【第２回】ネットワークのバックドアを見抜く！構成図で押さえる３つの質問とコツ

[@noriakijohotsushin]

VPNの数あるリスクもどこから手を打って行けば良いのかが明解でありがたいです。久しぶりに背後に鹿が写っていて癒されました。

[@connectone509]

鹿さんが現れるのは偶然の産物です。私も鹿さんが映り込んでいるとやはり嬉しいです。

[@hoo_hoo68]

もう１つ質問させて下さい。
社内ネットワーク１はMZに配置され、SSIDとPWを教えて誰でもPCからインターネットへ
アクセス可能な利用用途です。PCはMZに配置しているDHCPサーバにアクセスしてIPアドレスと
取得してインターネットにアクセスします。
社内ネットワーク２はMZに配置され、それに接続されているPCは管理されて、セキュリティパッチ
等も最新化しています。しかしなから、社内ネットワーク１と同じDHCPサーバにアクセスして
IPアドレス取得してインターネットにアクセスします。
この場合、社内ネットワーク１をDMZに配置しなおしたり、DHCPサーバは分離して
社内ネットワーク１はDMZ、社内ネットワーク２はMZに設計しなおした方が良いでしょうか？

[@connectone509]

セキュリティの観点からは、MZ１のPCも、MZ2と同様セキュリティパッチなどの更新は必要と思います。
MZ1をDMZにするのであれば、MZ1の端末が外部からのリクエスト通信を受けるかどうかで決まります。ただご質問の文章からはMZ1内の端末は、PCのようですので、一般的には社外のインターネットからの通信リクエスト（インバウンド）で社内のPCに接続することはありませんから、その場合はDMZ化は不要であると思います。

[@hoo_hoo68]

@@connectone509
MZ1の端末が外部からのリクエスト通信を受けるかどうかということですね。
なるほど。
本当に助かりました。
ありがとうございます。
RUclips動画を楽しみにしております。

[@hoo_hoo68]

社内ネットワーク(以降、MZと記す)のPCからL3SW→FWを経緯して、インターネットのサイトを検索している場合
FWにてNAPTを使えば良いのか？
行きは良いかと思うのですか、帰りでNAPTとは言え、インターネット→FW→MZなので良いのか？
例えば、DMZにプロキシを置いて、そこで一旦、インターネットから直接アクセスはMZに来ないので
どのように構築すればよいのでしょうか？

[@connectone509]

社内から外のインターネットを閲覧する場合の通信は「アウトバウンド」となります。
まず通信のリクエストが「内→外」となり、そのレスポンスが「外→内」です。最初のリクエストが外向きなのでアウトバウンドです。レスポンスはちゃんと外→内で返ってきます。
一方NATとかNAPTは、FWのインバウンドの設定です。
外部のサーバから、社内のサーバ等に最初の「通信リクエスト」が「外→内」というインバウンドの時に必要となります。
ご質問の通信は、最初の通信リクエストが内側から外側のアウトバウンドですので、NATもNAPTも不要です。
通信の最初のトリガーであるリクエストが、外向き（アウトバウンド）なのか、内向き（インバウンド）かが重要で、通信のハンドシェイクが成立したあとのレスポンスは、どちらでも問題はないのです。

[@hoo_hoo68]

@@connectone509
NATとかNAPTは、FWのインバウンドの設定なんですね。
通信の最初のトリガーであるリクエストが、外向き（アウトバウンド）なのか、内向き（インバウンド）かが重要で、
通信のハンドシェイクが成立したあとのレスポンスは、外向き（アウトバウンド）でも内向き（インバウンド）でも
問題はないということですね。
丁寧な回答、ありがとうございます。