DMZ 的定位
工业 DMZ 位于控制网络与企业 IT 之间，是唯一的受控交换区。它的价值不在「多一道防火墙」，而在于让两侧不再直接互访：OT 侧把数据推送到 DMZ 内的代理服务，IT 侧只从 DMZ 取数据，所有跨区通信都在 DMZ 终止并重新发起。这样边界上不存在端到端可穿透的连接，任何一侧失陷都不会自动获得通往另一侧的能力。
DMZ 里放什么
| 数据代理与镜像 | 历史数据副本、报表与对外接口服务 |
|---|---|
| 分发服务 | 补丁与固件仓库、防病毒更新源 |
| 接入设施 | 远程接入跳板机与堡垒机 |
| 审计设施 | 日志汇聚与安全事件管理节点 |
| 基础服务 | 时间同步、证书服务与文件交换区 |
| 基本原则 | DMZ 内不保存生产凭据，不部署与两侧直通的双网卡转发主机 |
三种部署形态
| 形态 | 做法 | 适用与注意 |
|---|---|---|
| 双防火墙三区 | OT 防火墙与 IT 防火墙夹出 DMZ | 最通用，两侧策略独立维护 |
| 单防火墙多区 | 一台防火墙划分多个安全区 | 成本低，但区间规则易写错，需严格复查 |
| 单向网关 | OT 到 DMZ 只允许单向传输 | 适合数据上送，写需求另设独立通道 |
部署要点
- DMZ 与 OT、DMZ 与 IT 之间分别配置策略，禁止一条规则贯穿两侧
- DMZ 访问 OT 使用专用最小权限账户，且不在 DMZ 上保存长期凭据
- 补丁与防病毒更新只在 DMZ 落地，再经受控流程带入 OT 侧，避免 OT 直连互联网
- 时间同步不依赖互联网源，避免时间漂移导致日志无法对齐
- DMZ 内的主机同样需要加固、打补丁与监控，它本身也是高价值目标
- 明确 DMZ 内数据的保留期与访问权限，避免它成为数据外流的落脚点
常见误区是在 DMZ 里放一台双网卡主机做转发：这台主机同时连通两侧，等于把两个网络桥接起来，一次失陷即可跨越边界。正确做法是在 DMZ 内终止会话，由代理服务分别向两侧建立独立连接。
单向网关的单向性必须验证：部分产品的单向由策略实现而非物理结构决定，可能通过配置错误或管理口被绕过。上线时应做反向连通性测试，确认 DMZ 侧确实无法主动连接 OT 侧。