DMZ: cos’è, a cosa serve e differenza con il firewall

Una DMZ (zona demilitarizzata) è una sottorete che fa da cuscinetto tra internet e la rete interna di un’organizzazione: vi si collocano i servizi che devono essere raggiungibili dall’esterno — come i server web o di posta — isolandoli dal resto dell’infrastruttura. Così, se un attaccante compromette un servizio esposto, si ritrova confinato nella DMZ e non raggiunge direttamente i sistemi e i dati interni. Il firewall è lo strumento che costruisce e sorveglia questo confine.

DMZ e firewall lavorano insieme, ma fanno cose diverse: il firewall è il dispositivo che filtra il traffico secondo regole, la DMZ è l’architettura di rete che quel filtraggio rende possibile. In questa guida vediamo cos’è una DMZ, a cosa serve davvero, come il firewall la realizza, le due architetture principali con cui si costruisce, e che ruolo conserva oggi nell’era della segmentazione e dello zero trust.

1. Cos’è una DMZ
2. A cosa serve: la zona cuscinetto
3. Il ruolo del firewall
4. Le architetture: firewall singolo e doppio firewall
5. Firewall e DMZ: la differenza in sintesi
6. La DMZ oggi: segmentazione e zero trust

Cos’è una DMZ

In ambito informatico, una DMZ — dall’inglese demilitarized zone, zona demilitarizzata — è un segmento di rete isolato che si frappone tra una rete non attendibile (tipicamente internet) e la rete privata interna di un’organizzazione. Il nome è una metafora militare: come la fascia neutra tra due territori, la DMZ è una zona “di mezzo” dove si collocano gli elementi che devono restare a contatto con l’esterno, tenendoli però separati da ciò che va protetto.

Dentro la DMZ si mettono i servizi che per loro natura devono essere raggiungibili da internet: server web, server di posta, server DNS pubblici, portali e applicazioni accessibili ai clienti. Sono i sistemi più esposti, quelli che un attaccante incontra per primi — ed è proprio perché sono esposti che vanno isolati dal resto. La logica di fondo è semplice: ciò che deve parlare con il mondo esterno non deve trovarsi nella stessa stanza dei dati riservati.

A cosa serve: la zona cuscinetto

Il valore della DMZ sta tutto nel contenimento. Senza una DMZ, un server web esposto a internet vivrebbe sulla stessa rete dei sistemi interni: comprometterlo significherebbe avere subito un piede dentro l’infrastruttura che conta. Con una DMZ, quello stesso server compromesso è un vicolo cieco — l’attaccante è dentro la zona cuscinetto, ma tra lui e la rete interna c’è ancora una barriera da superare.

È lo stesso principio della segmentazione di rete, applicato al confine più delicato: quello con l’esterno. La DMZ è, di fatto, il primo e più importante segmento di una rete ben progettata. E protegge in entrambe le direzioni: limita ciò che dall’esterno può raggiungere l’interno, ma anche ciò che, in caso di compromissione di un sistema esposto, può “rimbalzare” verso la rete privata.

Il ruolo del firewall

Se la DMZ è l’architettura, il firewall è lo strumento che la costruisce e la fa funzionare. Un firewall è un dispositivo — hardware, software o un mix dei due — che monitora e controlla il traffico di rete in base a un insieme di regole, decidendo cosa può passare e cosa va bloccato. È il firewall a definire e sorvegliare i confini della DMZ: quali connessioni dall’esterno possono raggiungere i servizi esposti, e quali — pochissime e strettamente controllate — possono passare dalla DMZ alla rete interna.

Le regole seguono in genere il principio del default-deny: si blocca tutto per impostazione predefinita e si autorizza solo ciò che è esplicitamente necessario. È l’approccio corretto, perché parte dal presupposto più prudente — ciò che non è espressamente permesso, è vietato. I firewall moderni (i Next Generation Firewall) aggiungono a questa funzione di base capacità più avanzate, come l’ispezione del contenuto del traffico e il rilevamento delle intrusioni, ma il loro compito fondamentale rimane quello: tracciare e presidiare i confini tra zone con diversi livelli di fiducia.

Le architetture: firewall singolo e doppio firewall

Una DMZ si costruisce principalmente in due modi, che si distinguono per il numero di firewall impiegati.

L’architettura a firewall singolo (detta anche “a tre gambe”) usa un solo firewall dotato di almeno tre interfacce di rete: una verso internet, una verso la rete interna e una verso la DMZ. Lo stesso dispositivo gestisce il traffico tra tutte e tre le zone applicando regole diverse a ciascuna. È un approccio più economico e semplice da gestire, ma ha un punto debole: quel singolo firewall è l’unico ostacolo: se cade lui, cadono tutte le difese perimetrali.

L’architettura a doppio firewall è considerata più sicura ed è quella preferita nelle reti aziendali. La DMZ viene collocata tra due firewall distinti: il primo, “frontend”, regola il traffico da internet verso la DMZ; il secondo, “backend”, regola quello molto più ristretto dalla DMZ verso la rete interna. Un attaccante deve così superare due barriere anziché una. La sicurezza aumenta ulteriormente se i due firewall provengono da fornitori diversi, perché diventa improbabile che entrambi soffrano della stessa vulnerabilità — un’applicazione del principio della difesa in profondità. Lo svantaggio è il costo, di acquisto e di gestione.

Firewall e DMZ: la differenza in sintesi

Riassumendo la distinzione che spesso genera confusione: il firewall è un dispositivo di controllo del traffico — uno strumento. La DMZ è un segmento di rete isolato — un’architettura. Non sono due alternative tra cui scegliere, ma due elementi complementari: la DMZ è il “luogo” protetto, il firewall è il “guardiano” che ne sorveglia gli ingressi. Non si ha una DMZ senza firewall che ne definiscano i confini, e i firewall esprimono il loro pieno valore proprio quando organizzano la rete in zone come la DMZ.

La DMZ oggi: segmentazione e zero trust

Il concetto di DMZ nasce con il modello di sicurezza “perimetrale”: un dentro affidabile, un fuori ostile, e una barriera in mezzo. Quel modello oggi è in evoluzione. Con l’approccio zero trust, il presupposto cambia: nessun utente o sistema è affidabile per default, nemmeno se già all’interno della rete, e ogni accesso va verificato. In una logica zero trust spinta, idealmente ogni risorsa è isolata dalle altre — è come se ogni parte della rete avesse la propria micro-DMZ.

Questo non rende la DMZ obsoleta, ma la inserisce in un disegno più ampio. La separazione dei servizi esposti resta una buona pratica fondamentale; semplicemente, non è più l’unica linea di difesa, ma un tassello di una strategia di segmentazione più granulare, in cui anche la rete interna è suddivisa e controllata. La direzione, come per le linee guida più recenti sulla sicurezza delle reti, è ridurre le connessioni esposte e imporre confini rigorosi ovunque, non solo al perimetro.