对外服务器放 DMZ：USG 安全域划分与域间放行

企业要对外发布网站、邮件、业务系统时，最常见的错误姿势是直接把服务器挂进内网再在防火墙上开一条"外网到内网服务器"的放行——放行一旦配宽，外网流量就直通内网腹地。标准做法是把对外服务器放进独立的 DMZ（非军事区）安全域：外网能到的止步于此，内网并不因此敞开。本文讲华为 USG 上安全域划分与域间放行的落地思路。

安全域是防火墙的骨架

华为 USG 把接口划入安全域，域与域之间的流量才需要策略：trust（内网）、untrust（外网）、dmz（对外服务区）是三个预置域。安全域的价值在于让"内外有别"变成结构而不是一堆零散规则：服务器放 DMZ 后，untrust 到 dmz 的放行只可能打到服务器，打不到 trust 里的办公网——这就是结构性的隔离，比任何精细规则都可靠。

部署四步

第一步接口规划：服务器区单独一个接口或子接口，划入 dmz 域；内外网接口各归其位。第二步服务器地址与映射：对外发布的端口映射（NAT Server）把公网地址端口指到 DMZ 内服务器，映射粒度按端口最小化开——只开业务真正需要的端口。第三步域间策略：untrust 到 dmz 放行具体端口与目标地址；dmz 到 untrust 按需放行（服务器更新、DNS 解析）；最关键的一条是 dmz 到 trust 默认拒绝——DMZ 里的服务器即使被攻破，也翻不进内网。第四步回访控制：内网访问 DMZ 服务器的流量单独放行，粒度到业务端口，不图省事放全。

三条纪律

一是服务器自身也要加固：DMZ 是缓冲区不是保险箱，系统补丁、最小化服务、账号口令一样不能少。二是日志要留：dmz 域的会话日志留存，安全事件回溯全靠它。三是变更走流程：域间策略是安全边界的具象化，每条放行都要有申请记录和到期复查——防火墙策略里最贵的就是"当年为应急开的那条没关的全通"。

分层看效果

域间放行配好后，网络边界就呈现清晰的三层：外网只见 DMZ 里被允许的那几个端口；DMZ 到内网默认是墙；内网出站按需受控。入侵者即使拿下一台对外服务器，面对的仍是到内网的一道默认拒绝——这就是安全域架构的底线价值。

对外服务每多一个，边界就多一分压力，结构对了压力才有处安放。贵州诚鑫致达科技为企业部署对外业务时，服务器一律入 DMZ、域间策略最小化、应急放行定期复查三项进交付规范——安全边界不是配出来的，是划出来的。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。