DMZ主機 針對不同資源提供不同安全級別的保護，可以考慮構建一個叫做“Demilitarized Zone”（DMZ）的區域。DMZ可以理解為一個不同於網路或內網的特殊網路區域。DMZ內通常放置一些不含機密資訊的公用伺服器，比如Web、Mail、FTP等。這樣來自網路的訪問者可以訪問DMZ中的服務，但不可能接觸到存放在內網中的公司機密或私人資訊等。即使DMZ中伺服器受到破壞，也不會對內網中的機密資訊造成影響。當規劃一個擁有DMZ的網路時候,我們可以明確各個網路之間的訪問關係,可以確定以下六條訪問控制策略。

1.內網可以訪問網路內網的使用者顯然需要自由地訪問網路。在這一策略中，防火牆需要進行源地址轉換。

2.內網可以訪問DMZ此策略是為了方便內網使用者使用和管理DMZ中的伺服器。

3.網路不能訪問內網很顯然，內網中存放的是公司內部資料，這些資料不允許網路的使用者進行訪問。

4.網路可以訪問DMZDMZ中的伺服器本身就是要給外界提供服務的，所以網路必須可以訪問DMZ。同時，網路訪問DMZ需要由防火牆完成對外地址到伺服器實際地址的轉換。

5.DMZ不能訪問內網 很明顯，如果違背此策略，則當入侵者攻陷DMZ時，就可以進一步進攻到內網的重要資料。

6.DMZ不能訪問網路此條策略也有例外，比如DMZ中放置郵件伺服器時，就需要訪問網路，否則將不能正常工作。 什麼是“DMZ”？ 即內網和網路均不能直接訪問的區域，多用於連線WWW伺服器等公用伺服器就是為外部使用者訪問內部網路設定的一個特殊的網路