とても良い質問です。
「外部からアクセスできないDMZ」というのは一見矛盾しているように見えますが、
実際には設計の考え方次第で実現可能であり、セキュリティ上の意味もあります。
以下で、普通のDMZとの違いや安全性について、ネットワーク構成の観点から詳しく説明します。
1. DMZとはそもそも何か
DMZ（Demilitarized Zone：非武装地帯）とは、
外部ネットワーク（インターネット）と内部ネットワーク（社内LANなど）の中間に置く「隔離ゾーン」
です。
通常、Webサーバやメールサーバなど、外部からアクセスされる必要のある公開サーバを配置します。
一般的な構成例
[Internet] | (FW1) | [ DMZ ] ← Web, Mail, DNS 等 | (FW2) | [Internal LAN]
→ 外部から内部LANへ直接入れない構造です。
2. 「外部からアクセスできないDMZ」とは？
通常のDMZは「外部からアクセスされる」ためのゾーンです。
しかし、「外部からアクセスできないDMZ」という設計も可能です。
これは厳密には次のようなケースを指します：
(1) 内部LANと外部ネットワークを“物理的に分離”する中間層
外部からは直接アクセスできないが、
内部LANからは外部サービスとの中継に使うゾーン（例：プロキシ、アップデートサーバなど）です。
[Internet] | (FW1) | [ 外部NW ] | (FW2) | [ DMZ ] ← プロキシ・キャッシュ・アップデート中継 | (FW3) | [Internal LAN]
→ 外部からは「到達不可能」だが、DMZ内のサーバが外部に**発信（アウトバウンド）**できる構造です。
これはしばしば「内部向けDMZ（Internal DMZ）」または「非公開DMZ」と呼ばれます。
3. このようなDMZが使われるケース
代表的な用途は以下のとおりです。
| 用途 | 説明 |
|---|
| プロキシサーバ | 社内PCが外部サイトに接続する際の中継 |
| キャッシュサーバ | 外部データ（OSアップデート等）を中継・保存 |
| メール中継サーバ | 外部と内部メールを橋渡しする中継専用ノード |
| セキュリティゲートウェイ | 監査・IDS/IPS などで通信監視を行うゾーン |
→ 「外部からアクセスできない」＝「内部からのみ経由して利用する」DMZです。
4. 安全性の比較
| 比較対象 | 外部からの攻撃面 | 内部からの攻撃面 | セキュリティ運用負荷 | 可用性 |
|---|
| 通常DMZ（外部） | 高い（常に攻撃対象） | 中程度 | 高い(常時監視・更新必要） | 高い（公開サーバが必要） |
| 内部DMZ（外部非公開） | 低い（直接アクセス不可） | 低〜中(内部不正対策） | 中程度 | 中〜高（安定性重視） |
| 内部LAN（直接） | 低い（外部到達不可） | 高い（マルウェア感染） | 低い | 高い（閉域内） |
つまり：
5. 注意点：安全性＝ゼロリスクではない
たとえ外部からアクセスできなくても、以下のリスクがあります。
DMZ内のサーバが外部通信（HTTPなど）を発信 → 侵入後に悪用される可能性
管理者用のSSH接続などが開いていると、内部からの侵入経路になる
ファイアウォール設定ミスにより双方向通信が許可される
したがって、DMZは「外部からアクセスできない」＝「安全」ではなく、通信方向の制御と監査が必須です。
6. まとめ
| 項目 | 通常DMZ | 外部非公開DMZ |
|---|
| 主な目的 | 外部公開サービスの提供 | 内部システムの分離・中継・監査 |
| 外部からのアクセス | 可能（限定的に） | 不可能 |
| 通信方向 | 双方向（制御付き） | 内部→外部のみ |
| 安全性 | 中〜高 | 高い（ただし設定依存） |
| 利用例 | Web, Mail, DNS | Proxy, Update Cache, Security Gateway |
結論：
外部からアクセスできないDMZ（内部DMZ）は実現可能であり、
通常の公開DMZよりも外部攻撃面での安全性は高い。
ただし、内部通信やファイアウォールの設計を誤ると安全性は損なわれるため、
「通信方向の制御」と「ログ監査」が鍵になります。
この記事へのコメント