DMZとは？Webサーバ配置とパケットフィルタリングの考え方【基本情報技術者試験】

まず結論

DMZは、インターネットと内部ネットワークの間に設ける中間的なネットワークです。

基本情報技術者試験では、次のように切り分けます。

外部から利用される公開サーバ
→ DMZ

重要なデータを持つサーバ
→ 内部セグメント

さらに、ファイアウォールでは 公開するサービスに必要な通信だけを許可する のが基本です。

Webページを公開する
→ HTTP / HTTPS を許可

ファイル転送を公開しない
→ FTP は禁止できる

メール送信を公開しない
→ SMTP は禁止できる

ネットワーク監視を外部へ公開しない
→ SNMP は禁止できる

判断軸は次の一文です。

見せるサーバはDMZ、守るサーバは内部。通信は必要なものだけ通す。

直感的な説明

DMZは、建物の入口にある受付スペースのようなものです。

外部の人は受付までは入れますが、重要書類を保管する社内の執務室には直接入れません。

インターネット
↓
DMZ（受付）
↓
内部ネットワーク（重要エリア）

Webサーバは、利用者からアクセスされるため受付に近いDMZへ置きます。

一方、データベースサーバは、顧客情報や注文情報などを持つため、さらに内側の内部セグメントへ置きます。

そして受付には「誰でも何でも持ち込める」のではなく、必要な用件だけ通します。

これがファイアウォールによる通信制御のイメージです。

Webを見る通信
→ 通す

不要なファイル転送
→ 通さない

不要な監視通信
→ 通さない

つまり、DMZは置き場所、パケットフィルタリングは通してよい通信を決める仕組みです。

定義・仕組み

DMZとは

DMZは、DeMilitarized Zoneの略です。

日本語では非武装地帯と訳され、ネットワークでは次の目的で設けます。

外部公開サーバを内部ネットワークから分離する
公開サーバが攻撃された場合の影響を内部へ広げにくくする
外部・DMZ・内部の間の通信を個別に制御する

DMZは、安全な内部ネットワークそのものではありません。

むしろ、外部から攻撃される可能性がある公開サーバを、内部とは別の領域へ隔離するための場所です。

三つのセグメント

代表的な構成は次のとおりです。

セグメント	主な役割	代表例
外部セグメント	インターネット側	外部利用者、外部サービス
DMZ	公開サーバを置く中間領域	Web、メール、公開DNS、プロキシ
内部セグメント	重要な内部資源を置く	DB、ファイル、認証、業務サーバ

WebサーバをDMZに置く理由

Webサーバは、インターネット利用者からアクセスされる必要があります。

しかし、内部セグメントに置くと、外部からの通信を内部まで通すことになります。

Webサーバが侵害された場合、内部の他サーバへ攻撃が広がる危険も高まります。

そのため、WebサーバはDMZへ置きます。

データベースサーバを内部に置く理由

データベースサーバには、次のような重要情報が保存されます。

顧客情報
個人情報
注文情報
売上情報
認証情報

これらは外部から直接アクセスさせる必要がありません。

Webサーバから必要な処理だけを受け付けるようにし、データベースサーバ自体は内部セグメントへ置きます。

パケットフィルタリングとは

パケットフィルタリングは、ファイアウォールが通信パケットの情報を確認し、通過を許可するか禁止するかを決める仕組みです。

代表的には、次の情報を判断材料にします。

送信元IPアドレス
宛先IPアドレス
プロトコル
送信元ポート番号
宛先ポート番号

FEでは、細かな設定方法を覚えるより、「何のサービスを使わせたいか」から必要なプロトコルを判断することが大切です。

主要プロトコルを役割で切り分ける

プロトコル	主な用途	代表的なポート番号
HTTP	Webページの閲覧・Web通信	80
HTTPS	暗号化されたWeb通信	443
FTP	ファイル転送	20 / 21
SMTP	電子メールの送信・転送	25
SNMP	ネットワーク機器の監視・管理	161

試験では、次のように読めば十分です。

Webを見る
→ HTTP / HTTPS

ファイルを転送する
→ FTP

メールを送る
→ SMTP

機器を監視する
→ SNMP

なお、古い問題ではWeb閲覧をHTTPとして出題することがありますが、現在のWebではHTTPSが一般的です。試験では 問題文が要求しているサービスと選択肢の対応 を優先して判断します。

