【IT168专稿】控制来自互联网对内部网络的访问是一种应用最广，也是最重要的防火墙应用环境。在这种应用环境下，防火墙主要保护内部网络不遭受互联网用户（主要是指非法的黑客）的攻击。目前绝大多数企业、特别是中小型企业，采用防火墙的目的就是这个。在这种应用环境中，一般情况下防火墙网络可划分为三个不同级别的安全区域：

    内部网络：这是防火墙要保护的对象，包括全部的企业内部网络设备及用户主机，不过要注意的是，它是从总体上来进行保护的，就是把住了内、外部网络的出、入口，而不针对具体的主机。这个区域是防火墙的可信区域（这是由传统边界防火墙的设计理念决定的）。

    外部网络：这是防火墙要防护的对象，包括外部互联网主机和设备。这个区域为防火墙的非可信网络区域（也是由传统边界防火墙的设计理念决定的）。

    DMZ（非军事区）：它是从企业内部网络中划分的一个小区域，在其中就包括内部网络中用于公众服务的外部服务器，如Web服务器、邮件服务器、FTP服务器、外部DNS服务器等，它们都是为互联网提供某种信息服务。在这个区域中的网络受保护的级别较低，因为如果级别太高，则这些提供公共服务的网络应用就无法进行。也正如此，在这个区域中的网络设备所运行的应用也非常单一。

    在以上三个区域中，用户需要对不同的安全区域庙宇不同的安全策略。虽然内部网络和DMZ区都属于企业内部网络的一部分，但它们的安全级别（策略）是不同的。对于要保护的大部分内部网络，一般情况下禁止所有来自互联网用户的访问；而由企业内部网络划分出去的DMZ区，因需为互联网应用提供相关的服务，所以在一定程度上，没有内部网络限制那么严格，如Web服务器通常是允许任何人进行正常的访问。或许有人问，这样的话，这些服务器不是很容易初攻击，按原理来说是这样的，但是由于在这些服务器上所安装的服务非常少，所允许的权限非常低，真正有服务器数据是在受保护的内部网络主机上，所以黑客攻击这些服务器没有任何意义，既不能获取什么有用的信息，也不能通过攻击它而获得过高的网络访问权限。