DMZ-gasheer op die router vs. private toegang: wat pas by ’n Mac?

Die DMZ-gasheer-instelling op ’n tuisrouter klink soos ’n sekuriteitsone en werk soos ’n vang-alles-aanstuur. Enigiets wat van die internet af kom wat geen ander reël gepas het nie, word na die gekose LAN-adres gestuur. Dit is ’n kortpad om ’n inkomende diens te laat werk, nie ’n ontwerp om een Mac privaat te bereik nie. Vergelyk dit met ’n nou reël of ’n private pad voordat jy dit aktiveer.

Wat die DMZ-instelling werklik doen

Op die meeste verbruiker-firmware beteken die etiket presies een ding: onbeantwoorde inkomende verkeer word na die aangewese gasheer gestuur. Dit skep nie ’n aparte subnet, ’n firewall-sone of ’n isolasiegrens nie. Die gekose rekenaar ontvang alles waarmee die router nie geweet het wat om te doen nie.

Dit is waarom die instelling so doeltreffend is om ’n stukkende diens reg te maak en so swak om te beperk wat anders aankom. Die router doen breedweg wat hom gesê is. Niks in die firmware skei die versoek wat jy wou hê van die een wat jy nie wou hê nie.

Drie Mac-rolle, drie voordeure

Lys wat die Mac werklik doen voordat jy enigiets oopmaak. ’n Kliënt wat uitbel het glad geen inkomende reël nodig nie. ’n Bediener het sy eie luisteraar, sy eie verifikasie en ’n nou vervoer nodig. ’n Skermdeel-teiken het ’n private pad plus die diens se lys van toegelate gebruikers nodig. Dit is drie verskillende ontwerpe, en die DMZ-instelling pas by nie een van hulle goed nie.

sudo lsof -nP -iTCP -sTCP:LISTEN

Voer dit op die Mac uit en lees die lys. As niets luister nie, sal geen inkomende reël ’n diens laat verskyn nie.

Vergelyk die blootstelling, nie die gerief nie

’n Vang-alles-aanstuur vergroot die aanvalsoppervlak na elke poort wat die Mac blootstel, insluitend dienste wat jy vergeet het om te aktiveer. ’n Nou aanstuur stel een poort aan die internet bloot en het steeds die toepassing se eie verifikasie nodig. ’n Private pad stel niks publiek bloot nie, teen die koste dat die tonnel voor toegang vereis word.

Gerief is nie hier die deurbreek nie, want die gerieflike opsie is ook die een wat oop misluk. As die Mac net ooit uitwaarts verbind, is die korrekte aantal inkomende openinge nul, en daardie sin is werd om twee keer te lees voordat jy ’n poort oopmaak. Om anders te kies beteken om blootstelling te aanvaar wat jy nie nodig het nie. Skryf daardie blootstelling neer en die keuse maak gewoonlik homself.

Vervang die vang-alles sonder ’n onderbreking

Om die vang-alles te vervang is ’n inventaris-oefening voordat dit ’n firewall-verandering is. Vind uit watter wettige diens tans van die breë reël afhanklik is, en bevestig dat die vervanging vir elkeen werk. Verwyder dan die DMZ-inskrywing en voeg net die nou reël of private toegang by wat die ontwerp vereis. Om albei ingange tydens die oorgang oop te laat, is hoe ’n tydelike noodoplossing permanent word.

Hou die gasheer-firewall en die diens se eie verifikasie in plek ongeag die pad. ’n Tonnel beskerm die vervoer, nie ’n openbare luisteraar wat toevallig op dieselfde masjien sit nie. Instandhouding en opdaterings bepaal steeds of die diens veilig is, en ’n firmware-opdatering kan stilletjies verander wat die breë reël deurlaat. Die vervaardiger se dokumentasie vir die DMZ-gasheer-kenmerk sê net soveel oor blootstelling, in minder woorde.