ITパスポート 2009年 秋期 問79

ファイアウォールとネットワーク領域の問題【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「インターネットからもイントラネットからもアクセス可能」「イントラネットへのアクセスを禁止」。
2. 各選択肢の意味を思い出す（略語は下で説明）。
3. 「両方からアクセスできるが内部へは接続させない」特徴に一致するものを選ぶ。
4. DMZはまさにその特徴なので選ぶ。

選択肢別の誤答解説

• ア: DHCP（Dynamic Host Configuration Protocol：動的にIPアドレスなどを割り当てる仕組み）
  • DHCPはネットワーク機器にIPアドレスなどを自動で配る役割です。領域（ゾーン）を表す言葉ではありません。問題の条件に合いません。
• イ: DMZ（Demilitarized Zone：外部と内部の中間に置く公開サーバ領域） ← 正解
  • 外部からのアクセスを受けるが、内部ネットワークへの直接アクセスを制限するために使います。
• ウ: DNS（Domain Name System：ドメイン名とIPアドレスを対応づける仕組み）
  • DNSは名前解決のサービスです。領域やアクセス制御を示すものではないため不適切です。DNSサーバをDMZに置くことはありますが、「DNSそのものがイントラネットへのアクセスを禁止する領域」という解釈は誤りです。
• エ: DoS（Denial of Service：サービス妨害攻撃）
  • DoSは攻撃の種類です。領域の名称ではありません。問題の文章と合いません。

よくある誤解

1. 「DMZは完全に隔離されたネットワーク」だと思う誤解
   • 誤りです。DMZは外部と内部の間の「公開用の領域」で、外部からは見えるが内部へのアクセスは制限するように設計します。完全に孤立しているわけではなく、必要最低限の通信だけを許可します。
2. 「DMZは物理的に別の建物にある」や「必ず専用のハードウェアが必要」だと思う誤解
   • 実際は物理的な分離でも、論理的なVLAN（仮想ネットワーク）で実現することもあります。専用サーバやファイアウォールの設定で構築できます。

補足コラム

• ファイアウォール（Firewall：ネットワークの出入口で通信を制御する機器・仕組み）は、ゾーン（公開側、中間、内部）ごとに異なるルールを設定します。典型的には次のような構成です：
  • インターネット ←（制限あり）→ DMZ ←（より厳格な制限）→ イントラネット
• DMZに置く典型的なサービス：Webサーバ、メールサーバ、DNSキャッシュサーバ、VPNゲートウェイなど。内部にある重要なデータベースは原則DMZに置きません。DMZ上のサーバが侵害されても内部へ波及しにくくするためです。
• 簡単な図（イメージ）：
  • インターネット ⇄ [ファイアウォール] ⇄ DMZ ⇄ [ファイアウォール（別のルール）] ⇄ イントラネット

FAQ