2026/7/23大约 3 分钟
DMZ（Demilitarized Zone，隔离区 ） 是网络安全中的一个重要概念。
如果把你的内网（局域网）比作私人住宅，把公网（互联网）****比作混乱的街道，那么 DMZ 区就像是住宅门前的“小院子”或“接待室”。
1. 为什么需要 DMZ 区？
在企业网络中，有些服务必须让外部用户访问（比如公司官网、邮件服务器、FTP 端口）。
- 如果不设 DMZ： 你直接把服务器放在内网，一旦服务器被黑客攻破，黑客就直接进入了你的内网核心区域。
- 如果设了 DMZ： 即使这台面向公众的服务器被攻破，黑客也只能在 DMZ 这个“小院子”里活动，无法轻易越过第二道防火墙进入你的“私人住宅”。
2. DMZ 的工作原理
DMZ 通常通过防火墙的规则来实现。标准的 DMZ 架构（双防火墙模式）遵循以下访问逻辑：
- 公网用户 → DMZ： 允许访问。用户可以查看网页、发送邮件。
- DMZ → 内网：****严格禁止（或受限）。DMZ 内的服务器不能主动发起连接去访问内网的核心数据库或员工电脑。
- 内网 → DMZ： 允许访问。内网管理员可以管理 DMZ 区的服务器。
- 内网 → 公网： 允许访问。员工可以上网。
3. DMZ 区通常放什么？
只有那些必须暴露在公网上的服务才应该放在 DMZ：
- Web 服务器： 你的官方网站。
- 邮件服务器（Email Server）： 负责收发外部邮件。
- FTP 服务器： 提供文件下载。
- DNS 服务器： 域名解析服务。
- 跳板机/VPN 网关： 远程接入的入口。
4. DMZ 的实现方式
A. 单防火墙模式（三向控制）
使用一台防火墙，但它有三个网口：一个接公网，一个接内网，一个接 DMZ。通过在这台设备上配置不同的安全策略来隔离三个区域。
B. 双防火墙模式（背靠背）
最安全的方式。
- 外侧防火墙： 挡在公网和 DMZ 之间。
- 内侧防火墙： 挡在 DMZ 和内网之间。 这种方式提供了双重保障，黑客需要攻破两台不同配置（甚至不同品牌）的防火墙才能进入内网。
5. 总结：它与跳板机的关系
你之前问过跳板机，其实跳板机通常就部署在 DMZ 区。
- 物理位置： 跳板机住在 DMZ 这个“接待室”里。
- 协作方式： 你从公网先进入 DMZ 的跳板机，再通过跳板机跨过第二道防火墙进入内网。
[!TIP] 对于家庭用户： 很多家用路由器里也有“DMZ 主机”设置。如果你开启它并指向某台电脑，那台电脑的所 有端口都会暴露在互联网上。除非你要跑特殊的服务器或联机游戏，否则不建议家庭用户开启，因为这相当于撤掉了所有防护。
你想了解如何利用 Linux（如 iptables）手动配置一个简单的 DMZ 隔离规则，还是想看看它在更复杂的云环境（如 VPC）中是如何演变的？