非武装地帯 (コンピュータセキュリティ)

出典: フリー百科事典『ウィキペディア(Wikipedia)』
移動: 案内検索

非武装地帯(ひぶそうちたい、DMZ英語: demilitarized zone)とは、組織の内部ネットワークと危険の多い外部ネットワーク(一般的にインターネット)の間に設置されている隔離されたネットワーク領域(サブネットワークSubnetwork)のこと。コンピュータセキュリティの一技法として使われる。この名称は、軍事的な非武装地帯に見たてて名づけられた。用語本来の正式な位置づけとしては、自らの防御壁(ファイアーウォール)より外側の領域を指す。英語では、Data Management Zone, Demarcation Zone または Perimeter Network とも呼ぶ。

概要[編集]

三脚ファイアーウォール(three-legged firewall)を使うDMZを利用した一般的なネットワークダイアグラム
図中の単語解説:
Posts clients:クライアントポート
DMZ:非武装地帯
Firewall:ファイアーウォール
Routeur Internet:インターネットルーター

非武装地帯 (DMZ) の特徴は、内部ネットワークと外部ネットワークからDMZに接続することは許容しながらも、DMZからは外部ネットワークだけに接続を許容している点にある。すなわち、DMZ内のホストからは、内部ネットワークに接続することができない。DMZは、侵入者がDMZのホストに侵入した場合にも、内部ネットワークを保護しながら、DMZのホストが外部ネットワークに対してサービスを供給することを可能にする。したがって、誰かが外部ネットワークから内部ネットワークに不法な接続を試みる場合、DMZは侵入者にとっての袋小路(dead end)として機能することになる。

一般的にDMZは、メールサーバウェブサーバDNSサーバProxyサーバなど、外部ネットワークからアクセスしやすい状況が必要な接続サーバのために使われる。

外部ネットワークからDMZまでの接続は、一般的にポートアドレス変換port address translation, PAT)の使用によって制御される。

DMZは、しばしばファイアーウォールの構成オプションを通じて作られる。各ネットワークは、互いに異なるポートを使ってファイアーウォールと連結される。これを、三脚ファイアーウォール設定(three-legged firewall set-up)と呼ぶ。より強力な手法は、2つのファイアーウォールを使う方式である。その方式では、DMZは使用する2つのファイアーウォールの中間にあって、双方のファイアーウォールと連結する。そして、一方のファイアーウォールは内部ネットワークと連結し、もう一方は外部ネットワークと連結する。この方式には、偶然によって生じる設定の過ちを通じて、外部ネットワークから内部ネットワークへのアクセスを可能にしてしまう事態を防ぐ補助的役割がある。この方式の設定は、screened-subnet firewall(閉じたサブネットによるファイアーウォール)とも呼ばれる。

DMZホスト[編集]

ホームルーター(home router)を、DMZホストと呼ぶ場合がある。ホーム・ルーターのDMZホストは、すべてのポートを露出した内部ネットワークのホストである。ホスト自体でのアクセス制御はこれに含まれず外部から全ポートが接続可能な状態を指す。

関連項目[編集]