DMZ，即Demilitarized Zone的縮寫，直譯為非軍事區(qū)或?；饏^(qū)，就是指介于內(nèi)網(wǎng)（可信任區(qū)）和外網(wǎng)（不可信區(qū)）之間的一個中間公共訪問區(qū)域（獨立網(wǎng)絡(luò)），目的在于在向外界提供在線服務(wù)的同時，阻止外部用戶直接訪問內(nèi)網(wǎng)，以確保內(nèi)部網(wǎng)絡(luò)環(huán)境的安全。該區(qū)域一般可以被外網(wǎng)用戶所訪問，但不能主動向內(nèi)網(wǎng)發(fā)起連接請求
在實際的運用中，某些主機需要對外提供服務(wù)，為了更好地提供服務(wù)，同時又要有效地保護(hù)內(nèi)部網(wǎng)絡(luò)的安全，將這些需要對外開放的主機與內(nèi)部的眾多網(wǎng)絡(luò)設(shè)備分隔開來，根據(jù)不同的需要，有針對性地采取相應(yīng)的隔離措施，這樣便能在對外提供友好的服務(wù)的同時最大限度地保護(hù)了內(nèi)部網(wǎng)絡(luò)。針對不同資源提供不同安全級別的保護(hù)，可以構(gòu)建一個DMZ區(qū)域，DMZ可以為主機環(huán)境提供網(wǎng)絡(luò)級的保護(hù)，能減少為不信任客戶提供服務(wù)而引發(fā)的危險，是放置公共信息的最佳位置。在一個非DMZ系統(tǒng)中，內(nèi)部網(wǎng)絡(luò)和主機的安全通常并不如人們想象的那樣堅固，提供給Internet的服務(wù)產(chǎn)生了許多漏洞，使其他主機極易受到攻擊。但是，通過配置DMZ，我們可以將需要保護(hù)的Web應(yīng)用程序服務(wù)器和數(shù)據(jù)庫系統(tǒng)放在內(nèi)網(wǎng)中，把沒有包含敏感數(shù)據(jù)、擔(dān)當(dāng)代理數(shù)據(jù)訪問職責(zé)的主機放置于DMZ中，這樣就為應(yīng)用系統(tǒng)安全提供了保障。DMZ使包含重要數(shù)據(jù)的內(nèi)部系統(tǒng)免于直接暴露給外部網(wǎng)絡(luò)而受到攻擊，攻擊者即使初步入侵成功，還要面臨DMZ設(shè)置的新的障礙。在這個小網(wǎng)絡(luò)區(qū)域內(nèi)可以放置一些必須公開的服務(wù)器設(shè)施，如HTTP、FTP、SMTP、流媒體等
許多防火墻產(chǎn)品都提供了DMZ的接口。硬件防火墻由于使用專門的硬件芯片，所以在性能和流量上有絕對的優(yōu)勢。軟件防火墻的性價比非常好，一般企業(yè)使用起來效果不錯。如果使用Linux防火墻，其成本將更低，也就說是一種是采用硬件（硬件防火墻）實現(xiàn)的方式，一種是采用軟件（linux iptables）的實現(xiàn)方式
1）、單防火墻（DMZ單防火墻架構(gòu)）：
在規(guī)劃DMZ區(qū)域時，可以確定以下六條基本訪問控制策略：
1）、內(nèi)網(wǎng)可以訪問外網(wǎng)
內(nèi)網(wǎng)的用戶顯然需要自由地訪問外網(wǎng)。在這一策略中，防火墻需要進(jìn)行源地址轉(zhuǎn)換
2）、內(nèi)網(wǎng)可以訪問DMZ
此策略是為了方便內(nèi)網(wǎng)用戶使用和管理DMZ中的服務(wù)器
3）、外網(wǎng)不能訪問內(nèi)網(wǎng)
很顯然，內(nèi)網(wǎng)中存放的是公司內(nèi)部數(shù)據(jù)，這些數(shù)據(jù)不允許外網(wǎng)的用戶進(jìn)行訪問
4）、外網(wǎng)可以訪問DMZ
DMZ中的服務(wù)器本身就是要給外界提供服務(wù)的，所以外網(wǎng)必須可以訪問DMZ。同時，外網(wǎng)訪問DMZ需要由防火墻完成對外地址到服務(wù)器實際地址的轉(zhuǎn)換
5）、DMZ訪問內(nèi)網(wǎng)有限制
很明顯，如果違背此策略，則當(dāng)入侵者攻陷DMZ時，就可以進(jìn)一步進(jìn)攻到內(nèi)網(wǎng)的重要數(shù)據(jù)
6）、DMZ不能訪問外網(wǎng)
此條策略也有例外，比如DMZ中放置郵件服務(wù)器時，就需要訪問外網(wǎng)，否則將不能正常工作。在網(wǎng)絡(luò)中，非軍事區(qū)（DMZ）是指為不信任系統(tǒng)提供服務(wù)的孤立網(wǎng)段，其目的是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問服務(wù)的網(wǎng)絡(luò)分開，阻止內(nèi)網(wǎng)和外網(wǎng)直接通信，以保證內(nèi)網(wǎng)安全
