Hur isolerad ska en DMZ vara?

Det ligger ju i begreppets själva natur att en DMZ har någon slags länk till övriga LAN:et och inte är en fysiskt isolerad infrastruktur helt på egen hand. Men vilken grad av isolering "krävs" för att inte skjuta sig i foten? Jag ser ofta rådet att en DMZ inte ska få upprätta kommunikation själv, men att den kan svara om LAN vill ha kontakt (lawrencesystems är väl den enda jag minns har sagt det nyligen, men jag tror jag läste det i nån pfsenseintroduktion också).

Ni som är hemma på DMZ:s, är det okej, eller kan en komprometterad webbserver (el dyl) i en DMZ piggybacka på paketen som går tillbaka till LAN och släpps igenom av t.ex. pfsense på tillbakavägen, eftersom godkänd anslutning initierades från LAN.

Bakgrunden till min fråga är att om det nu ska vara "dubbelisolerat", varför då alls bry sig om att ha en DMZ överhuvudtaget. Bättre då att bygga en separat infrastruktur. Eller är DMZ nåt som hittats på för entusiaster hemma som inte vill ha för mycket hårdvara.

??