Webサイトを公開する際、サーバーを社内ネットワーク（LAN）の中に直接置いてしまうと、万が一そのサーバーがハッキングされたときに、社内の重要なPCや機密データまで一気に危険にさらされてしまいます。
こうした「外部からの攻撃」による被害を最小限に食い止めるための緩衝地帯が、DMZ（DeMilitarized Zone：非武装地帯）です。今回は、第18回で学んだ「ファイアウォール」をどう活用し、安全な境界線を引きくのか、その構造を徹底解説します。
DMZの基本概念：ネットワークの「中庭」
DMZとは、インターネット（外部ネットワーク）と社内LAN（内部ネットワーク）の中間に設けられた、隔離されたネットワークエリアのことです。
現実の世界に例えると、DMZはホテルの「ロビー」のような場所です。
- インターネット： 誰でも歩ける外の道路。
- DMZ（ロビー）： 宿泊客以外も立ち寄れるが、ここから先（客室）へは鍵がないと入れない。
- 社内LAN（客室）： 宿泊客（社員）しか入れないプライベートな空間。
外部に公開する必要があるWebサーバーやメールサーバー、プロキシサーバーなどは、この「ロビー（DMZ）」に配置するのが鉄則です。サーバーを外部公開する際は、IPアドレスだけでなく、ユーザーがアクセスするための分かりやすい名前、すなわち「ドメイン名（住所）」を取得し、適切に設定する必要があります。
なぜDMZが必要なのか？（多層防御の視点）
最大の理由は、「外部公開サーバーの踏み台化」を防ぐためです。
Webサーバーは不特定多数のアクセスを受け入れる性質上、第20回で学んだ「脆弱性攻撃（SQLi/XSS）」を受けるリスクが常にあります。もしサーバーが乗っ取られたとしても、サーバーがDMZに隔離されていれば、そこから社内LANへのアクセスはファイアウォールによって厳格に遮断されています。
これにより、一つのサーバーの陥落が社内ネットワーク全体の崩壊（延焼）に繋がるのを防ぐ「防波堤」の役割を果たします。
DMZを構築する「2つの手法」
ファイアウォールの配置によって、主に以下の2通りの構成があります。
① 3本足（スリーレグ）構成
1台のファイアウォールに「外部」「DMZ」「内部」の3つのネットワーク口（インターフェース）を接続する方式です。
- メリット： 機器が1台で済むためコストを抑えられ、管理も一元化できます。
- 注意点： ファイアウォール自体の脆弱性や設定ミスが、全エリアの崩壊に直結する単一障害点（SPOF）となります。
② 2段構え（背中合わせ）構成
2台のファイアウォールを直列に並べ、その間にDMZを挟む方式です。
- メリット： 非常に堅牢です。外側の壁が突破されても、内側の壁が社内LANを守ります。
- 実務での運用： 異なるメーカーの製品を組み合わせる（マルチベンダー構成）ことで、特定の製品特有の脆弱性を突いた一斉突破を防ぐ工夫もなされます。
DMZ内のサーバーを守る「実働部隊」の配置
DMZに置かれたサーバーをさらに守るために、これまでに学んだ技術が連携します。
- WAFの配置： Webサーバーの直前に「WAF」を置き、SQLインジェクションなどのアプリ層攻撃を阻止します。
- IDS/IPSの監視： DMZ内の不審な動きを「IDS/IPS」で検知・遮断します。
- ロードバランサー： 大規模な構成では、DMZ内に「ロードバランサー」を置き、複数のサーバーへ負荷を分散させます。
運用上の鉄則：通信の向きを制限する
DMZを安全に運用するためには、第18回で触れた「セキュリティポリシー」の設定が鍵となります。
- 外部 → DMZ： 公開サービス（HTTP/HTTPS等）に必要な通信のみを「許可」。
- 内部 → DMZ： サーバーの管理やコンテンツ更新の通信のみを「許可」。
- DMZ → 内部： 原則として「拒否（すべて遮断）」。
特に3番が重要です。DMZ上のサーバーから内部LANへの通信は、データベースへの問い合わせなど、どうしても必要な特定の経路・ポートに絞って最小限の穴を開けるだけに留めます。
まとめ
DMZは、外部からの利便性と内部の安全性を両立させるための「セキュリティ設計の要」です。
- DMZは、外部と内部を隔離するネットワークの緩衝地帯。
- ファイアウォールによって、通信の「方向」と「種類」を厳格に制御する。
- 万が一の侵入時も、社内LANへの延焼を防ぐことができる。
システムを構築する際、「どこまでを外に見せ、どこからを隠すか」という境界線を明確に引くことが、インフラエンジニアとしての第一歩です。
コメント