DMZ 是内网（信任区）、外网（互联网，不信任区）之间独立的子网缓冲区，把需要对外提供服务的服务器（Web、反向代理、邮件网关等）单独放这里；依靠防火墙区域策略 + 子网 / VLAN 隔离 + NAT实现流量单向管控：外网永远不能直连内网，DMZ 默认禁止主动访问内网，就算 DMZ 服务器被拿下，黑客也不能直接横向渗透进内网核心。
两种主流架构
三腿防火墙（单防火墙 3 接口，最常用） 防火墙三个接口分别接：WAN (外网)、DMZ、LAN (内网)，在一台防火墙上配置不同安全域 ACL 控制流量。
双防火墙屏蔽子网（高安全企业 / 等保场景） 外网 → 外网防火墙 → DMZ 子网 → 内网防火墙 → 内网。黑客需要连续突破两道防火墙才能触达内网，防护更强。
标准访问控制策略（隔离的关键规则）
补充：家用路由器上的 “DMZ 主机”≠标准企业 DMZ，家用 DMZ 只是把一台内网主机做全端口映射暴露公网，没有隔离保护，安全性很差，不要和企业 DMZ 架构混淆Cisco。
配套隔离技术
独立子网 + VLAN：DMZ、LAN、WAN 三层二层隔离，二层无法直接互通，所有跨域流量必须经过防火墙校验；
NAT 地址转换：外网访问 DMZ 使用公网 IP，不直接暴露服务器真实内网地址；
安全域优先级：防火墙设置安全级别：内网 (高) > DMZ (中) > 外网 (低)，默认高安全域可以流向低安全域，反向必须显式放通策略；
边界检测：WAF、IDS/IPS 部署在 DMZ 边界，过滤攻击流量。
一句话总结隔离逻辑
外网只能碰 DMZ；DMZ 不能主动碰内网；内网可以主动访问 DMZ 和外网，对外服务和核心内网之间增加一道 “隔离缓冲区”，把攻击面限制在 DMZ 区域内。