ファイアウォールの実装方式とDMZとは？
ファイアウォールの実装方式とDMZとは、パケットフィルタリング型は IP アドレス・ポート番号・フラグで静的に許可／拒否し、ステートフルインスペクション型はコネクションの状態表を持って「内部から出た通信の戻り」だけを通す。アプリケーションゲートウェイ型は上位層の内容まで検査する。DMZ は公開サーバを内外どちらからも隔離して置く区画。
応用情報技術者試験の過去問では8回出題されています（2016年度〜2024年度）。
ふぁいあうぉーるのじっそうほうしきとでぃーえむぜっと
ファイアウォールの実装方式とDMZの意味
パケットフィルタリング型は IP アドレス・ポート番号・フラグで静的に許可／拒否し、ステートフルインスペクション型はコネクションの状態表を持って「内部から出た通信の戻り」だけを通す。アプリケーションゲートウェイ型は上位層の内容まで検査する。DMZ は公開サーバを内外どちらからも隔離して置く区画。
ファイアウォールの実装方式とDMZの具体例
公開 Web サーバを DMZ に置き、インターネット→DMZ は 443 のみ許可、DMZ→内部 DB は特定ポートのみ許可、内部→DMZ は管理用に限定する。こうすれば Web サーバが侵害されても、内部 LAN へ直接広がる経路がない。
ファイアウォールの実装方式とDMZは試験でどう引っ掛けられる？
ステートフルインスペクションでも、許可したポート上を流れる攻撃（SQL インジェクション等）は止められない。それはアプリケーション層の検査（WAF）の役目。また DMZ の目的は「公開サーバを守る」ことより「侵害された公開サーバから内部を守る」ことにある。
ファイアウォールの実装方式とDMZと関連する用語
ファイアウォールの実装方式とDMZが出た過去問
企業のDMZ上で1台のDNSサーバを，インターネット公開用と，社内のPC，サーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが，DN…
正解：社内の利用者が，インターネット上の特定のWebサーバを参照しようとすると，本来とは異なるWebサーバに誘導される。
要点：キャッシュポイズニングは偽のアドレスで別サーバへ誘導する
DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽の名前解決情報を仕込む攻撃である。汚染されたサーバに問い合わせた利用者は、正規のドメイン名を入力しても攻撃者が用意した別のサーバへ誘導されてしまう。
出典：平成28年度 春期 応用情報技術者試験 午前 問36（IPA）インターネットに接続された利用者のPCから，DMZ上の公開Webサイトにアクセスし，利用者の個人情報を入力すると，その個人情報が内部ネットワークのデータベース（…
正解：PCとWebサーバ間の通信データを暗号化するとともに，利用者を認証することができるようになる。
要点：クライアント証明書付きTLSは通信路の暗号化と利用者認証を担う。
TLSはPCと通信相手であるWebサーバとの間の通信を暗号化するもので、その先のDBサーバとの区間までは保護されない。ここで利用者個人のディジタル証明書（クライアント証明書）を使うと、サーバ側が証明書によって接続してきた利用者本人を確認できる。したがってPC−Webサーバ間の暗号化と、利用者の認証が同時に得られる。
出典：平成30年度 秋期 応用情報技術者試験 午前 問40（IPA）企業のDMZ上で1台のDNSサーバを、インターネット公開用と、社内のPC及びサーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが、D…
正解：社内の利用者が、インターネット上の特定のWebサーバにアクセスしようとすると、本来とは異なるWebサーバに誘導される。
要点：DNSキャッシュポイズニングは偽の名前解決で別サイトへ誘導
DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽のドメイン名とIPアドレスの対応を覚え込ませる攻撃である。汚染されたキャッシュを参照した利用者は、正規のサイト名を入力しても攻撃者が用意した別のサーバへ誘導され、フィッシングやマルウェア感染の被害につながる。
出典：平成30年度 春期 応用情報技術者試験 午前 問36（IPA）内部ネットワークのPCからインターネット上のWebサイトを参照するときにDMZ上に用意したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データを処理してVDIサーバで生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面情報だけを転送しマルウェアを端末に届けない
VDIでは、Webブラウザの実行そのものをDMZ上のサーバ側で行い、PCへは描画結果である画面イメージだけを転送する。ダウンロードされたファイルや実行されたコードはサーバ側にとどまるため、未知のマルウェアであってもPC本体には届かない。これがWeb分離（インターネット分離）による感染防止の効果である。
出典：平成30年度 春期 応用情報技術者試験 午前 問41（IPA）内部ネットワークのPCからインターネット上のWebサイトを参照するときに、DMZに設置したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データは、受信処理ののち生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面の画像だけを転送し、危険な実行環境をPCから分離する
VDIでは、Webブラウザの実行そのものをDMZ上の仮想デスクトップ内で完結させ、PCへは描画されたデスクトップ画面の画像だけを転送します。ファイルやプログラムの実体はPC側に一切届かないため、未知のマルウェアであっても検知の成否に関係なく感染を防げます。パターン検知に頼らない「分離」による対策である点が要点です。
出典：令和1年度 秋期 応用情報技術者試験 午前 問41（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。