DMZ（非武装地帯）とは？ネットワークを守る緩衝地帯の仕組みをわかりやすく解説【IPA試験対策】

対象試験と出題頻度

DMZ（非武装地帯）は、ITパスポートから応用情報技術者まで全試験区分で出題される超重要キーワードです。

ネットワークセキュリティの基本中の基本であり、ファイアウォールとセットで問われることが非常に多いです。絶対に覚えておきましょう。

用語の定義

DMZ（DeMilitarized Zone：非武装地帯）とは、一言で言うと「インターネット（外部ネットワーク）と社内ネットワーク（内部ネットワーク）の間に設置される、外部公開用サーバーを配置するための緩衝地帯」のことです。

イメージとしては、「城の外堀と内堀の間にある『出城』」のようなものです。外部からの来訪者（インターネットからのアクセス）は出城（DMZ）までは入れますが、本丸（内部ネットワーク）には直接入れません。万が一、出城が攻め落とされても、本丸はまだ内堀で守られています。

情報処理試験を勉強していると、「DMZって、なんで『非武装地帯』なんて物騒な名前なの？」と疑問に思う方もいるでしょう。これは、朝鮮半島の軍事境界線にある「非武装地帯（DMZ）」に由来しています。両軍が直接対峙しないための緩衝地帯という意味で、ネットワークセキュリティでも同じ概念が使われています。

解説

DMZ（DeMilitarized Zone）は、ネットワークセキュリティにおける「境界防御」の基本的な考え方です。インターネットに公開する必要があるサーバー（Webサーバーなど）を、内部ネットワークから分離して配置することで、万が一そのサーバーが攻撃を受けても、内部ネットワークへの被害を最小限に抑えることができます。

なぜDMZが必要なのか

企業がWebサイトを公開したり、メールを受信したりするためには、インターネットからアクセス可能なサーバーが必要です。しかし、そのサーバーを社内ネットワークに直接置いてしまうと、サーバーが攻撃者に乗っ取られた場合、社内ネットワーク全体が危険にさらされます。

そこで、「外部公開サーバーは内部ネットワークとは別の場所に置く」という発想が生まれました。これがDMZです。DMZと内部ネットワークの間にもファイアウォールを設置することで、DMZ内のサーバーが侵害されても、内部ネットワークへの侵入を防ぐことができます。

DMZの構成パターン

DMZの構成には主に2つのパターンがあります。試験では両方の構成が出題されることがあるので、違いを理解しておきましょう。

シングルファイアウォール構成（三本足構成）は、1台のファイアウォールに3つのネットワークインターフェース（外部・DMZ・内部）を持たせる構成です。コストを抑えられますが、ファイアウォールが単一障害点になるリスクがあります。

デュアルファイアウォール構成は、外部とDMZの間に1台目のファイアウォール、DMZと内部の間に2台目のファイアウォールを設置する構成です。より強固なセキュリティを実現できますが、コストと管理の手間が増えます。

DMZの通信制御ルール

DMZを効果的に機能させるためには、ファイアウォールで適切な通信制御を行う必要があります。基本的なルールは以下のとおりです。

外部→DMZ：必要な通信のみ許可（例：80番ポート（HTTP）、443番ポート（HTTPS）へのアクセス）

DMZ→内部：原則禁止。必要最小限の通信のみ許可（例：WebサーバーからDBサーバーへの接続）

外部→内部：原則禁止（DMZを経由させる）

内部→DMZ：管理目的の通信は許可（例：サーバー管理用のSSH接続）

内部→外部：業務に必要な通信は許可（プロキシサーバー経由が望ましい）

試験ではこう出る！

DMZは、ITパスポートから応用情報技術者まで全試験区分で出題される超頻出キーワードです。「DMZとは何か」「DMZに配置するサーバーは何か」「ファイアウォールとの関係」が定番の出題パターンです。

試験ではここまで押さえておけばOKです。DMZの具体的なファイアウォール設定コマンドや、詳細なネットワーク設計までは問われないので、「なぜDMZが必要なのか」「何を配置するのか」という基本を確実に理解しておきましょう。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。