DMZ

此條目介紹的是一種網絡架構的布置方案。關於其他用法，請見「DMZ (消歧義)」。

DMZ（全稱Demilitarized Zone，中文為「非軍事區」，或稱Perimeter network，即「邊界網絡」、周邊網絡或「對外網絡」）為一種網絡架構的布置方案，常用的架設方案是在不信任的外部網絡和可信任的內部網絡外，建立一個面向外部網絡的物理或邏輯子網，該子網能設置用於對外部網絡的服務器主機。

該方案可以使用在防火牆、路由器等區隔內外網的網路設備。在一些網路設備，DMZ的功能只能以軟體設定的介面去設定並實作，實體的網路層相接，會與一般的LAN PORT相接共同管理。在另一些網路設備，如高級的防火牆設備，DMZ的功能除了軟體的介面的設定外，在實體的連接PORT除了一般的WAN PORT、LAN PORT外，還會有另外獨立的DMZ PORT，這樣可以方便網路管理人員在管理網段時，除了軟體介面上去設定WAN、LAN、DMZ等網段外，在實體的纜線連接（通常採用的是RJ45）時，也可以直接區分網段，更方便管理。

一般而言：DMZ區會有以下特點：

1. 提供服務給外界存取
2. 區域內服務器不包含任何機密資料

原理

將部分用於提供對外服務的服務器主機劃分到一個特定的子網——DMZ內，在DMZ的主機能與同處DMZ內的主機和外部網絡的主機通信，而同內部網絡主機的通信會被受到限制。這使DMZ的主機能被內部網絡和外部網絡所訪問，而內部網絡又能避免外部網絡所得知。

DMZ能提供對外部入侵的防護，但不能提供內部破壞的防護，如內部通信數據包分析和欺騙。

家用路由器提供的DMZ

在一些家用路由器中，DMZ是指一部所有端口都暴露在外部網絡的內部網絡主機，除此以外的端口都被轉發。嚴格來說這不是真正的DMZ，因為該主機仍能訪問內部網絡，並非獨立於內部網絡之外的。但真正的DMZ是不允許訪問內部網絡的，DMZ和內部網絡是分開的。這種 DMZ主機並沒有真正DMZ所擁有的子網劃分的安全優勢，其常常以一種簡單的方法將所有端口轉發到另外的防火牆或NAT設備上。