解説

DMZ上の公開Webサーバから内部DBサーバへの通信に関するファイアウォール設定【午前2 解説】

要点まとめ

• 結論：DBサーバの受信ポートを固定し、Webサーバからそのポートへの通信のみを許可する設定が最も有効です。
• 根拠：通信の発信元と宛先ポートを限定することで、不正アクセスのリスクを大幅に減らせます。
• 差がつくポイント：単に通信を許可するだけでなく、ポート番号を固定し、通信の方向性を明確に制御することが重要です。

正解の理由

よくある誤解

• 「DMZからDBサーバへの通信をすべて許可すれば安全」と考えがちですが、通信元やポートを限定しないと不正アクセスのリスクが高まります。
• 発信ポートを任意にしたり、終了した通信のポートを拒否する設定は、通信の正当性判断として不十分です。

解法ステップ

1. ネットワーク構成図から、DMZのWebサーバと内部ネットワークのDBサーバの位置関係を把握する。
2. DBサーバへの通信は内部ネットワークの重要資産へのアクセスであるため、厳密な制御が必要と理解する。
3. ファイアウォール設定で通信を許可する際、通信の発信元（Webサーバ）と宛先（DBサーバの特定ポート）を限定することが望ましいと判断する。
4. 選択肢の中で、DBサーバの受信ポートを固定し、Webサーバからの通信のみを許可する設定が最も安全であると結論づける。

選択肢別の誤答解説

• ア: 正解。受信ポートを固定し、Webサーバからの通信のみ許可するため最も安全。
• イ: DMZからDBサーバへの通信をすべて許可する設定は、通信元の限定がなく不正アクセスのリスクが高い。
• ウ: 発信ポートを任意にし、終了した通信と同じ発信ポートを拒否する設定は通信管理として不十分であり、セキュリティ強化にならない。
• エ: Webサーバの発信ポートを固定し、その通信だけを許可する設定は一部有効だが、DBサーバの受信ポートを限定しないためリスクが残る。

補足コラム

FAQ