内部DNSサーバーをDMZホストから参照してよいか

Question

下記要素を含む自宅ネットワークを見よう見まねで構築しています。

1, 内部ネットワークに配置した内向けDNSサーバー(DBサーバーのAレコード登録済)
2, DMZに配置したWEBサーバー

2が1に対してDBサーバーの名前解決するのはアリでしょうか？

Answer 1

仮に Webサーバが乗っ取られたとして、
A. 内向けDNSサーバで名前解決できるような FW 設定である
B. DMZ 内 DNSサーバで名前解決 (内向けDNSサーバにつなげない)
C. DNSサーバ使わない (IPアドレスや hosts 運用)
といった構成を比較すると、A は Webサーバから内向け DNS サーバの bind 等に
アタック可能という意味で危険性は高いんでしょうね。

ただし言うまでもなく最終的には構築コスト・運用コスト・利便性などの総合判断です。

Comments

[kon2323]

ご回答ありがとうございます。

単純にありなしで決めるのではなく、様々な事柄を考慮したうえで(自分なりの理由・考えを持って)判断する。と理解しました。
プログラム設計と変わらないですね。