Zona Demilitarizzata (DMZ): Esempi e Architettura
Una rete DMZ (Zona Demilitarizzata) è una sottorete contenente i servizi pubblicamente accessibili di un’organizzazione. Funge da punto di esposizione verso una rete non fidata, spesso Internet.
Le DMZ sono utilizzate in vari ambienti, dai router domestici alle reti aziendali, per isolare i servizi rivolti al pubblico e proteggere i sistemi interni. Le DMZ (zone demilitarizzate) ospitano servizi pubblici isolandoli dalla LAN interna dell’organizzazione. Le organizzazioni combinano i perimetri DMZ con la microsegmentazione Zero Trust e controlli di accesso rigorosi.1
Esplora esempi reali di DMZ e diverse architetture DMZ (firewall singolo vs. doppio):
Perché la DMZ è importante nella sicurezza di rete?
Le DMZ aggiungono un livello di segmentazione di rete per difendere la rete privata interna. Creano una zona cuscinetto tra Internet pubblica e le reti private dell’organizzazione.
Queste sottoreti limitano l’accesso esterno a server e risorse interne, rendendo più difficile per gli aggressori penetrare la rete interna.
Nelle configurazioni tipiche (vedi figura sopra), la sottorete DMZ è posizionata tra due firewall o su un segmento dedicato di un singolo firewall con interfacce multiple. Ciò garantisce che:
- L’accesso non autorizzato alla rete interna viene bloccato, anche se un servizio ospitato nella DMZ viene compromesso.
- Tutto il traffico in entrata da Internet viene prima filtrato e ispezionato prima di raggiungere i server DMZ.
- Il traffico di rete interna verso e dalla DMZ è strettamente controllato e monitorato.
Esempi di DMZ
Esempio DMZ 1: implementazione DMZ con un firewall
Come mostrato nella Figura 1, la rete DMZ non è né all’interno né all’esterno del firewall. È accessibile sia dalle reti interne che esterne.
Uno dei principali vantaggi di questo schema di rete è l’isolamento. Ad esempio, se il server di posta viene violato, l’aggressore non potrà accedere alla rete interna. In questo scenario, l’aggressore potrebbe accedere a vari server nella DMZ poiché condividono la stessa rete fisica.
Figura 1. Diagramma DMZ semplice
Fonte: International Journal of Wireless and Microwave Technologies2
In questa configurazione, la DMZ applica i seguenti controlli di accesso:
- Rete esterna: La rete esterna non può stabilire connessioni con la rete interna, tuttavia può avviare connessioni verso la DMZ.
- Rete interna: La rete interna può avviare connessioni verso reti esterne. Le reti esterne non possono avviare connessioni verso la rete interna.
Esempio DMZ 2: una DMZ connessa a un dispositivo di terze parti
Un altro approccio tipico è la connessione a un dispositivo di terze parti, come un fornitore. La Figura 2 illustra una rete con un fornitore connesso tramite un collegamento T1 a un router nella DMZ.
Questo esempio di DMZ può essere utilizzato quando le aziende esternalizzano i propri sistemi a un soggetto esterno, consentendo l’accesso diretto al server del fornitore tramite questa configurazione.
Figura 2. DMZ connessa a un fornitore
Fonte: Network Warrior3
Esempio DMZ 3: DMZ multiple connesse a un dispositivo di terze parti
A volte una singola DMZ non è sufficiente per le organizzazioni che gestiscono reti complesse. La Figura 3 illustra una rete con più DMZ. Il progetto combina i primi due esempi: Internet è all’esterno e gli utenti sono all’interno della rete.
Figura 3. DMZ multiple
Fonte: Network Warrior3
- DMZ-1 è un punto di accesso a un fornitore.
- DMZ-2 è dove si trovano i server Internet.
I requisiti di sicurezza sono coerenti con l’esempio precedente (Esempio 2), ma è necessaria una considerazione aggiuntiva: se DMZ-1 può avviare connessioni verso DMZ-2 e viceversa.
