--- title: "DMZとは？Webサーバとデータベースサーバの安全な配置【基本情報技術者試験】" description: "DMZ・外部セグメント・内部セグメントの違いを整理し、Webサーバとデータベースサーバをどこに配置すべきかをFE試験の判断基準で解説します。" last_modified_at: "2026-07-20" canonical_url: "https://stemtazoo.github.io/fe/dmz-server-placement/" section: "fe" --- ## まず結論 DMZは、インターネットと内部ネットワークの間に設ける中間的なネットワークです。 基本情報技術者試験では、次のように切り分けます。 ```text 外部から利用される公開サーバ → DMZ 重要なデータを持つサーバ → 内部セグメント ``` したがって、Webサーバとデータベースサーバから成るシステムでは、一般に次の配置が適切です。 ```text Webサーバ → DMZ データベースサーバ → 内部セグメント ``` 判断軸は次の一文です。 > **見せるサーバはDMZ、守るサーバは内部。** ## 直感的な説明 DMZは、建物の入口にある受付スペースのようなものです。 外部の人は受付までは入れますが、重要書類を保管する社内の執務室には直接入れません。 ```text インターネット ↓ DMZ（受付） ↓ 内部ネットワーク（重要エリア） ``` Webサーバは、利用者からアクセスされるため受付に近いDMZへ置きます。 一方、データベースサーバは、顧客情報や注文情報などを持つため、さらに内側の内部セグメントへ置きます。 外部利用者はWebサーバを経由してサービスを利用しますが、データベースサーバへ直接接続する必要はありません。 ## 定義・仕組み ### DMZとは DMZは、DeMilitarized Zoneの略です。 日本語では非武装地帯と訳され、ネットワークでは次の目的で設けます。 - 外部公開サーバを内部ネットワークから分離する - 公開サーバが攻撃された場合の影響を内部へ広げにくくする - 外部・DMZ・内部の間の通信を個別に制御する DMZは、安全な内部ネットワークそのものではありません。 むしろ、外部から攻撃される可能性がある公開サーバを、内部とは別の領域へ隔離するための場所です。 ### 三つのセグメント 代表的な構成は次のとおりです。 | セグメント | 主な役割 | 代表例 | |---|---|---| | 外部セグメント | インターネット側 | 外部利用者、外部サービス | | DMZ | 公開サーバを置く中間領域 | Web、メール、公開DNS、プロキシ | | 内部セグメント | 重要な内部資源を置く | DB、ファイル、認証、業務サーバ | ### WebサーバをDMZに置く理由 Webサーバは、インターネット利用者からアクセスされる必要があります。 しかし、内部セグメントに置くと、外部からの通信を内部まで通すことになります。 Webサーバが侵害された場合、内部の他サーバへ攻撃が広がる危険も高まります。 そのため、WebサーバはDMZへ置きます。 ### データベースサーバを内部に置く理由 データベースサーバには、次のような重要情報が保存されます。 - 顧客情報 - 個人情報 - 注文情報 - 売上情報 - 認証情報 これらは外部から直接アクセスさせる必要がありません。 Webサーバから必要な処理だけを受け付けるようにし、データベースサーバ自体は内部セグメントへ置きます。 ## 科目Aでどう出る？ 試験では、サーバ名だけでなく、誰からアクセスされるかと何を守るかを見ます。 | 問題文の表現 | 判断 | |---|---| | インターネットから公開する | DMZ | | 外部利用者が直接アクセスする | DMZ | | 重要データを保存する | 内部 | | 外部から直接アクセスさせない | 内部 | | 必要な通信だけ許可する | ファイアウォールで制御 | ### 典型的な配置 ```text インターネット ↓ HTTP・HTTPSのみ許可 Webサーバ（DMZ） ↓ DB接続に必要な通信のみ許可 DBサーバ（内部） ``` 外部からDBサーバへの直接通信は許可しません。 ### 選択肢を切る順番 ```text 1. 外部から直接アクセスされるサーバを探す 2. そのサーバはDMZ 3. 重要データを持つサーバを探す 4. そのサーバは内部 5. 外部から内部への直接通信は不許可 ``` ## どんな場面で使う？ ### Webサービス 最も典型的なのは、WebサーバとDBサーバを分離する構成です。 - Webサーバ：DMZ - DBサーバ：内部 ### メールサービス インターネットからメールを受信するメールサーバもDMZに置かれることがあります。 ただし、社内メールボックスや認証情報を扱う内部サーバとは分離します。 ### 公開DNS 外部向けに名前解決を提供する公開DNSサーバもDMZへ置く代表例です。 内部向けDNSサーバとは役割を分けることがあります。 ### プロキシサーバ 外部との通信を中継するプロキシサーバも、構成によってDMZに配置されます。 プロキシの役割については、[プロキシサーバとは？DNS・DHCP・NATとの違いと見分け方](https://stemtazoo.github.io/fe/proxy-server/)でも整理しています。 ## よくある誤解・混同 ### DMZは安全な内部ネットワークである 誤りです。 DMZは外部と内部の中間にある隔離領域です。 外部から攻撃を受ける可能性があることを前提にしています。 ### WebサーバとDBサーバを両方DMZに置く Webサーバは適切ですが、DBサーバまでDMZに置くと重要データが外部に近くなります。 ```text 公開する処理 → DMZ 重要データ → 内部 ``` と分けます。 ### WebサーバとDBサーバを両方内部に置く DBサーバは適切ですが、Webサーバも内部に置くと、外部公開サーバが内部ネットワークに入り込みます。 侵害された場合の影響範囲が大きくなるため不適切です。 ### Webサーバをファイアウォールの外側に置く 外部利用者がアクセスするからといって、無防備な外部セグメントへ置くわけではありません。 ファイアウォールで保護されたDMZに配置します。 ### DMZに置けば通信制御は不要 誤りです。 DMZは配置場所の話であり、それだけで安全になるわけではありません。 次のように、通信を必要最小限に絞ります。 ```text インターネット → Web HTTP・HTTPSだけ許可 Web → DB DB接続に必要な通信だけ許可 インターネット → DB 禁止 ``` ### ファイアウォールが1台なら分離できない 誤りです。 三つのインタフェースを持つファイアウォールを使えば、1台でも外部・DMZ・内部の三つに分割できます。 この構成は三脚型ファイアウォールとも呼ばれます。 ## まとめ（試験直前用） - DMZは外部と内部の間に置く隔離領域 - Webサーバなどの公開サーバはDMZに置く - DBサーバなどの重要サーバは内部に置く - 外部からDBへ直接接続させない - WebからDBへの必要な通信だけ許可する - DMZは安全地帯ではなく、被害を内部へ広げないための領域 試験直前は、次の一文で整理します。 > **見せるサーバはDMZ、守るサーバは内部。通信は必要なものだけ許可する。**