştirerek kötü amaçlı yazılımların, virüslerin veya diğer ağ tehditlerinin sızmasını daha zor hale getirir.
Kuruluşlar, düz ağ çevrelerini Zero Trust modelleri ile değiştiriyor; bu modeller mikrosegmentasyon ve ayrıntılı erişim kontrolleri kullanır.14 OT ağları için yakın zamanda yayınlanan küresel rehberlik (Birleşik Krallık'ın NCSC'si ve CISA'nın işbirliğiyle oluşturulan), maruz kalan bağlantıları azaltmayı ve operasyonel sınırlarda katı ağ segmentasyonu uygulamayı vurgulamaktadır 15 .
4. Web ve e-posta barındırma
Web sunucuları gibi genel erişime açık hizmetler, genellikle harici kullanıcılara temel kaynaklara erişim sağlarken iç ağın güvenliğini korumak için bir DMZ içine dağıtılır.
5. Saldırı tespit ve önleme sistemleri (IDS/IPS)
Bazı güvenlik mimarileri, kötü niyetli davranışlar için gelen ve giden trafiği iç ağa ulaşmadan önce denetlemek üzere DMZ'ye IDS/IPS sensörleri yerleştirir.
6. İş ortağı ve satıcı erişimi
Üçüncü taraf iş ortaklarına veya satıcılarına ağ erişimi sağlayan kuruluşlar, genellikle paylaşılan hizmetleri (ör. API'ler, SFTP portalları) barındırmak için bir DMZ kullanır. Bu, harici tarafın erişimi tehlikeye girerse iç ağın maruziyetini sınırlar.
7. Uzaktan erişim ağ geçitleri
VPN yoğunlaştırıcıları, uzak masaüstü ağ geçitleri veya sanal masaüstü altyapısı (VDI) aracıları, genellikle iç sistemlere doğrudan internete maruz bırakmadan güvenli uzaktan erişim sağlamak için bir DMZ'ye dağıtılır.
Bu araştırmayı kaynak gösterin
Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Askerden Arındırılmış Bölge (DMZ): Örnekler & Mimari}},
year = {2026},
month = mar,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Erişim tarihi: 6 Mart 2026}
}Referans Linkleri
Yorum yapan ilk kişi olun
E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.