【IT168 专稿】作为企业网络管理员的我们一方面要保证企业内网速度通常，另一方面又要确保企业内网各个员工计算机不受病毒和黑客的侵袭。那么我们是否能够有办法让两手抓两手都要硬呢?答案是肯定的，今天就请各位跟随笔者一起通过巧妙设置弥补DMZ堡垒主机的先天缺陷，让我们可以兼顾安全与速度。

　　一，DMZ堡垒主机的缺陷：

　　首先我们要知道DMZ堡垒主机设置是在企业网络中最常用的方法，一般来说连接在企业内网或者路由交换设备下属的计算机都应该算做内网，在内网中的计算机联网时会遇到种种麻烦，例如服务无法直接通讯，P2P软件无法获得高ID等等。正常情况下网络管理员可以通过开启路由交换设备的DMZ功能，让DMZ区域中的计算机可以如同外网直接连接一样，从而突破上述限制。

　　但是在实际使用过程中却出现了两个问题，首先DMZ堡垒主机下的计算机与完全裸露在Internet外网一样，很容易受到外部入侵和病毒的攻击;另一方面DMZ主机设置需要单独划分网段，对于中低端路由交换设备来说DMZ主机往往只能设置一台或者几台，无法灵活的开启。

　　二，步步为营解决DMZ堡垒主机缺陷：

　　正因以上两大问题造成了中小企业在应用DMZ堡垒主机时遇到了一些麻烦，如何既通过路由交换设备保护内网计算机又可以针对多台计算机的DMZ发布或解决内网应用限制呢?下面就请各位读者跟随笔者一起手把手弥补DMZ功能缺陷。

　　第一步：一般情况当我们的计算机处于内网中进行下载或其他网络应用时往往会发现速度非常不理想，网络状态处于受限，相关下载只有几KB/S。(如图1)

　　第二步：虽然我们可以通过路由交换设备的DMZ主机设置来突破这种限制，但是大部分中低端路由交换设备都只容许我们设置一个IP地址作为DMZ主机，因此在使用上非常不方便。(如图2)

　　第三步：要想彻底突破DMZ堡垒主机功能的缺陷我们就需要从本机下手，首先查看“网上邻居”->“属性”，在这里会看到对应的本地连接情况。(如图3)

　　第四步：如果拥有“Internet 网关”显示图标的话我们只需要开启路由交换设备的UPNP功能就可以实现速度的突破以及内网安全防护双功能了。如果没有“Internet 网关”信息那么可以按照接下来的步骤添加开启。

　　第五步：要想让本机具备“Internet 网关”图标而支持UPNP功能就需要通过“开始”->“运行”->“输入services.msc”，然后进入服务设置窗口，找到SSDP Discovery Service和Universal Plug and Play Device Host两项服务将其设置为启动。(如图4)

　　小提示：

　　在实际使用过程中由于之前SSDP服务出过严重的安全问题，所以各位读者在使用internet网关时也要在安全与速度两方面找到平衡点，根据实际需要去设置。实际上internet网关与uPnP是一个整体，UPNP是局域网的一个协议，其中uPNP服务是server，SSDP服务是客户端。目前最常用的有两个服务使用这个协议，一个就是哪个Internet网关。还有一个就是媒体共享。

　　第六步：接下来回到路由交换设备中开启UPNP服务，保存设置后退出。(如图5)

　　第七步：之后打开本机的“控制面板”->“添加删除程序”->“添加删除windows组件”。(如图6)

　　第八步：在添加删除Windows组件中找到“网络服务”，然后选中点“详细信息”按钮。(如图7)

　　第九步：在“网络服务”详细信息中我们将UPNP用户界面选中，确定后保存退出。(如图8)

　　第十步：之后系统会自动安装相关服务，复制必须文件到本地硬盘。(如图9)

　　第十一步：在本机安装了UPNP功能后我们在Windows防火墙中的例外标签下将会看到“UPNP框架”一栏，将其选中后表示容许UPNP数据通过防火墙传输。(如图10)

　　第十二步：全部设置完毕后我们再次进入“网上邻居”->“属性”，在这里将会看到新出现的“internet网关”图标。这个就是关键的UPNP服务。(如图11)

　　第十三步：在本机开启了UPNP功能出现“internet网关”图标并配合路由交换设备上开启UPNP功能后，我们在本机进行相关网络服务和应用时就会感受到速度的大幅度提高，同时网络状态也从受限变为正常。(如图12)

　　三，巧设置让UPNP只为我服务：

　　平时我们接触最多的UPNP(universal plug and play device hos)功能广泛用在P2P软件中，相信不好读者在安装BT工具时都会让其自身的UPNP功能启用，不过如果仅仅启动UPNP功能而没有开启SSDPSRV(SSDP Discovery service)服务的话，UPNP是无法工作的，我们从服务中的依存关系也可以清晰的看到这个关联。(如图13)

　　那么我们如何才能够通过巧妙设置让UPNP只为某个网络应用所服务呢?笔者以电驴为例进行介绍。我们将电驴的“放行”信息添加到internet网关规则中，首先查看电驴使用的通讯端口，通过电驴程序的选项->连接窗口可以看到客户端口相关信息，包括使用的TCP端口为4168，使用的UDP端口为4178。当然各位读者使用时的实际端口可以有所区别，我们记录这些端口号即可。(如图14)

　　接下来我们再次返回到internet网关图标属性中的“设置”窗口，选择“添加”按钮输入新规则，接下来的操作就非常简单了，依次输入服务名称，本机IP地址以及服务使用的外部端口号，内部端口号，这里有一个简单的方法就是让外部和内部端口号都一致即可。除了设置TCP端口规律规则外我们还要继续添加UDP端口规则。(如图15)

　　添加完毕确定，再次登录电驴我们会看到ID信息又回到了高ID，我们的下载上传速度又没有任何限制了。要知道这可是在没有设置DMZ堡垒主机的情况下完成的突破限制功能。(如图16)

　　四，总结：

　　通过本文我们可以完全摆脱针对路由器上进行所谓的DMZ堡垒主机的设置，而且也不用再为堡垒主机可用IP地址数量局限所烦恼了，经过本文介绍我们可以直接在本机上针对某个服务某个应用进行突破限制操作，从而让网络应用更加灵活，要知道单纯的开启DMZ堡垒主机会将所有网络应用的限制都解除，而通过internet网关来设置规则只会针对规则中涉及到的服务与应用来解除限制，这样我们就可以更好的使用家庭网络，更加灵活的配置各个网络程序。