一、按信任度把网络切成三层

把一个企业网络摊开看，最里面那层和最容易挨打的那层，根本没有理由待在一起。 所以标准的做法是切成三段：

• 外网——不设防的互联网，信任等级最低。
• DMZ——隔离区，放对外提供服务的机器，信任等级中等。
• 内网——数据库、财务系统、办公终端，信任等级最高。

这条原则一句话就能说完：信任等级不同的东西，不放在同一段网络里。 它的价值不在技术，而在【故障隔离】——DMZ 里的机器被打穿了， 攻击者面前还隔着一道墙，够不到内网的数据。

教材里把 DMZ 叫作【缓冲区】，说的就是这个位置感： 它夹在两段之间，谁都不能直接碰到谁。

二、防火墙不是拦住一切，而是按方向放行

三段之间的连通靠防火墙。防火墙真正在做的事，是给每一个方向单独定一条规矩：

• 内网发往外网——放行，员工要上网，通常还要做源地址转换。
• 内网发往 DMZ——放行，管理员要维护 DMZ 里的服务器。
• 外网发往 DMZ——放行，DMZ 里的东西本来就是给外界用的。
• 外网发往内网——禁止，这是最没有商量余地的一条。
• DMZ 发往内网——默认禁止，这是整个结构里最要紧的一条。
• DMZ 发往外网——有条件放行，比如邮件服务器要往外发信。

第五条的思路值得单独记下来：就算 DMZ 被攻陷，攻击者也进不了内网。 这正是【缓冲区】这三个字的价值——它不保证不被打穿，它保证打穿之后还有个房间隔着。

顺带说一句，规则表里顺序很重要：防火墙大多是顺序匹配的， 特殊的规则必须写在前面，普通的写在后面，否则特殊情况永远轮不到。

三、多层防御：任何一层失手，后面还有下一层

把网络切成三段只是第一层。教材里说的【多层防御】， 指的是同一件事在不同深度上各做一遍：

• 网络层——防火墙、分段、访问控制。
• 主机层——操作系统补丁、账号权限、主机防火墙。
• 应用层——WAF、输入校验、会话管理。
• 数据层——加密、脱敏、备份。
• 人这一层——流程、培训、演练。

为什么不能只做一层？因为每一层都会出错。 防火墙规则会配错，程序会有漏洞，员工会被骗。 多层的意义不是让攻击者进不来，而是让他在每一层都多花时间—— 而时间是防守方唯一能换到的资源。

四、这套结构在市场上值多少钱

防火墙是网络安全里最大的单一品类，这个位置已经坐了很多年。 看中国与全球两个口径：

• 中国防火墙市场：2025 年约 30.2 亿美元，2026 年预计 31.56 亿美元； 2016 年这个数字还只有 11.7 亿美元。
• 全球 UTM 市场：2026 年预计 247 亿美元，年复合增速约 17%。
• 中国 UTM 市场：2026 年第二季度单季度 15.2 亿元人民币， 行业前五是华为、H3C、天融信、迪普、绿盟。

这几个数字连起来看，说明了一件事：防火墙已经从【要不要买】变成【买哪家】。 IDC 的说法是，这一轮的增长逻辑正在从规模扩张转向性能和场景价值—— 也就是比谁在同样流量下检测得更准、更快。

五、动手 Demo：把通行规则和市场增速算一遍

六个方向的通行规则可以记成一张表，市场增速则可以自己算：

fw25, fw26 = 30.2, 31.56   # 中国防火墙市场规模（亿美元）
print("  防火墙一年涨幅 = %.1f%%" % ((fw26 / fw25 - 1) * 100))
print("  从 11.7 亿到 30.2 亿 = %.1f 倍" % (30.2 / 11.7))
print("  三个区域的信任等级：外网 1 < DMZ 2 < 内网 3")

