DMZ上のプロキシサーバの名前解決先

質問

ひとつ知恵を貸してください。現在ネットワーク構築構想として、社内からインターネットへのHTTPアクセスは、DMZ上のプロキシサーバを仲介して行おうと考えています。またDNSサーバはキャッシュサーバを社内ネットワークに、コンテンツサーバをDMZに置こうと考えています。セキュリティ的に「キャシュサーバはDMZに置かない」という考えです。

ここで疑問なのですが、DMZ上のプロキシサーバがインターネットにアクセスする場合、当然名前解決が必要ですが、「この名前解決をどこに投げるか」ということなのです。DMZ上にDNSキャッシュサーバを置かないということは、社内ネットワーク上のキャッシュサーバに名前解決を投げるしかないと思うのですが、それがこの環境での最適解なのでしょうか。どうも「DMZ⇒社内ネットワーク」に穴をあけるというのが、気持ち悪い気がするのですが。。。いろいろとネットでプロキシサーバの名前解決について事例を漁ってみたのですが、明解な結果が得られなくて困っています。

それとも「DMZにはDNSキャッシュサーバを置かない」というポリシーと、「HTTPアクセスはDMZのProxyを通して行う」というポリシーは相容れないのでしょうか？

もし事例などをご存知の方がいましたら、ぜひ考えを聞かせていただきたく、質問させていただきました。よろしくおねがいいたします。

回答No.1

maesen

＞社内ネットワーク上のキャッシュサーバに名前解決を投げるしかないと思うのですが、それがこの環境での最適解なのでしょうか。どうも「DMZ⇒社内ネットワーク」に穴をあけるというのが、気持ち悪い気がするのですが。。。

これは一般的にはやらないと思います。

＞それとも「DMZにはDNSキャッシュサーバを置かない」というポリシーと、「HTTPアクセスはDMZのProxyを通して行う」というポリシーは相容れないのでしょうか？

「プロキシサーバの名前解決は必ずDNSキャッシュサーバに問い合わせる」という要件が無いのであれば、相反することでは無いと思います。

質問者さんの要件を満たす構成は、
「プロキシサーバは、プロバイダDNSサーバ又は自社の外向けDNSサーバで名前解決を行う」
ということになるように思います。

＞セキュリティ的に「キャシュサーバはDMZに置かない」という考えです。

この理由は何でしょうか？
ファイアウォールやDNSキャッシュサーバ自体の武装化を適切に行えば、社内に置くのとセキュリティは変わらないと思います。

あと、「DMZにはDNSキャッシュサーバを置かない」には反することになりますが、プロキシサーバ自体にDNSキャッシュを持たせるのも一つの方法だと思います。
キャッシュにヒットする場合はプロキシサーバ外に通信が出ないというメリットがあります。

補足

お返事が遅くなりましてすいません。丁寧なご回答ありがとうございます。

> これは一般的にはやらないと思います。

やはりそうですよね。ちょっと違和感があります。

> 質問者さんの要件を満たす構成は、
> 「プロキシサーバは、プロバイダDNSサーバ又は自社の外向けDNSサーバで名前解決を行う」
> ということになるように思います。

プロバイダDNSというのが無難な方法という気がしますね。外向けDNSは再帰問い合わせをさせないつもりなのです。

> この理由は何でしょうか？
> ファイアウォールやDNSキャッシュサーバ自体の武装化を適切に行えば、社内に置くのとセキュリティは変わらないと思います。

ファイアウォールとDNSの対策をきちんとやっていればDMZにキャッシュサーバを置いてもいいと考えていますが、今後新手のDNSキャッシュポイズニングの攻撃手法などに備え、ちょっと神経質になっております。

> プロキシサーバ自体にDNSキャッシュを持たせるのも一つの方法だと思います。
> キャッシュにヒットする場合はプロキシサーバ外に通信が出ないというメリットがあります。

なるほどそうですよね。そうすれば余計な通信が発生しないのでパフォーマンスの向上（名前解決時間）も見込めますよね。実はメールサーバのMXレコードの名前解決の問題もあり、そちらも同時に悩んでいるのでした。以前いた会社ではメールサーバにDNSキャッシュを持たせていました。

いろいろと考えを読ませていただいているうちに、
外向けDNS（いわゆるコンテンツサーバ）とは別に、「DMZ上のサーバのみが名前解決に利用できるDNSキャッシュサーバ」をDMZ上に用意できれば、多分それが一番いい落とし所のような気がしてきました。もちろんFWやDNSのセキュリティ対策をしっかりやることが前提です。

だいぶいくつかの方法のメリット・デメリット・リスクがまとまってきました。

ありがとうございます。もう少し整理して考えてみます。助かりました。