Valutare questo accesso bidirezionale aiuta a rafforzare controlli di sicurezza granulari in ambienti di rete complessi.
Architetture DMZ
Una DMZ può essere configurata in vari modi, che vanno da un singolo firewall a firewall doppi o multipli. La maggior parte delle architetture DMZ attuali utilizza due firewall, che possono scalare per supportare reti complesse.
1. Firewall singolo
È necessario un firewall singolo con almeno tre interfacce di rete per realizzare un’architettura di rete che includa una DMZ.
Figura 4. Illustrazione di un’architettura a firewall singolo
Fonte: SAP4
Perché usare un firewall singolo: Un firewall singolo semplifica l’architettura di rete consolidando il controllo del traffico, l’applicazione delle policy e la registrazione in un unico dispositivo. Ciò riduce la complessità amministrativa e abbassa i costi di capitale e operativi. È ideale per ambienti di piccole dimensioni dove non sono necessarie difese perimetrali a più livelli.
2. Firewall doppio
Questa implementazione crea una DMZ utilizzando due firewall.
Figura 5. Illustrazione di un’architettura a firewall doppio
Fonte: SAP4
Perché usare firewall doppi: I firewall doppi offrono un sistema più sicuro. In alcune aziende, i due firewall sono forniti da produttori diversi. Se un attacco esterno riesce a violare il primo firewall, potrebbe impiegare più tempo a violare il secondo se è costruito da un produttore diverso, rendendo meno probabile che cada vittima delle stesse vulnerabilità di sicurezza.
I recenti rilasci hardware hanno introdotto nuove opzioni per le implementazioni di firewall DMZ, tra cui WatchGuard Firebox M695 (rilasciato a dicembre 2025), che presenta un processore Intel Core i7-14701E e offre un’elevata velocità di trasmissione (45 Gbps raw) per ambienti di grandi dimensioni.5
Per implementazioni in piccole e medie imprese, WatchGuard Firebox T185 (rilasciato a gennaio 2026) offre prestazioni multi-gigabit con circa 5.7 Gbps di throughput firewall grezzo e funzionalità di sicurezza di classe enterprise per reti di filiali.6
Vantaggi della Zona Demilitarizzata (DMZ)
Il valore principale di una DMZ risiede nella sua capacità di fornire agli utenti di Internet pubblica l’accesso a specifici servizi rivolti all’esterno, fungendo da barriera protettiva che protegge la rete interna dell’organizzazione.
Questo livello aggiuntivo comporta diversi vantaggi:
1. Fornisce controlli di accesso
Una rete DMZ controlla l’accesso ai servizi accessibili su Internet che non si trovano nella rete perimetrale di un’azienda. Aggiunge anche un livello di segmentazione di rete, aumentando il numero di barriere che un utente deve superare prima di ottenere l’accesso alla rete privata aziendale.
2. Previene la ricognizione di rete
Una DMZ limita la capacità di un aggressore di valutare potenziali obiettivi sulla rete. Anche se una macchina nella DMZ viene violata, il firewall interno difende la rete privata isolandola dalla DMZ. Questa configurazione rende più difficili gli exploit della rete esterna.
3. Limita lo spoofing del protocollo Internet (IP)
Lo spoofing IP comporta la falsificazione dell’indirizzo IP di origine dei pacchetti per ottenere accesso non autorizzato. Una DMZ aiuta a rilevare e bloccare il traffico falsificato, specialmente se combinata con misure di sicurezza aggiuntive che convalidano l’autenticità IP, proteggendo ulteriormente la rete interna dagli attacchi di impersonificazione.
Le 5 principali vulnerabilità delle DMZ nella sicurezza di rete
Una DMZ è utile, ma presenta delle debolezze. Queste debolezze possono rendere più facile per gli aggressori trovare problemi.
