Zona Demilitarizzata (DMZ): Esempi e Architettura
Una rete DMZ (Zona Demilitarizzata) è una sottorete che contiene i servizi pubblicamente accessibili di un'organizzazione. Funge da punto esposto verso una rete non fidata, spesso Internet.
Le DMZ sono utilizzate in diversi ambienti, dai router domestici alle reti aziendali, per isolare i servizi esposti al pubblico e proteggere i sistemi interni. Le DMZ (zone demilitarizzate) ospitano servizi rivolti al pubblico isolandoli dalla LAN interna di un'organizzazione.1 Le organizzazioni combinano perimetri DMZ con microsegmentazione Zero Trust e controlli di accesso rigorosi.2
Esplora esempi reali di DMZ e diverse architetture DMZ (firewall singolo vs. doppio):
Perché la DMZ è importante nella sicurezza di rete?
Le DMZ aggiungono uno strato di segmentazione della rete per difendere la rete privata interna. Creano una zona cuscinetto tra Internet pubblica e le reti private dell'organizzazione.
Queste sottoreti limitano l'accesso esterno ai server e agli asset interni, rendendo più difficile per gli aggressori penetrare nella rete interna.
Nelle configurazioni tipiche (vedi figura sopra), la sottorete DMZ è posta tra due firewall o su un segmento dedicato di un singolo firewall con più interfacce. Ciò garantisce che:
- L'accesso non autorizzato alla rete interna sia bloccato, anche se un servizio ospitato nella DMZ viene compromesso.
- Tutto il traffico in entrata da Internet venga prima filtrato e ispezionato prima di raggiungere i server DMZ.
- Il traffico della rete interna da e verso la DMZ sia strettamente controllato e monitorato.
Esempi di DMZ
Esempio DMZ 1: implementazione DMZ con un firewall
Come si vede nella Figura 1, la rete DMZ non è né all'interno né all'esterno del firewall. È accessibile sia dalle reti interne che esterne.
Uno dei principali vantaggi di questo schema di rete è l'isolamento. Ad esempio, se il server di posta elettronica viene violato, l'aggressore non potrà accedere alla rete interna. In questo scenario, l'aggressore può accedere a vari server nella DMZ poiché condividono la stessa rete fisica.
Figura 1. Diagramma DMZ semplice
Fonte: International Journal of Wireless and Microwave Technologies3
In questa configurazione, la DMZ applica i seguenti controlli di accesso:
- Rete esterna: La rete esterna non può stabilire connessioni con la rete interna, tuttavia, può avviare connessioni verso la DMZ.
- Rete interna: La rete interna può avviare connessioni verso reti esterne, ma non può avviare connessioni verso la rete interna.
Esempio DMZ 2: una DMZ connessa a un dispositivo di terze parti
Un altro approccio DMZ tipico è il collegamento a un dispositivo di terze parti, come un fornitore. La Figura 2 illustra una rete con un fornitore connesso tramite un collegamento T1 a un router nella DMZ.
Questo esempio di DMZ può essere utilizzato quando le aziende esternalizzano i propri sistemi a una parte esterna, consentendo l'accesso diretto al server del fornitore tramite questa configurazione.
Figura 2. DMZ connessa a un fornitore
Fonte: Network Varrior4
Esempio DMZ 3: DMZ multiple connesse a un dispositivo di terze parti
A volte una singola DMZ non è sufficiente per organizzazioni che gestiscono reti complesse. La Figura 3 illustra una rete con più DMZ. Il design combina i primi due esempi: Internet è all'esterno e gli utenti sono all'interno della rete.
Figura 3. DMZ multiple
Fonte: Network Varrior5
- DMZ-1 è un punto di accesso a un fornitore.
- DMZ-2 è dove si trovano i server Internet.
I requisiti di sicurezza sono coerenti con l'esempio precedente (Esempio 2), ma è necessaria una considerazione aggiuntiva: se DMZ-1 è autorizzata ad avviare connessioni verso DMZ-2, e viceversa.
Valutare questo accesso bidirezionale aiuta a far rispettare controlli di sicurezza granulari all'interno di ambienti di rete complessi.
