家庭安全网络搭建：Web/邮件服务器部署与设备适配咨询

一、服务器该放DMZ还是防火墙后方？ #

• 选DMZ区：如果用单台PC同时跑web和email服务器，放DMZ是比较省心的方案。DMZ是防火墙和公网之间的隔离区，外部访问只会触碰到这台服务器，不会牵连内部的PC、打印机这些设备。但记住，这台服务器必须自己做好安全加固——关掉没用的端口、定期更新系统和软件、设置强密码，毕竟它直接暴露在公网里，容易被扫描攻击。
• 选防火墙后方（LAN内）：要是不想服务器直接暴露，就把它放在内部局域网里，然后在路由器上做端口转发配置，把公网的80/443（web服务用）、25/587/143/993（邮件服务用）端口，映射到这台服务器的对应端口上。这种方式下，服务器在防火墙保护范围内，外部只能访问你指定的端口，内部网络更安全，但需要仔细配置转发规则，别误开多余端口。

二、怎么确认你的Modem和路由器能不能支持？ #

• 检查端口转发功能：登录路由器管理后台，查找“端口转发”“虚拟服务器”或者“NAT规则”这类选项，看是否能将公网端口指向内部某台PC的IP地址。绝大多数家用路由器都支持该功能，但部分运营商定制的一体机可能会屏蔽80、25这类常用服务器端口，碰到这种情况可以尝试用非标准端口（比如web用8080，邮件用2525）绕开限制。
• 检查DMZ功能：同样在路由器后台查找“DMZ主机”选项，确认是否能指定一个内部IP作为DMZ主机，开启后该机器的所有端口会直接暴露到公网。
• 确认公网IP类型：先明确你的宽带是静态公网IP还是动态IP。动态IP的话，需要使用路由器自带的DDNS服务绑定域名，否则IP变动后外部将无法访问服务器。另外，如果运营商提供的是内网IP（CGNAT），外部无法直接访问你的服务器，需要联系运营商申请公网IP。

三、额外的安全提醒 #

• 不管选择哪种部署方式，服务器的系统、web/email软件必须及时更新到最新版本，关闭不必要的服务和端口。
• 给服务器设置独立的强密码，不要和家用PC共用密码。
• 务必开启路由器的防火墙功能，定期用Shields Up这类工具扫描网络，确保除了你需要开放的端口外，其他端口都处于隐身状态。
• 打印机和家用PC放在内部LAN的安全区域，不要暴露到公网，仅允许内部设备访问。

内容的提问来源于stack exchange，提问作者Lonewolf