1. Le parti pubbliche sono facilmente visibili da Internet
I server in una DMZ devono essere aperti affinché le persone possano utilizzarli. Gli hacker possono trovare e scansionare questi sistemi rivolti al pubblico per cercare debolezze.
2. La configurazione errata crea rischi
La configurazione e la gestione della DMZ possono essere complesse. Se le regole del firewall o i controlli di accesso sono errati, gli aggressori potrebbero entrare.
3. La complessità aumenta gli errori
Una DMZ aggiunge più dispositivi, regole e impostazioni da gestire. Maggiore complessità significa maggiori possibilità di errore umano.
4. Un falso senso di sicurezza
Alcune persone pensano che una DMZ renda una rete totalmente sicura. Non è così. Una DMZ riduce il rischio, ma non può fermare tutti gli attacchi da sola.
5. Le DMZ potrebbero avere difficoltà con le tecnologie più recenti
Una DMZ presuppone un confine: l’esterno non è attendibile, l’interno lo è. Tre cambiamenti hanno indebolito questa ipotesi.
- Le applicazioni si sono spostate su piattaforme cloud, quindi meno server web risiedono in una DMZ gestita dall’azienda.
- Il personale lavora da fuori ufficio, quindi il confine non corrisponde più a dove si trovano le persone.
- I dispositivi connessi si sono moltiplicati, ampliando ciò che un perimetro deve coprire.
Zero Trust risponde a questo abbandonando l’ipotesi. Controlla ogni richiesta in base all’identità e allo stato del dispositivo, indipendentemente da dove provenga la richiesta. Una DMZ filtra principalmente su indirizzi IP e porte; Zero Trust Network Access (ZTNA) verifica l’utente e il dispositivo, quindi concede l’accesso a una sola risorsa e nient’altro.
I due lavorano insieme nella pratica. Una DMZ isola i servizi rivolti al pubblico e Zero Trust controlla ogni richiesta all’interno.
Ulteriori informazioni su Zero-Trust: Soluzioni ZTNA, Componenti open source ZTNA.
Nel febbraio 2026, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha emesso nuove linee guida per gli operatori di infrastrutture critiche a seguito di un attacco informatico alla rete elettrica polacca.7 L’avviso sottolinea la segmentazione rigorosa della rete e altri controlli per aiutare a contenere le minacce nelle reti di tecnologia operativa (OT).
Aggiungi come fonte preferitaApplicazioni delle DMZ
1. Servizi cloud
Le piattaforme cloud utilizzano il concetto di DMZ in due modi.
Tra on-premises e cloud. Alcune aziende eseguono servizi in parte on-premises e in parte in una rete cloud. Una DMZ posizionata tra i due controlla ciò che attraversa.
All’interno del cloud. Un cloud privato virtuale si divide in sottoreti pubbliche e private. Le sottoreti pubbliche contengono bilanciatori di carico e gateway raggiungibili da Internet. Le sottoreti private contengono server applicativi e database, senza un percorso diretto in entrata. I gruppi di sicurezza e gli elenchi di controllo degli accessi di rete sostituiscono le regole del firewall tra i due.
L’obiettivo rimane lo stesso in entrambi: un aggressore che raggiunge un componente pubblico non trova un percorso diretto verso i dati dietro di esso.
I fornitori di cloud offrono anche firewall gestiti per questi confini. AWS Network Firewall è un servizio firewall stateful gestito per VPC. Il Next-Generation Firewall di Google Cloud aggiunge il filtraggio URL per il controllo del traffico basato sul dominio e politiche gerarchiche per la segmentazione granulare.
2. Reti domestiche
Una DMZ può essere utile anche per le reti domestiche che utilizzano impostazioni LAN e router a banda larga. Diversi router domestici includono opzioni DMZ o impostazioni host DMZ. Queste opzioni consentono agli utenti di connettere un dispositivo a Internet.
