DMZ(非武装地帯).

DMZ は 2 台のファイアウォール(または多脚構成のファイアウォール)に挟まれた境界サブネットで、インターネットから到達可能である必要があるシステム(Web サーバー、メールリレー、リバースプロキシ、VPN 集約装置など)を配置します。外側のファイアウォールは定義された受信トラフィックを DMZ に通し、内側のファイアウォールは DMZ から内部ネットワークへの通信を厳しく制限し、理想的には特定アプリプロトコルから特定ホストへのみ許可します。これにより万一 DMZ のホストが乗っ取られても、内部データへ到達するには強固なポリシー境界を超える必要があり、侵害の影響範囲を抑えられます。現代の設計ではゼロトラスト制御・WAF・マイクロセグメンテーションを重ねて境界をさらに強化します。