ネットワークのDMZ（非武装地帯）とは？役割・仕組み・セキュリティ対策を徹底解説

ネットワークにおけるDMZ（非武装地帯）の役割

組織のローカルエリアネットワーク（LAN）において、DMZ（DeMilitarized Zone：非武装地帯）は追加のセキュリティ層を提供します。公開向けのDMZネットワークに面した、保護・監視されたネットワークノードは、そこに公開されているリソースへアクセスできますが、それ以外の内部ネットワークは外部からの攻撃から保護されます。

DMZは信頼できるネットワークなのか

信頼されたネットワーク（トラステッドネットワーク）では、暗号化なしでシステム間が直接通信することも一般的です。一方、DMZは企業の安全な内部ネットワークと、信頼できない外部ネットワークを隔離するためのネットワークです。信頼されたネットワークをDMZの内側に配置することで、外部ユーザーによる直接アクセスを防ぐことができます。

家庭用ルーターのDMZ機能は無効にすべき？

自宅で「ホームDMZ」や「DMZホスト」を設定する場合は、正しく設定することが極めて重要です。一般的には、家庭用ルーターのDMZ機能の使用は避けることが推奨されます。ご存じのとおり、DMZやDMZホスト機能は、ルーター接続のサーバー側の通信速度やレイテンシ（遅延）を改善するものではありません。

DMZネットワークを安全に運用するには

DMZと内部ネットワーク間のトラフィックは、必要最小限の制限で相互に流れるように設計します。脆弱性管理を徹底することが大切です。公開サービスにはアプリケーション層での防御（WAFなど）を導入し、さらにシステム全体を常時監視する体制を整えましょう。

DMZが内部ネットワークを守る仕組み

DMZの主な目的は、機密データへのアクセスを制限することで内部ネットワークを保護することです。サイト訪問者と組織のネットワークの間にバッファ（緩衝地帯）を設けることで、訪問者が必要な機能へアクセスできるようにしつつ、内部の安全を確保します。

DMZの両側を守るという考え方

DMZの目的は、内外の双方を保護することにあります。インターネット上のホストにイントラネットやLANへの直接アクセスを許可することなく、Webサーバーやメールサーバーなどのサービスを安全に公開できるのが大きな特徴です。

自宅ネットワークでDMZを設定するとどうなる？

DMZとは、コンピューターネットワークにおけるセキュリティ機能の一つで、ファイアウォールの内側にあるコンピューターを分離することを可能にします。家庭でもビジネスでもDMZを構築できますが、家庭環境ではその効果は限定的です。

DMZは「信頼される」側か「信頼されない」側か

DMZからのトラフィックは、内部の信頼されたネットワークから見ると「信頼できない」ものとして扱われます。そのため、DMZから内部ネットワークへの侵入はブロックされる仕組みになっています。

信頼されたネットワーク（トラステッドネットワーク）とは

信頼されたネットワークとは、許可なく誰もが接続できず、安全な通信のみが行われ、限られたユーザーだけがアクセスできるネットワークを指します。

DMZは安全性が低いのか

DMZは内部ネットワークよりもセキュリティレベルが低いため、DMZ内のホストはより多くのセキュリティリスクにさらされます。そのため、DMZ上のサーバーは、必要なユーザーがアクセスできる状態を維持しながら、あらゆる面で堅牢化（ハードニング）を行うことが重要です。

DMZは今も必要なのか

現在では、外部攻撃を防ぐために貴重なデータをネットワーク内で分離している組織は少なくなりましたが、データを分離するという考え方自体は依然として有効な保護手段です。厳密に内部用途に限定して使うのであれば、DMZを社内ネットワークでも活用できます。

ルーターでDMZを有効にすると何が起こる？

インターネットゲームやビデオ会議などの特別な用途のために、DMZ（非武装地帯）機能を利用すると、1台のローカルデバイスだけを外部に公開できます。特定のコンピューターに対してDMZを設定する場合、MACアドレスまたはIPアドレスのいずれかを指定します。

DMZはオンラインゲームに役立つ？

DMZを使うと、すべてのポートを転送（フォワーディング）できます。DMZサーバーを有効にすることで、ゲーム機（Xbox 360、PlayStation 3、Wii）やDVR（TiVo、Moxi）などの接続デバイスで、NATによる通信制限の影響を受けにくくなり、快適に利用しやすくなります。