DMZ 区域设计与策略收口

把对外发布服务器放入 DMZ 区，限制 DMZ 主动访问内网，服务器被攻陷时把影响面限制在 DMZ 内。

放行原则	互联网→DMZ 仅开放业务端口；DMZ→内网仅必要回源；内网→DMZ 按需
禁止默认	DMZ 任意访问内网数据库与域控
配套	DMZ 服务器单独域名与补丁管理流程

策略矩阵示例

untrust -> dmz : 仅 80/443 到指定服务器
dmz -> trust  : 默认拒绝，仅放行必要回源（如认证接口）
trust -> dmz  : 运维按需（带审计与时间段）

DMZ 到内网的回源策略要按目的地址与端口逐条收敛，避免留下整段放行。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