問55
頻出度★★★
企業のネットワークにおける DMZ の設置目的として, 最も適切なものはどれか。
平成23年度 特別試験 ITパスポート試験 問55
この問題の解説と、これまでの解答の記録です。
解説
問 55
- ア
正解 正解はア。DMZ (DeMilitarized Zone、非武装地帯) とは、ファイアウォールによってインターネットからも社内ネットワーク (社内 LAN) からも切り離された、緩衝地帯となるネットワークセグメントのことである。典型的な構成では、ファイアウォールがインターネット・DMZ・社内 LAN の三つの領域を区切り、Web サーバ、メールサーバ、DNS サーバ、公開 FTP サーバなど、業務上どうしても社外に公開しなければならないサーバだけを DMZ に配置する。公開サーバは不特定多数からアクセスを受けるため、脆弱性を突かれて侵入・乗っ取りを受ける危険が最も高い。もしこれらを社内 LAN に直接置いてしまうと、サーバが一台乗っ取られただけで、そこを踏み台にして社内の機密情報やファイルサーバへ到達されてしまう。そこで公開サーバを DMZ という別のセグメントに隔離し、ファイアウォールで、インターネットから DMZ の公開サービスへのアクセスは許可、社内 LAN から DMZ へのアクセスは許可、DMZ から社内 LAN への通信は原則として禁止、という向きのフィルタリングを行う。こうしておけば、DMZ 上のサーバが侵害されても、そこから社内 LAN へ入り込む通信はファイアウォールで遮断され、被害を DMZ の中に封じ込められる。すなわち DMZ の設置目的は、社外に公開するサーバを社内ネットワークから隔離し、守りの境界を二重にすることであり、これを述べているアが最も適切である。
不正解イ
これは NAT (Network Address Translation、ネットワークアドレス変換) や NAPT (IP マスカレード) の説明であり、DMZ の設置目的ではない。NAT/NAPT はルータやファイアウォールが備える機能で、社内で使うプライベート IP アドレスとインターネットで使うグローバル IP アドレスを相互に変換する。目的は、数が限られたグローバル IP アドレスを節約して複数の端末で共有することと、外部から社内端末のアドレスを直接見えなくすることにある。DMZ を持つ環境で NAT が併用されることは多いが、それはアドレスの表記を変換する仕組みの話であって、公開サーバをどのセグメントに置くかというネットワークの区切り方 (DMZ の目的) とは別の概念である。
不正解ウ
これはウイルス対策ソフトや、メールゲートウェイ・プロキシサーバ上で通過するデータを検査するウイルス対策ゲートウェイ (アンチウイルスゲートウェイ) の説明であり、DMZ の設置目的ではない。DMZ はあくまで、サーバをどこに置き、どの向きの通信を許可するかというネットワーク構成上の区切りであって、それ自体が通信内容を走査してウイルスを検出・除去する機能をもつわけではない。ウイルス対策のためのゲートウェイを DMZ 上に設置することはあるが、それは DMZ に置かれた一つのサーバの役割にすぎず、DMZ そのものの設置目的とは区別して理解する必要がある。
不正解エ
これは VPN (Virtual Private Network、仮想私設網)、特にインターネット回線を利用するインターネット VPN の説明であり、DMZ の設置目的ではない。VPN は通信経路を暗号化してトンネルを作ることで、公衆網であるインターネット上に、あたかも専用線で接続しているかのような仮想的な閉じた通信路を実現する技術であり、拠点間接続やテレワーク時のリモートアクセスに使われる。その目的は通信の機密性と完全性の確保であって、公開サーバを社内ネットワークから隔離することではない。暗号化による通信路の保護と、セグメント分割によるサーバの隔離という、狙いの異なる二つの対策を混同しないようにしたい。
ここがポイント
- DMZ の定義と役割 — DMZ はファイアウォールでインターネットとも社内 LAN とも直接つながらないように区切られた緩衝セグメントで、Web サーバ・メールサーバ・DNS サーバなど社外に公開する必要のあるサーバを置く場所である。フィルタリングは、インターネットから DMZ へは必要なサービスのみ許可、社内 LAN から DMZ へは許可、DMZ から社内 LAN へは原則禁止、が基本形であり、公開サーバが侵害されても被害が社内 LAN に波及しないよう封じ込めることが設置目的である。
- 紛らわしい周辺技術との切り分け — DMZ (セグメント分割によるサーバの隔離)、NAT/NAPT (プライベート IP アドレスとグローバル IP アドレスの変換によるアドレス節約と内部隠蔽)、ウイルス対策ゲートウェイ (通過データの検査とウイルス除去)、VPN (暗号化トンネルによる仮想専用線) は、いずれもネットワークセキュリティの用語だが目的がそれぞれ異なる。目的を問われたら、何から何を守るために、どこで働く仕組みかで対応づけて覚えるとよい。
用語