• 締切済み

ISAServerでDMZの設定方法を教えてください

MS(マイクロソフト)の製品で、ISAserverというファイアーウォール製品があるのですが、そこでDMZを作成する方法がわかりません。 もしご存知の方がありましたら、回答おねがいします。 ちなみにISAServerで行おうとしていることは、DMZ内に社内向けと社外向けの2つのWebサーバをおいて、外部ネットワークから、社外向けのWebのページのみを表示させようとしています。 どうかよろしくお願いします。

みんなの回答

回答No.1

ISAサーバでDMZを作るには2台のISAサーバでDMZ領域をはさむ必要があります。通常外向けのWebサーバはDMZに置き、社内向けのWebサーバーはイントラネット内に置きます。 インターネット------ISA-------ISA-----社内LAN                 |        |                外Web     内Web 質問は、もっと設定に関するところでしょうか?

ikyoko
質問者

お礼

ありがとうございます。 現在DMZを作り、そこにISAサーバをおいていて、外部ネットワークから Webサイトを公開するようにしていたのですが、どうも、ISAサーバにWin2000 サーバを使用していたことから、ポートの設定がうまく出来ていなかったようです。 ご回答いただき、どうもありがとうございました!!

関連するQ&A

  • DMZサーバーは通常は物理サーバーなのでしょうか

    ある業務用の社内サーバーがあり、社内からはWebブラウザで httpでアクセスできています。 このWebサーバーを社外からスマホやWEBブラウザでアクセス するためには、セキュリティーのために外部アクセス用の DMZサーバーとFirewallを用意する必要がある、と言われたの ですが、このような用途のDMZサーバーは、一般的にどのように 準備をするものでしょうか。 1)物理サーバーとして社内に立てる 2)仮想サーバーとして社内に立てる 3)ルーターを追加してDMZの機能を有効にする 4)AWSを使って外部に立てる また、上記のどれでも可能な場合、一番メンテナンスに手間が かからず費用も最小限なのはどのケースでしょうか。

  • ネットワーク内のDMZとは

    非武装地帯を意味して外部からアクセスを受け付ける場所、 と書いてあるのですが、それはつまり外部に漏れても良い情報だけ格納されている webサーバと思って良いでしょうか? ファイアーウォールで守られた先にあるサーバは外部からはアクセスできない、アクセス不可能なのでしょうか。 DMZからさらに内側のネットワークへ、ということはできますか?

  • DMZについての質問

    いつもお世話になってます、Chickenです。 現在Firewallについて勉強しているのですが、 「DMZ(非武装地帯」という概念が今ひとつ理解 できません。 元々Firewallの外にいたサーバに専用の場所 (セグメント)を設け内部ネットワークに入れる 事のどの辺りが「非武装」なのでしょうか? またDMZの目的が今ひとつつかめません。 クライアントのセキュリティを保持しつつ、 「外部からのサーバに対するある程度のアクセスを 認めるもの」と理解しているのですが違いますで しょうか? どなたかお知恵を拝借ください。

  • DMZと社内LANは違うWindowsドメインにすべき?

    Windows NT4.0が出た頃に構築された社内LAN&インターネットサーバ環境を、今頃ようやくWindows Server 2003 R2 & Windows 2000 Serverで構築されたネットワークにアップグレードしようとしています。 現在の状態は(ネットワークを構築した当時のセキュリティの観点からなのか)インターネットサーバが置いてあるDMZと、社内LANがわざわざ別のNTドメインになっています。 今回、Active Directoryで構築し直すに当たって、やはり同じようにドメインを分ける必要があるのかどうか判らず、教えていただければと思い投稿しました。 現在は、社内LAN、mailサーバ、wwwサーバ、DBサーバ全てがWindowsNT4.0になっています。 mailサーバとwwwサーバにはそれぞれ社内LANのサブネットと同じプライベートアドレスが振ってあり、Firewallでグローバルアドレスに変換して外部からアクセスできるようになっています。これをDMZと呼んで良いのかどうか判らないのですが一応DMZと呼んでいます。 社内LANのNTドメイン(DOMAIN-Aとします)と、このDMZにあるmailサーバ、wwwサーバ、そして社内LANにあるDBサーバから構成されたNTドメイン(DOMAIN-Bとします)という二つのNTドメインが存在しています。 そして、OSが古かったからかもしれないのですが、DMZのNTドメインには以前外部から侵入された形跡があり、知らないユーザーアカウントが登録されたことがありました。そんなこともあったので、外部からアクセスできる領域は別のドメインにしておいた方がより安全なのかも、と思ったりしています。 しかし一方で「今はそんな面倒な組み方してる所はないよ」という話かもしれず、現在の主流な組み方が判らないので教えていただけないでしょうか。 よろしくお願い致します。

