DMZ（Demilitarized Zone，非军事区）是为了解决安装防火墙后外网不能访问内网服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。该缓冲区位于数据中心和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业 Web 服务器、FTP 服务器等。通过这样一个 DMZ 区域，更加有效地保护了内部网络。因为这种网络部署，比起一般的防火墙方案，对来自外网的攻击者来说又多了一道关卡。
典型的 DMZ
传统 DMZ 的缺点是不够灵活，增加新的应用涉及到配置多个网络域：DMZ、数据中心内网、防火墙等等。而这几个网络域往往又是由几个不同的团队负责管理的，这就涉及到团队之间的沟通、变更申请、审批等流程，比较费时，就更不用说自动化了。
有了 NSX 的分布式防火墙之后，配置 DMZ 就变得简单多了，下图中每个虚机都自带一个分布式防火墙，防火墙的规则定义了位于 Web-tier 网段的两台虚机处于一个逻辑上的 DMZ。
我们来看一下防火墙规则的设置（上图中的表格）：
- 规则 1：Web-VM1 和 Web-VM2 相互隔离；
- 规则 2：允许 HTTPS 协议访问 Web-tier（即 DMZ）中的两台 Web 服务器，并且把数据包重定向到 PAN（PaloAlto Network）的专用防火墙进行检查；
- 规则 3：禁止所有其他的网络协议访问 DMZ 中的服务器；
- 规则 4：允许 Web-tier 中的服务器通过 TCP 端口 8443 访问 App-tier；
- 规则 5：禁止所有其他针对 App-tier 的网络协议和端口访问。
可以看到外部网络访问通过路由器只能访问 DMZ 中的两台 Web 服务器虚机，而不能访问 App-tier 上的两台应用服务器，因为它们处于分布式防火墙的保护之下。
通过 NSX 的分布式防火墙，DMZ 隔离区的配置就变得非常灵活。管理员可以灵活地根据业务需要配置 DMZ 隔离区，DMZ 隔离区也不再需要部署在数据中心防火墙之外，而是可以在数据中心的任何一台安装了 NSX 的服务器上，这就是 NSX 给我们带来的网络安全一大便利：DMZ Anywhere。