Architetture DMZ
Una DMZ può essere configurata in vari modi, da un singolo firewall a due o più firewall. La maggior parte delle attuali architetture DMZ include due firewall che possono essere scalati per supportare reti complesse.
1. Firewall singolo
Un singolo firewall con almeno tre interfacce di rete è necessario per costruire un'architettura di rete che includa una DMZ.
Figura 4. Illustrazione di un'architettura a firewall singolo
Fonte: SAP6
Perché utilizzare un firewall singolo: Un firewall singolo semplifica l'architettura di rete consolidando il controllo del traffico, l'applicazione delle policy e la registrazione in un unico dispositivo. Ciò riduce la complessità amministrativa e abbassa sia i costi di capitale che quelli operativi. È ideale per ambienti più piccoli dove non c'è bisogno di difese perimetrali a più livelli.
2. Doppio firewall
Questa implementazione crea una DMZ utilizzando due firewall.
Figura 5. Illustrazione di un'architettura a doppio firewall
Fonte: SAP7
Perché utilizzare doppi firewall: I doppi firewall offrono un sistema più sicuro. In alcune aziende, i due firewall sono forniti da produttori diversi. Se un attacco esterno riesce a violare il primo firewall, potrebbe impiegare più tempo per violare il secondo se è costruito da un produttore diverso, rendendolo meno probabile vittima delle stesse vulnerabilità di sicurezza.
Le recenti versioni hardware hanno introdotto nuove opzioni per le distribuzioni di firewall DMZ, incluso il WatchGuard Firebox M695 (rilasciato a dicembre 2025), che presenta un processore Intel Core i7-14701E e offre un throughput elevato (45 Gbps raw) per ambienti grandi.8
Per le distribuzioni di piccole e medie imprese, il WatchGuard Firebox T185 (rilasciato a gennaio 2026) offre prestazioni multi-gigabit con circa 5.7 Gbps di throughput firewall raw e funzionalità di sicurezza di classe enterprise per reti di filiali.9
Vantaggi della Zona Demilitarizzata (DMZ)
Il valore principale di una DMZ risiede nella sua capacità di fornire agli utenti di Internet pubblica l'accesso a specifici servizi rivolti all'esterno, fungendo al contempo da barriera protettiva che isola la rete interna dell'organizzazione.
Questo ulteriore livello di sicurezza offre diversi vantaggi chiave:
1. Fornisce controlli di accesso
Una rete DMZ controlla l'accesso ai servizi accessibili via Internet che non si trovano all'interno della rete perimetrale di un'azienda. Aggiunge inoltre un livello di segmentazione della rete, aumentando il numero di barriere che un utente deve superare prima di ottenere l'ammissione alla rete privata dell'azienda.
2. Previene la ricognizione della rete
Una DMZ limita la capacità di un aggressore di valutare potenziali obiettivi sulla rete. Anche se una macchina nella DMZ viene violata, il firewall interno difende la rete privata isolandola dalla DMZ. Questa configurazione rende più difficili gli exploit sulla rete esterna.
3. Limita lo spoofing IP (Internet Protocol)
Lo spoofing IP consiste nel falsificare l'indirizzo IP di origine dei pacchetti per ottenere accesso non autorizzato. Una DMZ aiuta a rilevare e bloccare il traffico falsificato, specialmente se combinata con misure di sicurezza aggiuntive che convalidano l'autenticità IP, proteggendo ulteriormente la rete interna da attacchi di impersonificazione.
Le 5 principali vulnerabilità delle DMZ nella sicurezza di rete
Una DMZ è utile, ma ha delle debolezze. Queste debolezze possono rendere più facile per gli aggressori trovare problemi.
1. Le parti pubbliche sono facilmente visibili da Internet
I server in una DMZ devono essere aperti in modo che le persone possano usarli. Gli hacker possono trovare e analizzare questi sistemi esposti al pubblico per cercare debolezze.
2. La configurazione errata crea rischio
La configurazione e la gestione della DMZ possono essere complesse. Se le regole del firewall o i controlli di accesso sono errati, gli aggressori potrebbero entrare.
