DMZとは？公開サーバーを分離する考え方を初心者向けに解説

Webサーバーなどをインターネットへ公開したい。

でも、社内の重要なネットワークへ外部から簡単にアクセスできる構成にはしたくありません。

そこで登場する代表的な考え方がDMZです。

DMZとは？

ネットワークにおけるDMZは Demilitarized Zone の略です。

日本語では「非武装地帯」と訳されます。

ネットワーク設計では一般に、インターネットなどの外部ネットワークと、社内などの内部ネットワークの間に設ける分離されたネットワーク領域を指します。

なぜDMZを作るの？

インターネットへ公開するサーバーは、外部から通信を受け付ける必要があります。

もし公開サーバーを重要な内部端末と同じネットワークへ置いていた場合、公開サーバーが侵害されたときの影響範囲が大きくなる可能性があります。

そこで、

インターネット
      |
      v
  Firewall
      |
      +---- DMZ
      |      |
      |    公開サーバー
      |
      +---- 内部ネットワーク
             |
           社内PC

のように領域を分離します。

DMZには何を置く？

環境によって異なりますが、外部からアクセスを受ける必要があるシステムを配置することがあります。

例：

Web関連サーバー
メール関連サーバー
DNS関連サーバー
リバースプロキシ
外部公開用の中継システム

ただし「この種類のサーバーなら必ずDMZ」というルールではありません。

システム要件やセキュリティ設計によって配置を決めます。

通信はFirewallで制御する

DMZを作るだけでは十分ではありません。

重要なのは各ネットワーク間の通信を適切に制御することです。

たとえば、

Internet -> DMZ
必要な公開通信だけ許可

DMZ -> Internal
必要な通信だけ厳しく許可

Internal -> DMZ
運用上必要な通信を許可

といった方針を設計します。

実際のルールはシステム要件によって変わります。

もしDMZのサーバーが侵害されたら？

DMZを利用する目的のひとつは、公開システムに問題が発生した場合でも、内部ネットワークへ簡単に影響が広がらないようにすることです。

DMZから内部ネットワークへの通信を必要最小限に制限していれば、侵害後の横展開を難しくできます。

もちろんDMZだけで完全に防げるわけではありません。

サーバー自体のセキュリティ対策や監視も必要です。

2台のFirewallが必要？

DMZの構成方法はひとつではありません。

Firewallを2段に配置する構成もあれば、複数のインターフェースやゾーンを持つ1台のFirewallで、

外部
DMZ
内部

を分ける構成もあります。

大切なのは機器の台数そのものではなく、ネットワークを適切に分離し、必要な通信だけを許可することです。

家庭用ルーターの「DMZ」と同じ？

家庭用ルーターには「DMZホスト」などの名称で、特定端末へ外部からの通信を広く転送する機能が搭載されている場合があります。

これは企業ネットワークでいう、分離されたDMZネットワークと同じ構成とは限りません。

製品ごとの仕様を確認することが大切です。

DMZと三層分離

DMZは外部公開システムと内部ネットワークの分離でよく登場する考え方です。

一方、自治体などで知られる三層分離は、業務上の目的や扱う情報などに応じてネットワークを複数の領域へ分離する考え方です。

どちらも「重要な領域を分ける」という点では似ていますが、目的や構成は同じではありません。

🍯 はちみつメモ

今日覚えることは1つだけ！

DMZ = 外部と内部の間に設ける、分離されたネットワーク領域

まとめ

DMZはDemilitarized Zoneの略
外部ネットワークと内部ネットワークの間に分離領域を設ける
外部公開システムを配置する構成で利用される
DMZと内部ネットワーク間の通信制御が重要
DMZだけですべてのセキュリティ問題を解決できるわけではない
構成方法はひとつではない
家庭用ルーターのDMZ機能とは意味合いが異なる場合がある

次におすすめ

次はネットワーク編の最後、**「三層分離とは？」**を学びます。