まず結論

DMZは、インターネットと内部ネットワークの間に設ける中間的なネットワークです。

基本情報技術者試験では、次のように切り分けます。

外部から利用される公開サーバ
→ DMZ

重要なデータを持つサーバ
→ 内部セグメント

したがって、Webサーバとデータベースサーバから成るシステムでは、一般に次の配置が適切です。

Webサーバ
→ DMZ

データベースサーバ
→ 内部セグメント

判断軸は次の一文です。

見せるサーバはDMZ、守るサーバは内部。

直感的な説明

DMZは、建物の入口にある受付スペースのようなものです。

外部の人は受付までは入れますが、重要書類を保管する社内の執務室には直接入れません。

インターネット
↓
DMZ（受付）
↓
内部ネットワーク（重要エリア）

Webサーバは、利用者からアクセスされるため受付に近いDMZへ置きます。

一方、データベースサーバは、顧客情報や注文情報などを持つため、さらに内側の内部セグメントへ置きます。

外部利用者はWebサーバを経由してサービスを利用しますが、データベースサーバへ直接接続する必要はありません。

定義・仕組み

DMZとは

DMZは、DeMilitarized Zoneの略です。

日本語では非武装地帯と訳され、ネットワークでは次の目的で設けます。

• 外部公開サーバを内部ネットワークから分離する
• 公開サーバが攻撃された場合の影響を内部へ広げにくくする
• 外部・DMZ・内部の間の通信を個別に制御する

DMZは、安全な内部ネットワークそのものではありません。

むしろ、外部から攻撃される可能性がある公開サーバを、内部とは別の領域へ隔離するための場所です。

三つのセグメント

代表的な構成は次のとおりです。

セグメント	主な役割	代表例
外部セグメント	インターネット側	外部利用者、外部サービス
DMZ	公開サーバを置く中間領域	Web、メール、公開DNS、プロキシ
内部セグメント	重要な内部資源を置く	DB、ファイル、認証、業務サーバ

WebサーバをDMZに置く理由

Webサーバは、インターネット利用者からアクセスされる必要があります。

しかし、内部セグメントに置くと、外部からの通信を内部まで通すことになります。

Webサーバが侵害された場合、内部の他サーバへ攻撃が広がる危険も高まります。

そのため、WebサーバはDMZへ置きます。

データベースサーバを内部に置く理由

データベースサーバには、次のような重要情報が保存されます。

• 顧客情報
• 個人情報
• 注文情報
• 売上情報
• 認証情報

これらは外部から直接アクセスさせる必要がありません。

Webサーバから必要な処理だけを受け付けるようにし、データベースサーバ自体は内部セグメントへ置きます。

科目Aでどう出る？

試験では、サーバ名だけでなく、誰からアクセスされるかと何を守るかを見ます。

問題文の表現	判断
インターネットから公開する	DMZ
外部利用者が直接アクセスする	DMZ
重要データを保存する	内部
外部から直接アクセスさせない	内部
必要な通信だけ許可する	ファイアウォールで制御

典型的な配置

インターネット
↓ HTTP・HTTPSのみ許可
Webサーバ（DMZ）
↓ DB接続に必要な通信のみ許可
DBサーバ（内部）

外部からDBサーバへの直接通信は許可しません。

選択肢を切る順番

1. 外部から直接アクセスされるサーバを探す
2. そのサーバはDMZ
3. 重要データを持つサーバを探す
4. そのサーバは内部
5. 外部から内部への直接通信は不許可

どんな場面で使う？

Webサービス

最も典型的なのは、WebサーバとDBサーバを分離する構成です。

• Webサーバ：DMZ
• DBサーバ：内部

メールサービス

インターネットからメールを受信するメールサーバもDMZに置かれることがあります。

ただし、社内メールボックスや認証情報を扱う内部サーバとは分離します。

公開DNS

外部向けに名前解決を提供する公開DNSサーバもDMZへ置く代表例です。

内部向けDNSサーバとは役割を分けることがあります。

プロキシサーバ

外部との通信を中継するプロキシサーバも、構成によってDMZに配置されます。

プロキシの役割については、プロキシサーバとは？DNS・DHCP・NATとの違いと見分け方でも整理しています。

よくある誤解・混同

DMZは安全な内部ネットワークである

誤りです。

DMZは外部と内部の中間にある隔離領域です。

外部から攻撃を受ける可能性があることを前提にしています。

WebサーバとDBサーバを両方DMZに置く

Webサーバは適切ですが、DBサーバまでDMZに置くと重要データが外部に近くなります。

公開する処理
→ DMZ

重要データ
→ 内部

と分けます。

WebサーバとDBサーバを両方内部に置く

DBサーバは適切ですが、Webサーバも内部に置くと、外部公開サーバが内部ネットワークに入り込みます。

侵害された場合の影響範囲が大きくなるため不適切です。

Webサーバをファイアウォールの外側に置く

外部利用者がアクセスするからといって、無防備な外部セグメントへ置くわけではありません。

ファイアウォールで保護されたDMZに配置します。

DMZに置けば通信制御は不要

誤りです。

DMZは配置場所の話であり、それだけで安全になるわけではありません。

次のように、通信を必要最小限に絞ります。

インターネット → Web
HTTP・HTTPSだけ許可

Web → DB
DB接続に必要な通信だけ許可

インターネット → DB
禁止

ファイアウォールが1台なら分離できない

誤りです。

三つのインタフェースを持つファイアウォールを使えば、1台でも外部・DMZ・内部の三つに分割できます。

この構成は三脚型ファイアウォールとも呼ばれます。

まとめ（試験直前用）

• DMZは外部と内部の間に置く隔離領域
• Webサーバなどの公開サーバはDMZに置く
• DBサーバなどの重要サーバは内部に置く
• 外部からDBへ直接接続させない
• WebからDBへの必要な通信だけ許可する
• DMZは安全地帯ではなく、被害を内部へ広げないための領域

試験直前は、次の一文で整理します。

見せるサーバはDMZ、守るサーバは内部。通信は必要なものだけ許可する。