两者在功能上是等效的——DMZ 实际上是一个三明治，因为它必须有来自外部世界的连接防火墙，但也有防火墙限制从它到内部网络的访问。

虽然后一张图通常会发生（出于成本原因 - 您需要更少的防火墙），但第一个图被认为更安全，因为您可以使用两种不同的防火墙，这有助于避免对防火墙的攻击破坏它们。在您使用一个防火墙的地方，您为每个方向和每个连接使用一组规则 - 从功能上讲，这与第二个示例中的规则组相同。

这只是安全性的轻微改进，因为通常您不会攻击防火墙-您使用开放端口直接通过并攻击网络服务器，邮件服务器，甚至直接通过攻击数据库，但安全层所有帮助。

DMZ 应该如何放置在高度安全的网络架构中？

关键是安全域之间的深度防御。部署架构的范围将取决于可用资源，包括财务限制和技术能力。

纵深防御

纵深防御是一个信息保障 (IA) 概念，其中多层安全控制（防御）被放置在整个信息技术 (IT) 系统中。这是一种分层策略，以减轻单个安全控制失败的后果。维基百科

安全域

安全域是服务器/计算机飞地分类中的决定性因素。具有不同安全域的网络与其他网络保持分离。 维基百科

执行

为了确定您可以定义的安全域之间的控制；互联网是不可信的，DMZ 是半可信的，内部网络是可信的。

因此，您将在 Internet 和 DMZ 之间采用多层安全控制，其中可能包括：L3 防火墙、IPS、AV、反向代理/负载平衡、L7 过滤。

从 DMZ 主机返回到您的内部网络，您将使用以下附加层：L3 防火墙、L7 过滤（例如 RPC）、IPS/AV。

安全域之间的最小权限访问也是最大化安全控制有效性的关键。

从安全的角度来看，第一个表示是否可以？

由于缺乏纵深防御，我建议不要。Internet-DMZ 和 DMZ-LAN 之间只有一个访问控制。通常，高度安全的架构将具有供应商分离和访问控制层（L3 FW、WAF、IPS、AV 等）。

绝对没有绝对的安全。

从培训的角度来看——我想说第一个更清楚。它显示了外部世界通过这些不同层的概念，并且更容易击中 DMZ 并且可能驻扎在那里的风险较低。

从分层防御的角度来看，这也更好——正如其他答案中很好地指出的那样。

但从成本的角度来看，它不太实用。我在下图中看到了很多很多变体——出于各种原因，所有的网络分段，出于各种成本或其他实际原因，试图用更少的资源做更多的事情。

老实说，我不相信有“正确的方法”或“正确的图表”。因素包括：

• 成本与风险的权衡——不同供应商的多层防火墙肯定更安全，但也更昂贵。高价值/高风险操作的必备品。低价值/低风险操作的过度杀伤力 - 因为它不仅购买成本高，而且维护成本高，而且您必须权衡人工维护这些东西的因素，以及差距和配置错误的风险。一个配置良好的防火墙将比两个完全开放的防火墙更好，因为配置它们的人没有足够的知识来正确地完成工作！

• 清晰度——网络到底是什么样子的？如果只有一个防火墙，请相应地绘制图表，不要让人们寻找第二个防火墙。除非您谈论的是逻辑层而不是物理层，否则在这种情况下，两个“墙”可能位于同一设备上。图表的重点是帮助人类做事……图表仅就其满足这一需求的能力而言是“正确的”或“错误的”。

我想说，如果你的老板声称他的绘画是绝对“正确的方式”——他疯了……有很多公开的例子可以反驳这一点。

如果这是描述你正在使用的东西的最清晰的方式，那么他是对的。

我将重复其他人说过的一些事情，但就在这里。

首先，我会考虑需要多少安全性，实现它的成本，以及如果出现故障并且安全区和互联网之间的通信丢失会出现的问题。

你的场景看起来更复杂一些，因为在到达你的秘密数据之前，还有更多来自黑暗世界的层。但它也增加了更多的成本，存在更多的故障点。

第二个场景与防火墙一样安全。让 DMZ 受到威胁不会使其更容易被攻击，因为它必须通过防火墙，而防火墙是所有概念中的阻力。

抱歉，但如果问题只是关于“哪个是正确的：两个防火墙还是一个？”，我找不到任何参考来决定它。