DMZ 区域设计是什么
DMZ 是放置对外服务服务器的独立区域，设计目标是把服务器被攻陷后的影响限制在该区域内：互联网只能访问 DMZ 的业务端口，DMZ 主动访问内网必须逐条放行，内网访问 DMZ 按运维需要控制。它的价值不在区域的名称，而在于策略矩阵是否被逐条落实。实践中失分最多的是 DMZ 到内网的整段放行，以及运维通道直接开在公网侧。
基本信息
| 放行原则 | 互联网到 DMZ 只开业务端口；DMZ 到内网默认拒绝，仅放行必要回源 |
|---|---|
| 禁止做法 | DMZ 任意访问内网数据库、域控与管理网段 |
| 配套措施 | DMZ 服务器使用独立补丁与变更流程，日志单独留存 |
| 运维通道 | 从运维区经策略受控访问，不用公网直接开远程桌面 |
| 核查手段 | 导出策略矩阵，按业务逐条核对放行范围与必要性 |
典型使用场景
- 网站群改造：把对外发布的服务器从内网迁到 DMZ
- 新业务上线：新增对外服务前确定区域归属与放行清单
- 等保整改：按测评项要求限制 DMZ 与内网的访问关系
- 渗透测试后整改：把测试中发现的横向路径逐条封堵
- 日常评审：定期核对 DMZ 策略矩阵与业务清单是否一致
策略矩阵示例
策略矩阵示例
untrust -> dmz : 仅 80/443 到指定服务器 # 只开业务端口
dmz -> trust : 默认拒绝，仅放行必要回源（认证接口、数据库端口）
trust -> dmz : 运维按需并限制时间与来源
local <- dmz : 禁止，管理入口仅运维区可达
# 每条回源放行都要注明目的地址、端口与业务负责人DMZ 常见薄弱点
| 薄弱点 | 风险 | 收敛做法 |
|---|---|---|
| DMZ 整段访问内网 | 一台服务器失陷即可横向渗透 | 按目的地址与端口逐条放行 |
| 公网开放远程管理 | 管理端口可被直接爆破 | 管理走运维区或跳板机 |
| 服务器多网卡直连内网 | 绕过策略形成旁路路径 | 统一收敛到防火墙转发 |
| 补丁不及时 | 对外服务成为稳定入口 | 纳入统一补丁与变更流程 |
| 日志未留存 | 入侵后无法还原过程 | DMZ 流量日志单独留存并监控 |
DMZ 到内网的回源策略要按目的地址与端口逐条收敛，避免留下整段放行：一条宽泛回源规则会让此前所有的区域划分努力失去意义。