3. La DMZ industriale (IDMZ)
Le reti industriali danno alla DMZ un indirizzo fisso. Il modello Purdue suddivide i sistemi industriali in livelli:8
- Livelli 0–3: tecnologia operativa, come sensori, controllori e SCADA
- Livelli 4–5: IT aziendale
- Livello 3.5: la DMZ industriale, o IDMZ
Il traffico tra OT e IT passa attraverso il Livello 3.5. NIST SP 800-82, IEC 62443 e NERC CIP hanno ciascuno codificato il livello.9
Cosa c’è all’interno
Una IDMZ utilizza il design a doppio firewall: un firewall si affaccia sull’IT, un secondo sull’OT. La zona tra di essi ospita servizi condivisi come jump server, patch server e repliche degli storici.
Lo storico mostra il modello. Uno storico di impianto invia i dati verso l’esterno a una replica nella IDMZ. I sistemi IT interrogano la replica. Niente raggiunge la rete di controllo.
Come lo inquadra IEC 62443
Lo standard utilizza due termini:
- Zona: un gruppo di asset che condividono gli stessi requisiti di sicurezza
- Condotto: il percorso controllato tra le zone, applicato dai firewall
Ogni zona ha un Livello di Sicurezza target da SL 1 a SL 4, che stabilisce quanto devono essere forti i suoi controlli.
Alcuni siti aggiungono un data diode. L’hardware consente il traffico in una direzione e blocca fisicamente il percorso di ritorno. NERC CIP-005 e IEC 62443-3-3 accettano i diodi come controllo ai massimi livelli di sicurezza.
Perché il confine è importante
Gli attacchi lo attraversano. I rapporti collocano circa il 75% degli incidenti OT come originati dal lato IT.10 Il settore manifatturiero ha attirato il 27.7% di tutti gli attacchi informatici nel 2025, la quota più alta di qualsiasi settore per il quinto anno consecutivo, secondo l’IBM X-Force 2026 Index.11
4. Hosting web e di posta elettronica
I servizi rivolti al pubblico come i server web vengono tipicamente implementati all’interno di una DMZ per fornire agli utenti esterni l’accesso a risorse essenziali mantenendo la sicurezza della rete interna.
5. Sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS)
Alcune architetture di sicurezza posizionano i sensori IDS/IPS nella DMZ per ispezionare il traffico in entrata e in uscita alla ricerca di comportamenti dannosi prima che raggiunga la rete interna.
6. Accesso di partner e fornitori
Le organizzazioni che forniscono accesso alla rete a partner o fornitori terzi spesso utilizzano una DMZ per ospitare servizi condivisi (ad es., API, portali SFTP). Ciò limita l’esposizione della rete interna nel caso in cui l’accesso della parte esterna venga compromesso.
7. Gateway di accesso remoto
I concentratori VPN, i gateway per desktop remoti o i broker di infrastruttura desktop virtuale (VDI) vengono spesso implementati in una DMZ per consentire un accesso remoto sicuro ai sistemi interni senza esporli direttamente a Internet.
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Zona Demilitarizzata (DMZ): Esempi e Architettura}},
year = {2026},
month = aug,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Consultato il 6 Agosto 2026}
}Collegamenti di riferimento
Il lavoro di Cem è stato citato da importanti pubblicazioni globali tra cui Business Insider, Forbes, Washington Post, aziende globali come Deloitte, HPE e ONG come il World Economic Forum e organizzazioni sovranazionali come la Commissione europea.
Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente di tecnologia e imprenditore tecnologico. Ha consigliato aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per oltre un decennio. Ha anche pubblicato un rapporto McKinsey sulla digitalizzazione.
Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha anche guidato la crescita commerciale dell'azienda deep tech Hypatos che ha raggiunto un fatturato annuo ricorrente a 7 cifre e una valutazione a 9 cifre partendo da 0 in 2 anni. Il lavoro di Cem in Hypatos è stato trattato da importanti pubblicazioni tecnologiche come TechCrunch e Business Insider.
Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato in ingegneria informatica all'Università Bogazici e ha conseguito un MBA presso la Columbia Business School.
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.