科目Aでどう出る？

試験では、サーバ名だけでなく、誰からアクセスされるかと何を守るかを見ます。

問題文の表現	判断
インターネットから公開する	DMZ
外部利用者が直接アクセスする	DMZ
重要データを保存する	内部
外部から直接アクセスさせない	内部
必要な通信だけ許可する	ファイアウォールで制御

典型的な配置

インターネット
↓ HTTP・HTTPSのみ許可
Webサーバ（DMZ）
↓ DB接続に必要な通信のみ許可
DBサーバ（内部）

外部からDBサーバへの直接通信は許可しません。

「禁止できないプロトコル」を問われたら

このタイプでは、まず 外部へ何のサービスを提供したいか を確認します。

例えば「Webページの閲覧だけを提供する」なら、Web閲覧に必要な通信は止められません。

目的
Webページを見せる
↓
必要な通信
HTTP / HTTPS
↓
これを禁止すると目的を達成できない

逆に、Web閲覧だけが目的なら、FTP・SMTP・SNMPなどの不要な通信は原則として許可する必要がありません。

選択肢を切る順番

何のサービスを提供するか確認する
そのサービスに必要なプロトコルを特定する
必要な通信は許可する
不要な通信は遮断する
公開サーバはDMZ、重要サーバは内部に置く

どんな場面で使う？

Webサービス

最も典型的なのは、WebサーバとDBサーバを分離する構成です。

Webサーバ：DMZ
DBサーバ：内部
インターネット → Web：HTTP / HTTPSだけ許可
インターネット → DB：禁止

メールサービス

インターネットからメールを受信するメールサーバもDMZに置かれることがあります。

ただし、社内メールボックスや認証情報を扱う内部サーバとは分離します。

メールサービスを外部公開するなら、その目的に必要なSMTPなどの通信を許可します。

公開DNS

外部向けに名前解決を提供する公開DNSサーバもDMZへ置く代表例です。

内部向けDNSサーバとは役割を分けることがあります。

プロキシサーバ

外部との通信を中継するプロキシサーバも、構成によってDMZに配置されます。

プロキシの役割については、プロキシサーバとは？DNS・DHCP・NATとの違いと見分け方でも整理しています。

よくある誤解・混同

DMZは安全な内部ネットワークである

誤りです。

DMZは外部と内部の中間にある隔離領域です。

外部から攻撃を受ける可能性があることを前提にしています。

DMZに置けば通信制御は不要

誤りです。

DMZは配置場所の話であり、それだけで安全になるわけではありません。

次のように、通信を必要最小限に絞ります。

インターネット → Web
HTTP・HTTPSだけ許可

Web → DB
DB接続に必要な通信だけ許可

インターネット → DB
禁止

Webページを公開するのにHTTP・HTTPSを禁止する

Webページを外部へ提供したいのに、Web通信そのものを遮断すると目的を達成できません。

試験では、必要なサービスのプロトコルは残し、不要なものを止めると考えます。

FTP・SMTP・SNMPもWeb閲覧に必要

誤りです。

FTP
→ ファイル転送

SMTP
→ メール送信

SNMP
→ ネットワーク監視

Web閲覧だけを提供する構成なら、これらはWeb閲覧そのものには必要ありません。

ポート番号だけ丸暗記すればよい

ポート番号は役立ちますが、先に用途を理解した方が安定します。

Web → HTTP / HTTPS
メール送信 → SMTP
ファイル転送 → FTP
監視 → SNMP

役割が分かれば、ポート番号を忘れても選択肢をかなり絞れます。

WebサーバとDBサーバを両方DMZに置く

Webサーバは適切ですが、DBサーバまでDMZに置くと重要データが外部に近くなります。

公開する処理
→ DMZ

重要データ
→ 内部

と分けます。

Webサーバをファイアウォールの外側に置く

外部利用者がアクセスするからといって、無防備な外部セグメントへ置くわけではありません。

ファイアウォールで保護されたDMZに配置します。

まとめ（試験直前用）

DMZは外部と内部の間に置く隔離領域
Webサーバなどの公開サーバはDMZに置く
DBサーバなどの重要サーバは内部に置く
ファイアウォールでは必要な通信だけ許可する
Web閲覧 → HTTP / HTTPS
ファイル転送 → FTP
メール送信 → SMTP
ネットワーク監視 → SNMP
「禁止できない通信」は、提供したいサービスから逆算する

試験直前は、次の一文で整理します。

何を公開する？ → 必要なプロトコルだけ通す。見せるサーバはDMZ、守るサーバは内部。

🔗 関連記事

🏠 基本情報技術者トップに戻る