ＤＭＺにＷＥＢサーバを設置し、インターネットから接続させる場合のセキュリティ設定について

質問

【環境】
サーバＡ：1.1.1.1（グローバル）192.168.1.1（プライベート）
Ｆ／Ｗ　：1.1.1.2（グローバル）192.168.1.254（プライベート）

インターネット
　｜
　｜
　｜
FW(ルータ)―――DMZ(ＷＥＢサーバを設置)
　｜
　｜　
　｜
内部ネットワーク

【質問】
自分なりにいろいろ調べましたが、上記のようなNAT環境では以下のような点でセキュリティ上優れていると認識しました。、
「インターネット上のパソコンとＷＥＢサーバが通信するとき、パケットの送信元／先は、ＦＷになり、
Ｗｅｂサーバの存在は、通信相手から完全に隠されることになる。
外部から存在が隠される、つまり外部からはアクセスできないため、内部のホストのセキュリティが高まる」

ただ今ひとつ理解できないので、上記のような環境で何故ＮＡＴを使うとセキュリティレベルが向上するか
初心者レベルで教えていただけると助かります。

●主にわからないこと
・そもそも存在を隠すという意味合いが理解できません。
　隠さなかったら、どうなるのかというのもわかりません。
また、隠すとは、グローバルＩＰアドレスを隠すということだと思うのですが、
　Ping（例えば、ping　www.yahoo.co.jp）など返ってくるアドレスは、
　そのサーバのグローバルＩＰアドレスではないのでしょうか

・「外部からはアクセスできない」となっていますが、ＷＥＢ公開している以上
　なにかしらの方法でアクセスはできそうですが、どういう点で優れているのでしょうか？

理解不足のため、質問も良くわからないと思いますが、よろしくご指導ください。

回答No.3

bship

元記事なのか解釈なのか判りませんが、誤りがあるようです。疑問はもっともで、「隠す」と「公開」が矛盾してます。
NAT機能は、IPヘッダの宛先あるいは送信元アドレスを変換にあります。サーバの実アドレスでないアドレスを宛先としてサーバに届くことになります。
ですからサーバの実アドレスは確かに隠せますが、結局公開アドレスでアクセスできるのでサーバの存在は隠せません。隠したら公開でなくなっちゃう。
ただNATはフィルタリングを実現させるのと同時に行われることが多い、つまり特定のポートだけNATしてフォワードするのが普通なので、サーバを直接野ざらしにするのと異なります。よってNATの機能とは直結しませんが、結果としてアクセスの制限がかかっているのが普通です。おそらくそれをNATとごっちゃにして「隠す」といっているのだと想像します。
尚、#2で指定されているようにセキュリティホールに起因する脆弱性をNATすることで回避するということはできません。全く別の話です。外からアクセスが可能である以上、セキュリティのリスクはあります。外からアクセスできなくしたらそれはもはや公開サーバではありません。

通常は、マシンのアドレスはプライベートにしておいて、ルータ等でグローバルに変換します。この話とサーバ隠蔽等セキュリティの話は全く別です。
尚、逆の方向、つまり内から外へのアクセスにおいてはNAPTによってダイナミックにNATすることにより、結果として内部ホストの隠蔽は可能です。この場合、公開はできません。

補足

honjiyonさん、bshipさん、ご回答ありがとうございます。
非常に詳しくかつわかりやすい説明に感謝しています。

非常に勉強になるので、もう少し確認させてください。

１．Ｗｅｂサーバをaaa.aaa.xxx.jpで公開したとした場合
　　ＤＮＳのレコードには、
　　aaa.aaa.xxx.jp　⇔　1.1.1.1（サーバのアドレス）ではなく、
　　aaa.aaa.xxx.jp　⇔　1.1.1.2（ルータのアドレス）が割り当てられているということでしょうか？
その場合、ＤＭＺにサーバが複数ある場合、要求されているアドレスがその中のどれに当たるのか（192.168.1.1なのか192.168.1.2なのか）は何でわかるのでしょうか？

２．今回の場合、サーバのＩＰアドレスは、192.168.1.1を設定し、ルータ側に
　　192.168.1.1　⇔　1.1.1.1　のＮＡＴテーブルを持たせ、変換させるということでしょうか？（サーバにはグローバルＩＰアドレスは設定しない？）

何度も申し訳ないですが、よろしくお願いします。