外部に公開するWebサーバやメールサーバ。これを社内LANに置くのは危険です。そこで使うのがDMZという設計です。
なぜDMZが必要か
公開サーバは、インターネットからアクセスされる＝攻撃対象になります。もし公開サーバが乗っ取られたとき、それが社内LANに直結していると、そこを踏み台に内部まで侵入されてしまいます。
そこで、公開サーバを社内LANとも外部とも隔離した専用エリアに置きます。これがDMZ（非武装地帯）です。
DMZの基本構造
ファイアウォールで、ネットワークを3つのゾーンに分けます。
インターネット ─ FW ─┬─ DMZ（Web/メール等の公開サーバ）
└─ 内部LAN（社内サーバ・端末）
そして通信ルールを、こう設計します。
- インターネット → DMZ: 必要な公開通信のみ許可（例: Webの443）
- インターネット → 内部LAN: 原則すべて拒否
- DMZ → 内部LAN: 原則拒否（必要な最小限だけ許可）
- 内部LAN → DMZ / インターネット: 業務に必要な範囲で許可
ポイント：DMZから内部への通信を絞る
一番大事なのは、DMZから内部LANへの通信を厳しく制限することです。仮にDMZの公開サーバが乗っ取られても、そこから内部へ入れなければ、被害をDMZ内に封じ込められます。
例えば「WebサーバがDBに接続する必要がある」なら、そのDBの特定ポートだけを許可し、それ以外は全部拒否します。
多層防御の一部として
DMZは「境界での隔離」ですが、それだけに頼らないのが今の考え方です。
- サーバ自体の堅牢化（不要サービス停止、パッチ適用）
- WAF（Webアプリケーションファイアウォール）で、アプリ層の攻撃を防ぐ
- ログ監視で侵入の兆候を捕まえる
DMZは多層防御の一枚として位置づけます。
まとめ
DMZは、公開サーバを社内LANから隔離し、「乗っ取られても内部に波及させない」ための設計です。肝はDMZから内部への通信を最小限に絞ること。公開が必要なものは、必ずこの隔離エリアに置く——セキュリティ設計の基本の型として押さえておきましょう。