DMZ とは？

外部から使うWebサーバーなどを、社内の端末やサーバーとは別の領域に置く設計だよ。外部・DMZ・内部の間で必要な通信だけを許可する。公開サーバーが侵害されたとき、内部へ広がるリスクを抑えるためのものなんだ。

外部公開サーバーから内部の機器へ自由に通信できると、侵害されたサーバーが踏み台になりやすいんだ。DMZで分け、内部への接続先や用途を制限する。ただし置くだけで侵害や被害を必ず防げるわけではないよ。

たとえば公開WebサーバーへのHTTPSだけを許可し、DMZから内部へは業務に必要な宛先・ポートだけに絞るよ。一つのファイアウォールで3ゾーンを分ける構成も、二つでDMZを挟む構成もある。二つ置くことと、故障に備えて冗長化することは別なんだ。

公開する部分と内部用の部分を分け、経路と通信ルールを設計する考え方は使えるよ。AWSのパブリックサブネットはインターネットゲートウェイへの経路があるサブネットで、それだけで安全なDMZになるわけではない。Security GroupやNACLなどの設定も確認するんだ。

公開に必要なサービスへ絞り、更新や監視も続けよう。許可した通信が侵入経路になる可能性もあるので、DMZから内部への通信や外向きの通信も用途に応じて制限する。DMZはサーバーの保護や監視の代わりにはならないよ。