DMZ là viết tắt của Demilitarized Zone (Khu phi quân sự). Nó xác định một máy chủ hoặc mạng đóng vai trò như một mạng trung gian an toàn hoặc đường dẫn giữa mạng nội bộ của tổ chức và mạng bên ngoài, hoặc mạng không sở hữu. Nó được gọi là biên mạng hoặc mạng biên.
DMZ thường được thực hiện để bảo vệ mạng nội bộ khỏi tương tác với và khai thác và truy cập bởi nút và mạng bên ngoài. DMZ có thể là subnet logic, hoặc mạng vật lý đóng vai trò như cầu an toàn giữa mạng nội bộ và bên ngoài.
Mạng DMZ có quyền truy cập hạn chế đến mạng nội bộ, và một số truyền thông được quét trên tường lửa trước khi được chia sẻ nội bộ. Nếu kẻ tấn công thiết kế vi phạm hoặc tấn công mạng tổ chức, một nỗ lực thành công sẽ chỉ dẫn đến xâm phạm mạng DMZ không phải mạng lõi phía sau nó. DMZ được coi an toàn hơn, an toàn hơn tường lửa, và cũng có thể hoạt động như proxy server.
Trong cấu hình DMZ, hầu hết máy tính trên LAN chạy sau tường lửa liên kết với mạng công cộng như Internet. Một số máy tính cũng chạy bên ngoài tường lửa, trong DMZ. Những máy tính bên ngoài chặn lưu lượng và trung gian, yêu cầu cho phần còn lại của LAN, chèn một lớp phòng thủ hơn cho máy tính sau tường lửa.
DMZ truyền thống cho phép máy tính sau tường lửa bắt đầu yêu cầu outbound đến DMZ. Máy tính trong DMZ, lần lượt, phản hồi, chuyển tiếp, hoặc phát hành lại yêu cầu ra Internet hoặc một số mạng công cộng, như proxy server làm. Một số triển khai DMZ đơn giản chỉ sử dụng proxy server hoặc máy chủ như máy tính bên trong DMZ.
Tường lửa LAN ngăn chặn máy tính trong DMZ từ yêu cầu inbound khởi tạo. DMZ là đặc điểm thường được chấp nhận của bộ định tuyến băng rộng gia đình. Tuy nhiên, trong một số trường hợp, các đặc điểm này không phải là DMZ thật. Bộ định tuyến băng rộng thường thực hiện DMZ chỉ qua các quy tắc tường lửa thêm, ý chỉ rằng yêu cầu đến xuất hiện tại tường lửa trực tiếp.
Trong việc tạo DMZ, một tổ chức chèn phân đoạn mạng hoặc subnet khác là một phần của hệ thống, nhưng không được kết nối trực tiếp với mạng. Việc chèn DMZ sử dụng cổng giao diện thứ ba trên tường lửa. Cấu hình này cho phép tường lửa truyền dữ liệu với cả mạng chung và thiết bị cô lập sử dụng Dịch địa chỉ mạng (NAT). Tường lửa không thường bảo vệ hệ thống cô lập, cho phép nó kết nối trực tiếp hơn với Internet.
Cấu hình DMZ hỗ trợ an ninh từ tấn công bên ngoài, nhưng thường không có ảnh hưởng đến tấn công nội bộ bao含 nghe lén truyền thông qua bộ phân tích gói tin hoặc giả mạo như email spoofing.