Webdienst hinter Router anbieten - Sicherheit

Hallo,

ich habe folgende Überlegungen und Fragen zum Theman Sicherheit bei einem Onlineschalten eines eigenen webservers ins Internet.

Ich kenne im Privatgebrauch den beliebtesten Weg über ein einfaches Port-Forwarding. Der Server auf den der Port geforwarded wird, muss natürlich so sicher wie möglich sein.
Aber wie sicher ist Portforwarding wirklich? Sagen wir es ist Port 443 und Port 80 geforwarded. Was kann von einem Angreifer aus alles passieren?
Was für Sicherheitsmechanismen kann man speziell im Bereich Portforwarding einsetzen/erweitern?

Das andere wäre die Option mit einer DMZ.
Was muss bei einer DMZ alles gemacht werden, um einen webserver seine Dienste in das Internet zu stellen?
Ist es einfach nur das der Server in der DMZ steht und von dem anderen physischen Netz getrennt ist, via 2 Firewalls zum Beispiel?
Wird dann einfach ein Portforwading auf den Server geschaltet der in der DMZ steht?
Oder gibt es noch eine andere Alternative ausser Portforwarding um den Server in das Internet routen zu lassen?

Was würdet ihr empfehlen bei dem Vorhaben einen Webdienst mit Port 443 und Port 80 evtl. in das Netz zuzulassen?
WIe würdet ihr vorangehen, was ist das sicherste Vorangehen was man in diesem Bereich machen kann?

Ist es als Übungsszenario sinnvoll privat einen IPCop Server laufen zu lassen, der als Router agiert und einen Webserver in einer DMZ freigibt?