实跑输出：

--------------------------------------------------------------------
把网络切成三层，信任度各不相同
--------------------------------------------------------------------
  安全措施的物理结构，核心是一句话：信任等级不同的东西，不放在同一段网络里。
  最常见的做法是切成三层。

  区域     信任等级     放什么                     谁能进
  --------------------------------------------------------------------
  外网     最低         不设防的互联网             任何人
  DMZ      中等         对外的Web、邮件、DNS       外网可进，内网可管
  内网     最高         数据库、财务、办公终端     只允许内网自己
  --------------------------------------------------------------------

  层与层之间靠防火墙连通。防火墙的作用不是拦住一切，而是按方向放行：

  流向            是否放行     理由
  --------------------------------------------------------------
  内网 → 外网     放行         员工要上网，通常做源地址转换
  内网 → DMZ      放行         管理员要维护 DMZ 里的服务器
  外网 → DMZ      放行         DMZ 里的服务本来就是给外界用的
  外网 → 内网     禁止         内网存的是公司自己的数据
  DMZ → 内网      默认禁止     最要紧的一条：DMZ 被打穿也进不来
  DMZ → 外网      有条件       邮件服务器要往外发信才不得不开
  --------------------------------------------------------------

  这套结构在市场上是有价格的。防火墙是网络安全里最大的单一品类：

  口径                规模             备注
  ---------------------------------------------------------------
  中国防火墙 2025     30.2 亿美元      2016 年还只有 11.7 亿美元
  中国防火墙 2026     31.56 亿美元     预计值，约涨 4.5%
  全球 UTM 2026       247 亿美元       年复合增速约 17%
  中国 UTM 2026Q2     15.2 亿元        单季度，IDC 口径
  ---------------------------------------------------------------

  小算例：30.2 亿 → 31.56 亿，涨幅 = (31.56 − 30.2) ÷ 30.2 ≈ 4.5%。
  同期全球 UTM 的年复合增速是 17%，说明中国市场这一格的恢复速度更快。

  缓冲区指的是两端都不直接碰面的中间地带：外网的流量先落在 DMZ，
  内网从不直接对外开口；多层防御的意思则是任何一层失手，后面还有下一层。

第一行算出来的 4.5%，是 2026 年中国防火墙市场的恢复性增长。 对比同期全球 UTM 的 17% 年复合增速，说明中国这一格恢复得更快。 第二行的 2.6 倍则说明，十年间这个市场涨了不止一倍——安全支出是刚性的。

30 秒实验

1. 想一下你家路由器的端口映射功能——它其实就是在【把内网的一台机器暴露给外网】，相当于没有 DMZ。
2. 把单位的系统画成外网、DMZ、内网三段，看看哪些机器应该在中间那段。
3. 查一下你常用网站有没有 WAF 拦截页——随便在网址后面加个 ?id=1' 试试，看看它拦不拦。

常见误区

1. 错误：有了防火墙就安全了。——纠正：防火墙只管【能不能过】，管不了【过来的是不是一个正常请求】；应用层的攻击要 WAF 来挡。
2. 错误：DMZ 就是把服务器放到外面去。——纠正：DMZ 是夹在内网和外网之间的一段独立区域，它既不同于外网，也不同于内网。
3. 错误：多层防御是层层加设备。——纠正：它是同一件事在不同深度各做一遍，多加一层没配好的设备，只增加误报和运维负担。

• ☐ 下一节（9-3 DMZ的防守方式：DMZ、UTM、IDS、IPS）

相关笔记

• 应对威胁的安全措施 —— 上一节列出的三类威胁，这一节开始摆第一层防御
• 服务器的虚拟化技术 —— 三段结构在虚拟化环境里怎么落地
• 安全的外围墙（信息资产、防火墙、DMZ） —— 同一套结构在服务器课里的讲法
• 安全对策的物理性架构 —— 云上把这三段做成了什么服务
• 拆分网络 —— 为什么要拆、拆到什么粒度
• 🕸️ Web技术原理 · 索引