DMZ（全称Demilitarized Zone，中文为“非军事区”[1]，或称Perimeter network，即“边界网络”、周边网络[2]或“对外网络”）为一种网络架构的布置方案，常用的架设方案是在不信任的外部网络和可信任的内部网络外，建立一个面向外部网络的物理或逻辑子网，该子网能设置用于对外部网络的伺服器主机。
 | 此条目需要精通或熟悉相关主题的编者参与及协助编辑。 (2015年12月14日) |
该方案可以使用在防火墙、路由器等区隔内外网的网络装置。在一些网络装置，DMZ的功能只能以软件设置的接口去设置并实现，实体的网络层相接，会与一般的LAN PORT相接共同管理。在另一些网络装置，如高级的防火墙装置，DMZ的功能除了软件的接口的设置外，在实体的连接PORT除了一般的WAN PORT、LAN PORT外，还会有另外独立的DMZ PORT，这样可以方便网络管理人员在管理网段时，除了软件接口上去设置WAN、LAN、DMZ等网段外，在实体的缆线连接（通常采用的是RJ45）时，也可以直接区分网段，更方便管理。
一般而言：DMZ区会有以下特点：
- 提供服务给外界存取
- 区域内伺服器不包含任何机密资料
原理
将部分用于提供对外服务的伺服器主机划分到一个特定的子网——DMZ内，在DMZ的主机能与同处DMZ内的主机和外部网络的主机通信，而同内部网络主机的通信会被受到限制。这使DMZ的主机能被内部网络和外部网络所访问，而内部网络又能避免外部网络所得知。
DMZ能提供对外部入侵的防护，但不能提供内部破坏的防护，如内部通信数据包分析和欺骗。
家用路由器提供的DMZ
在一些家用路由器中，DMZ是指一部所有端口都暴露在外部网络的内部网络主机，除此以外的端口都被转发。严格来说这不是真正的DMZ，因为该主机仍能访问内部网络，并非独立于内部网络之外的。但真正的DMZ是不允许访问内部网络的，DMZ和内部网络是分开的。这种 DMZ主机并没有真正DMZ所拥有的子网划分的安全优势，其常常以一种简单的方法将所有端口转发到另外的防火墙或NAT装置上。
参考文献
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
