問55
頻出度★★★
企業のネットワークにおける DMZ の設置目的として, 最も適切なものはどれか。
平成23年度 特別試験 ITパスポート試験 問55
这道题的解析和你的作答记录。
解説
問 55
- ア
正解 正确答案是ア。DMZ（DeMilitarized Zone，非军事区，也称隔离区）是指通过防火墙与互联网和公司内部网络（内部 LAN）都隔离开来的、充当缓冲地带的网络段。在典型的结构中，防火墙把互联网、DMZ、内部 LAN 这三个区域分隔开，只把 Web 服务器、邮件服务器、DNS 服务器、对外公开的 FTP 服务器等业务上不得不对外公开的服务器放置在 DMZ 中。公开服务器会被不特定多数的人访问，因此被人利用漏洞入侵、劫持的危险性最高。如果把它们直接放在内部 LAN 中，那么只要有一台服务器被劫持，攻击者就能以它为跳板到达公司内部的机密信息和文件服务器。因此要把公开服务器隔离到 DMZ 这个独立的网段中，并在防火墙上按通信方向进行过滤：允许从互联网访问 DMZ 上的公开服务，允许从内部 LAN 访问 DMZ，原则上禁止从 DMZ 向内部 LAN 的通信。这样一来，即使 DMZ 上的服务器被攻陷，从那里进入内部 LAN 的通信也会被防火墙阻断，损害可以被封锁在 DMZ 之内。也就是说，设置 DMZ 的目的是把对外公开的服务器与公司内部网络隔离开来，让防御边界形成双重结构，因此叙述了这一点的ア最恰当。
错误イ
这是 NAT（Network Address Translation，网络地址转换）或 NAPT（IP 伪装）的说明，而不是设置 DMZ 的目的。NAT/NAPT 是路由器或防火墙具备的功能，它在公司内部使用的私有 IP 地址与互联网上使用的全局 IP 地址之间进行相互转换。其目的在于节约数量有限的全局 IP 地址、让多台终端共享，以及使外部无法直接看到公司内部终端的地址。在拥有 DMZ 的环境中经常同时使用 NAT，但那讲的是转换地址写法的机制，与把公开服务器放在哪个网段这种网络划分方式（也就是 DMZ 的目的）是不同的概念。
错误ウ
这是杀毒软件，或者是在邮件网关、代理服务器上检查所经过数据的防病毒网关（反病毒网关）的说明，而不是设置 DMZ 的目的。DMZ 说到底只是网络结构上的划分，规定服务器放在什么位置、允许哪个方向的通信，它本身并不具备扫描通信内容以检测和清除病毒的功能。确实有时会把用于防病毒的网关设置在 DMZ 上，但那只不过是放在 DMZ 中的某一台服务器所承担的职责，需要与 DMZ 本身的设置目的区分开来理解。
错误エ
这是 VPN（Virtual Private Network，虚拟专用网），特别是利用互联网线路的 Internet VPN 的说明，而不是设置 DMZ 的目的。VPN 通过对通信路径加密并建立隧道，在作为公用网络的互联网上实现一条仿佛用专线连接的、虚拟的封闭通信通道，可用于据点之间的互联以及远程办公时的远程访问。它的目的是确保通信的机密性和完整性，而不是把公开服务器与公司内部网络隔离开来。要注意不要把「通过加密保护通信通道」与「通过网段划分隔离服务器」这两种目标不同的措施混为一谈。
ここがポイント
- DMZ 的定义与作用 —— DMZ 是用防火墙划分出来、与互联网和公司内部 LAN 都不直接相连的缓冲网段，是放置 Web 服务器、邮件服务器、DNS 服务器等必须对外公开的服务器的地方。过滤的基本形式是：从互联网到 DMZ 只允许必要的服务，从内部 LAN 到 DMZ 允许访问，从 DMZ 到内部 LAN 原则上禁止；其设置目的就是即使公开服务器被攻陷，也能把损害封锁住，不让它波及内部 LAN。
- 与容易混淆的相关技术的区分 —— DMZ（通过网段划分隔离服务器）、NAT/NAPT（通过私有 IP 地址与全局 IP 地址的转换来节约地址并隐藏内部）、防病毒网关（检查所经过的数据并清除病毒）、VPN（通过加密隧道实现虚拟专线）都是网络安全领域的术语，但各自的目的并不相同。被问到目的时，按照「为了防住什么、保护什么，以及在哪里发挥作用的机制」来对应记忆会比较好。
用語