  • DMZの構築方法、DMZとLANの関係について

    Bフレッツの固定IP8個割り当ての契約をしています。 ブロードバンドルータ(Allied Tlesis AR450S)を使い、DMZ環境を構築したいのですが、うまく行かず困っています。 目的は、全てのサーバをLAN上で運用している現状に対し、(1)WebサーバをDMZに配置し、インターネットからの問い合わせに対し、LAN内に配置した(2)DBサーバから結果を返すというものです。 また、LAN内には(3)FTPサーバを残し、これまで同様に外部からアクセスできるようにします。 (サーバをLAN内に置くのが良いかどうか、セキュリティ上正しい選択なのか分かりません・・・) (質問その1) DMZに配置するサーバは、グローバルIPアドレスを直接割り当てて運用するものだと思っていたのですが、配置するにはプライベートIPアドレスも必要なのでしょうか? (質問その2) DMZに配置したサーバとLAN内に配置されたPCとでは、通常のネットワーク接続(LAN上にあるPC同士がフォルダを共有するようなこと)が可能なのでしょうか?また可能であればどのような方法があるでしょうか? (質問その3) 廉価なブロードバンドルータが1台余っており、ルータを2台使って、中間層をDMZとする方法もあると聞きました。具体的にはどうすればよいのでしょうか? (質問その4) グローバルIPアドレスのうち、2つをDMZ用に、残りをLAN内のPCの外部アクセス用に、・・・などというような使い分けはできるのでしょうか? 上記AR450Sのマニュアルの設定例では全てのアドレスをDMZ化し、その1つを外に出るために共有する方法が載っていました。 なにぶん、独学でネットワークを勉強しているので、聞ける人が周りにいません・・・。 ネットワークに明るい方がいらっしゃいましたら、部分的にでも結構です。ご教授願います。 具体的な例を入れて頂けると助かります。 よろしくお願いします。

  • DMZ上のプロキシサーバの名前解決先

    ひとつ知恵を貸してください。現在ネットワーク構築構想として、社内からインターネットへのHTTPアクセスは、DMZ上のプロキシサーバを仲介して行おうと考えています。またDNSサーバはキャッシュサーバを社内ネットワークに、コンテンツサーバをDMZに置こうと考えています。セキュリティ的に「キャシュサーバはDMZに置かない」という考えです。 ここで疑問なのですが、DMZ上のプロキシサーバがインターネットにアクセスする場合、当然名前解決が必要ですが、「この名前解決をどこに投げるか」ということなのです。DMZ上にDNSキャッシュサーバを置かないということは、社内ネットワーク上のキャッシュサーバに名前解決を投げるしかないと思うのですが、それがこの環境での最適解なのでしょうか。どうも「DMZ⇒社内ネットワーク」に穴をあけるというのが、気持ち悪い気がするのですが。。。いろいろとネットでプロキシサーバの名前解決について事例を漁ってみたのですが、明解な結果が得られなくて困っています。 それとも「DMZにはDNSキャッシュサーバを置かない」というポリシーと、「HTTPアクセスはDMZのProxyを通して行う」というポリシーは相容れないのでしょうか? もし事例などをご存知の方がいましたら、ぜひ考えを聞かせていただきたく、質問させていただきました。よろしくおねがいいたします。

