按照以下顺序逐步了解并设置DMZ主机。
路由器的DMZ(非军事区)主机功能,会把所有不符合其他规则的外部请求,整体转发给你指定的某一台内部设备。平时路由器会像防火墙一样,拦截绝大多数未经请求的外部连接;而被设为DMZ的设备则失去这层保护,几乎所有端口都会直接暴露在外网。
端口转发只把"80、443这类需要的端口"开放给特定设备,而DMZ相当于把这台设备的几乎所有端口都暴露在外网。当需要用到多个端口的服务器或游戏,单靠端口转发始终解决不了问题时,DMZ才会被当作最后的手段来考虑。
常见于临时测试一些很难确定具体是哪个端口被挡住的复杂服务器或程序,或者在双重NAT这类端口转发也无法解决的特殊网络结构下,用来暂时缩小排查范围、定位问题所在。
首先必须给目标设备设置一个静态IP,因为一旦IP变化,DMZ的转发对象也会跟着变。之后在路由器管理页面的高级设置或NAT/安全菜单里找到"DMZ"选项,启用它,填入目标设备的静态IP地址,保存并重启路由器即可生效。
被设为DMZ的设备脱离了路由器的保护,几乎直接暴露在互联网上,因此必须打开操作系统自带的防火墙,关闭不必要的服务,并把正在使用的所有程序都保持在最新版本。如果把安全设置薄弱的设备放进DMZ,很可能会成为黑客直接入侵的通道。
DMZ应当作为诊断问题或特殊用途的临时设置来使用,一旦达到目的就应立刻关闭。如果只是需要开放特定端口,用端口转发只打开所需的端口,要比DMZ安全得多。
DMZ更接近于在难以准确定位所需端口时使用的一种应急手段。如果已经知道需要哪个端口,用端口转发只开放那一个端口会安全得多。
如果PS5或Xbox的NAT类型一直显示为严格(Strict),建议先尝试游戏主机NAT类型详解与解决方法里介绍的UPnP和端口转发方法,再考虑DMZ。
大多数连接相关的问题确实能得到解决,但代价是承担相应的安全风险,所以并不是推荐的常规做法。建议先尝试只开放所需端口的端口转发,实在解决不了时,再把DMZ作为临时手段考虑。
部分入门级路由器,或者运营商提供的路由器,可能压根不支持DMZ功能,或者把它藏在高级设置菜单很深的地方。可以在厂商说明书里搜索"DMZ";如果是运营商提供的路由器,直接联系客服确认是否支持这一功能会更靠谱。