とことこロゴス
DMZ
インターネットと社内のネットワークの間に、ファイアウォールで区切って設けるネットワーク。Webサーバやメールサーバなど、外部に公開するサーバを置く。
イマシルちゃんの解説
公開用のWebサーバはインターネットから利用できる必要があるけれど、社内の大切なデータまで触られたら困るよね。
そこで公開サーバを社内用の機器と分けて置くネットワーク区画がDMZなんだ。
DMZの境界には、決めた条件に従って通信を通したり止めたりするファイアウォールを設けるよ。
Webページを見せる通信は通しても、社内への不要な通信は通さないようにするの。
こうして公開の窓口を設けながら、社内とのやり取りを必要なものに絞れるんだ。
公開サーバに侵入されても、社内へ被害が広がる危険を抑えられるよ。
この解説はわかりやすかったですか？
より深い解説
定義
DMZ（DeMilitarized Zone：非武装地帯）は、外部のネットワーク（インターネット）と内部のネットワーク（社内LAN）の間に、ファイアウォールで区切って設けるネットワークセグメントである。インターネットに公開する必要のあるサーバを置く。
DMZに置く主なサーバ
| サーバ | 役割 |
|---|---|
| Webサーバ | 外部に公開するWebサイト |
| メールサーバ（中継用） | 外部とのメールの送受信の窓口 |
| 外部向けのDNSサーバ | 自組織のドメインの権威DNSサーバ |
| プロキシサーバ | 社内からインターネットへのWebアクセスを中継する |
社内の重要なデータを持つサーバ（ファイルサーバ、データベースサーバなど）は、DMZではなく内部ネットワークに置く。
通信の許可の考え方
| 通信の向き | 扱い |
|---|---|
| インターネット → DMZ | 公開するサービスのポートだけ許可する（Webなら443番など） |
| インターネット → 内部 | すべて拒否する |
| DMZ → 内部 | 原則として拒否し、必要な通信だけを最小限に許可する |
| 内部 → DMZ | 必要な通信を許可する |
| 内部 → インターネット | DMZのプロキシサーバを経由させるなど、必要な通信だけを許可する |
ポイントは、公開サーバが攻撃を受けて乗っ取られても、そこから内部ネットワークへ攻撃が広がらないようにすることである。
構成の例
| 構成 | 内容 |
|---|---|
| 1台のファイアウォール | 外部、DMZ、内部の3つのインタフェースを持つファイアウォールで区切る |
| 2台のファイアウォール | 外部とDMZの間、DMZと内部の間に、それぞれファイアウォールを置く。別の製品にすると、1台の弱点で両方を破られにくい |
注意点
DMZのサーバは攻撃の最前線に立つため、不要なサービスを止め、ソフトウェアを最新に保ち、ログを監視する必要がある。また、DMZは「そこにサーバを置けば安全」という意味ではなく、「侵入されても被害を内部に広げないための緩衝地帯」である点に注意する。