  • DMZの構成(Netscreen-25)

    こんにちは。Netscreen(25)の構成の仕方について質問があります。 現在、外部に公開しているサーバーがあり(メール、Proxy、Web)、それぞれNIC2枚挿しでglobal/privateそれぞれのIPを一つずつ割り当ててあります。 これらのサーバーのPrivateアドレスと同じサブネットでバックオフィスのPCが繋がっています。 現在Firewall(NetScreen)の新規導入を考えておりますが、DMZ構成の仕方について一つ質問があります。 現在の構成は、 [modem] | | [Switch]---------[Switch]---(backoffice) | | | | | | A B C ←サーバー 考えている構成は以下のようなものです。 [modem] | | |Untrusted [Netscreen-25]---------[Switch]---(backoffice) |DMZ Trusted | | [Switch] | | | | | | A B C 現在はGlobal IP(外部からのアクセス)、Private IP(内部からのアクセス)がサーバーに共存しているのですが、上のような構成の場合、DMZに割り当てるアドレスについて、どのような割り当て方が適当なのでしょうか。 各サーバーのアドレスをPrivateアドレスのみにし、Firewall上で、現在使用しているの各サーバーへのGlobalアドレスへの要求が来たときに、それを対応するサーバーのPrivateアドレスにMapするということは、実際にGlobalアドレスをサーバーに割り当てないでも可能なのでしょうか?

  • ルーターのDMZ機能について教えてください。

    WEBサーバーを自宅で立てようと考えていますが、 DDNS機能付きのルーターを購入予定です。 ところが、DMZ機能というのもあるみたいで、調べたら 内部ネットワークを不正アクセスから守るための 非武装地帯とか何とか・・・ ポートフォワーディング機能とどう違うのか今一つ 良く分かりません。 WEBサーバーをDMZ区域に立てると良いそうなん ですが、その場合、ftpによるWEBサーバーへの ファイル転送は、内部ネットワークから可能 なんでしょうか? 又、自宅でサーバーを立てていらっしゃる方、是非、 ネットワーク構成なんかを教えていただけると幸甚です。 参考になるURLなんかも教えていただけると、 なお、有りがたいんですが・・・。 以上、何卒、アドバイスの程お願い申し上げます。

  • DMZ(非武装地帯)のことで

    企業などのネットワークで、セキュリティ対策のために "DMZ(非武装地帯)" というのが設けられることが多いようですが、 この用語の関係でおたずねします。 ---- DMZ については、用語辞典などから、 『インターネット側からの不正な攻撃から守るため、 ファイアウォールの内側に設けたセグメントで、 そこには公開サーバが置かれており、 それらは「内部ネットワーク」とは別になっていて、・・・』 というようなことは、それなりに分かったんですが、 ◎「ファイアウォールの内側のセグメント」ということなら 一応は"武装"されているんじゃないんだろうか、 どうして非武装(DeMilitarized)と呼ばれるんだろうか、 と思ったりもするんですが、 この辺はどのように理解しておけばいいんでしょうか? ◎「内部ネットワーク」とは別に、という点ですが、 どういう方法を使って別にしているんでしょうか? で、それにより、 「内部ネットワーク」の方ではより高度のセキュリティが、 というようなことでしょうか? --

