构建网络安全的核心缓冲区，在互联互通与绝对安全之间建立平衡。
DMZ (Demilitarized Zone) 是位于内部网络（高信任区）和外部网络（零信任区，如互联网）之间的一个物理或逻辑隔离的子网。
DMZ 的核心目标是增强网络安全性。它通过隔离策略，确保即使对外提供服务的服务器（如 Web 服务器）被攻击者攻破，攻击者也无法直接利用这些跳板渗透到存放核心数据和业务逻辑的内部网络。
就像机场的安检区。送机的人（外部网络）只能到达安检口外；旅客（数据流量）经过检查进入候机厅（DMZ）；只有经过更严格验证的人员才能进入驾驶舱或停机坪（内部核心网络）。
古代城堡的瓮城（护城河与主城门之间的区域）。敌人如果攻破了第一道门进入瓮城（DMZ），依然面临第二道坚固的主城门（内部防火墙），且在瓮城中无处可躲，无法直接威胁主堡（内部网络）。
下图展示了典型的 DMZ 部署架构。请注意观察流量流向和防火墙的位置。
DMZ 位于外部不可信网络与内部可信网络之间。它作为一个“缓冲区”，承载了所有必须对公众开放的服务。通过将这些高风险服务隔离在 DMZ 中，即使它们被黑客攻陷，黑客也只是获得了一个受限区域的访问权，而无法直接触及内部核心数据。
DMZ 的安全性依赖于严格的防火墙规则（ACL）：
随着企业开始将内部网络连接到互联网，DMZ 的概念应运而生。最初的实现非常简单，通常是在路由器上配置简单的访问控制列表（ACL）。
Check Point、Cisco PIX 等专业防火墙产品开始流行，提供了更强大的状态检测功能。双防火墙架构成为企业级标准配置。
网络安全威胁变得更复杂，企业开始采用多层 DMZ、入侵检测系统（IDS）、Web 应用防火墙（WAF）等更复杂的安全架构。
云计算和零信任架构的兴起挑战了传统 DMZ 模型。边界变得模糊，安全策略需要包含身份验证、微分段等新技术。
适用场景：小型企业、成本敏感场景
适用场景：中大型企业、高安全要求场景
适用场景：金融、政府、医疗等高安全级别场景
| 特性 | 单防火墙 | 双防火墙 | 多层 DMZ |
|---|---|---|---|
| 安全性 | ⭐⭐ | ⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ |
| 成本 | 低 | 中 | 高 |
| 复杂度 | 低 | 中 | 高 |
| 适用企业规模 | 小型 | 中大型 | 大型/金融 |
随着云计算和微服务架构的普及，传统的 DMZ 概念正在经历深刻的变革。
VPC 公有/私有子网 + 安全组 + NACL + ALB/NLB
VNet + NSG + Azure Firewall + Application Gateway
VPC + 防火墙规则 + Cloud Armor + Cloud Load Balancing
仅开放业务必需的端口和协议。默认拒绝所有流量，显式允许所需连接。
记录所有进出 DMZ 的流量，配置实时告警，定期审计防火墙规则。
DMZ 中的服务器更易受攻击，必须及时更新安全补丁和软件版本。
DMZ 服务器不应存储任何敏感数据。应用配置、凭证应从内部网络安全获取。
结合 IDS/IPS、WAF、防病毒软件等多种安全措施，不要依赖单一防线。
定期进行渗透测试和漏洞扫描，主动发现并修复安全弱点。
DMZ 是一个半信任区域，允许来自互联网的访问；而内网是完全受保护的可信区域，不允许外部直接访问。DMZ 充当缓冲层，防止攻击者直接接触内网资源。
如果 Web 服务器放在内网并被攻破，攻击者将直接获得内网访问权限，可以横向移动到数据库、文件服务器等核心系统。而放在 DMZ 中，即使被攻破，攻击者仍然面临第二道防火墙屏障。
如果您的企业需要对外提供任何服务（如网站、邮件、API），那么某种形式的 DMZ 是必要的。小型企业可以使用单防火墙三接口架构或云服务提供商的 VPC 隔离方案。
通过内部防火墙严格控制：仅允许 DMZ 中特定服务器的特定 IP 访问内部特定数据库的特定端口。更安全的做法是使用 API 网关或数据库代理。
零信任不是要取代 DMZ，而是补充和增强它。在混合云/远程办公环境中，零信任原则加强了身份验证和访问控制，但对于需要直接暴露在互联网上的服务，网络层面的隔离仍然很重要。
DMZ 是现代网络安全架构的基石之一。它体现了“纵深防御” (Defense in Depth) 的思想。通过牺牲一部分便利性来换取架构上的安全性，DMZ 确保了企业在拥抱互联网开放性的同时，守住了核心资产的最后一道防线。
关键价值： 即使前线失守（DMZ 被攻破），核心阵地（内部网络）依然安全。