3. La complessità aumenta gli errori
Una DMZ aggiunge più dispositivi, regole e impostazioni da gestire. Maggiore complessità significa più possibilità di errore umano.
4. Un falso senso di sicurezza
Alcune persone pensano che una DMZ renda una rete totalmente sicura. Non è così. Una DMZ riduce il rischio, ma non può fermare tutti gli attacchi da sola.
5. Le DMZ potrebbero avere difficoltà con le nuove tecnologie
I design tradizionali delle DMZ potrebbero non adattarsi bene ai servizi cloud o ai moderni modelli di rete, limitandone l'utilità.
Nel febbraio 2026, l'agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha emesso nuove linee guida per gli operatori di infrastrutture critiche a seguito di un attacco informatico alla rete elettrica polacca.10 L'avviso sottolinea la segmentazione rigorosa della rete e altri controlli per aiutare a contenere le minacce nelle reti di tecnologia operativa (OT).
Aggiungi come fonte preferitaApplicazioni delle DMZ
1. Servizi cloud
Alcuni servizi cloud impiegano una strategia di sicurezza ibrida in cui viene creata una DMZ tra la rete on-premise dell'azienda e la sua rete logica. Questa strategia è comunemente utilizzata quando i servizi dell'azienda vengono eseguiti in parte in locale e in parte su una rete logica.
AWS e Google Cloud includono soluzioni firewall-as-a-service integrate. Ad esempio, AWS fornisce AWS Network Firewall (un servizio firewall stateful gestito per VPC).11 Il Cloud Next-Generation Firewall di Google Cloud include un servizio di filtraggio URL per il controllo del traffico basato sul dominio e supporta policy firewall gerarchiche per una segmentazione granulare della rete 12 .13
2. Reti domestiche
Una DMZ può essere utile anche per le reti domestiche che utilizzano impostazioni LAN e router a banda larga. Diversi router domestici includono opzioni DMZ o impostazioni host DMZ. Queste opzioni consentono agli utenti di connettere un dispositivo a Internet.
3. Sistemi di controllo industriale (ICS)
Le DMZ possono fornire una soluzione ai problemi di sicurezza associati agli ICS.
La maggior parte delle apparecchiature di tecnologia operativa (OT) che si connettono a Internet non è progettata per mitigare gli attacchi come lo sono i dispositivi IT. Una DMZ può migliorare la segmentazione della rete OT, rendendo più difficile l'infiltrazione di malware, virus o altre minacce di rete.
Le organizzazioni stanno sostituendo i perimetri di rete piatti con modelli Zero Trust che utilizzano microsegmentazione e controlli di accesso granulari.14 Le recenti linee guida globali per le reti OT (guidate dal NCSC del Regno Unito con la collaborazione di CISA) sottolineano la riduzione delle connessioni esposte e l'applicazione di una rigorosa segmentazione di rete ai confini operativi 15 .
4. Hosting web e di posta elettronica
I servizi rivolti al pubblico come i server web sono tipicamente distribuiti all'interno di una DMZ per fornire agli utenti esterni l'accesso a risorse essenziali mantenendo al contempo la sicurezza della rete interna.
5. Sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS)
Alcune architetture di sicurezza posizionano sensori IDS/IPS nella DMZ per ispezionare il traffico in entrata e in uscita alla ricerca di comportamenti dannosi prima che raggiunga la rete interna.
6. Accesso a partner e fornitori
Le organizzazioni che forniscono accesso di rete a partner o fornitori terzi utilizzano spesso una DMZ per ospitare servizi condivisi (ad es., API, portali SFTP). Ciò limita l'esposizione della rete interna nel caso in cui l'accesso della parte esterna venga compromesso.
7. Gateway di accesso remoto
I concentratori VPN, i gateway desktop remoto o i broker VDI (Virtual Desktop Infrastructure) sono spesso distribuiti in una DMZ per consentire un accesso remoto sicuro ai sistemi interni senza esporli direttamente a Internet.
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Zona Demilitarizzata (DMZ): Esempi e Architettura}},
year = {2026},
month = mar,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Consultato il 6 Marzo 2026}
}Collegamenti di riferimento
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.