  • DMZのwebサーバがLANから閲覧できない

    DMZにサーバをのせようとしていますが、 うまくいきません。 どなたかアドバイスをお願いいたします。 [現象] DMZにwebサーバをのせました。 外部からはテストページの表示ができるのですが、 社内LANからテストページの表示ができません。 [環境] サーバOS :centos5.2 /etc/sysconfig/network-scripting/ifcfg-eth0 には、 gatewayの設定はしていますせん。 (ネットワーク管理者に不要だといわれたため) サーバは、 ファイアウォール・VPN・リモートアクセスなど ゲートウェイ機能搭載の中小規模オフィス向けネットワークサーバーを経由して、 外部、LANそれぞれと通信します。 [確認した事項] 下記の内容を、サーバのファイアウォールをはずして検証してみました。 ネットワークサーバのログは見られません。 (1)外部からアクセスしたとき ・pingは通る ・webテストページの表示ができる ・ネットワークサーバーのログは正常に通信していると残っている。 (ヘルプデスクに確認) (2)社内LANからアクセスしたとき ・pingが通らない ・webテストページの表示ができない ・ネットワークサーバーのログによると、DMZのサーバへ要求は投げているが、 DMZのサーバからの戻りはない。 (ヘルプデスクに確認) サーバのログは以下のとおりです。 ・正常なやりとりのログ [root@iserver ~]# tcpdump tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 21:31:46.754868 IP (外部サーバのIP) > (問題のサーバのIP): ICMP echo request, id 57592, seq 0, length 64 21:32:26.871001 IP (問題のサーバのIP) > (外部サーバのIP): ICMP echo reply, id 57592, seq 0, length 64 21:31:46.870377 IP (問題のサーバのドメイン名).44291 > (LAN内のDNSのIP).domain: 41736+ PTR? (問題のサーバのIPを逆から表示したもの).in-addr.arpa. (45) 21:31:47.765841 IP (外部サーバのIP) > (問題のサーバのIP): ICMP echo request, id 48562, seq 1, length 64 21:31:47.765858 IP (問題のサーバのIP) > (外部サーバのIP): ICMP echo reply, id 48562, seq 1, length 64 21:31:48.775690 IP (外部サーバのIP) > (問題のサーバのIP): ICMP echo request, id 52530, seq 2, length 64 21:31:48.775707 IP (問題のサーバのIP) > (外部サーバのIP): ICMP echo reply, id 52530, seq 2, length 64 21:31:49.786146 IP (外部サーバのIP) > (問題のサーバのIP): ICMP echo request, id 15423, seq 3, length 64 21:31:49.786161 IP (問題のサーバのIP) > (外部サーバのIP): ICMP echo reply, id 15423, seq 3, length 64 21:31:50.796110 IP (外部サーバのIP) > (問題のサーバのIP): ICMP echo request, id 15768, seq 4, length 64 21:31:50.796124 IP (問題のサーバのIP) > (外部サーバのIP): ICMP echo reply, id 15768, seq 4, length 64 ・LANからの異常なやりとりのログ 21:35:04.456219 arp who-has (問題のサーバのIP) tell (社内のIPと思われるもの-2) 21:35:04.456241 arp reply (問題のサーバのIP) is-at (MACアドレス2)(oui Unknown) 21:35:04.456374 IP (問題のサーバのドメイン名).48609 > (LAN内のDNSのIP).domain: 42979+ PTR? (社内のIPと思われるもの-2を逆から表示したもの).in-addr.arpa. (45) 21:35:04.456493 IP (PINGを実行したLAN内マシンのIP) > (問題のサーバのIP): ICMP echo request, id 512, seq 513, length 40 21:35:04.456787 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP) 21:35:05.456851 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP) 21:35:06.456914 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP) 21:35:09.453100 arp who-has (LAN内のDNSのIP) tell (問題のサーバのドメイン名) 21:35:09.453151 IP (問題のサーバのドメイン名).45524 > (DNSのIP).domain: 42979+ PTR? (社内のIPと思われるもの-2を逆から表示したもの).in-addr.arpa. (45) 21:35:09.453401 arp reply (LAN内のDNSのIP) is-at (MACアドレス) (oui Unknown) 21:35:09.961830 IP (PINGを実行したLAN内マシンのIP) > (問題のサーバのIP): ICMP echo request, id 512, seq 769, length 40 21:35:09.965131 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP) 21:35:10.965194 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP) 21:35:11.965256 arp who-has (PINGを実行したLAN内マシンのIP) tell (問題のサーバのIP)