Хост DMZ на роўтары супраць прыватнага доступу: што падыходзіць для Mac?

Налада хоста DMZ на хатнім роўтары гучыць як зона бяспекі, а паводзіць сябе як перасылка ўсяго без выключэння. Усё, што прыходзіць з інтэрнэту і не супала з іншым правілам, адпраўляецца на выбраны адрас LAN. Гэта хуткі шлях прымусіць уваходную службу працаваць, а не праект для прыватнага доступу да аднаго Mac. Параўнайце яго з вузкім правілам або прыватным шляхам, перш чым уключыць.

Што насамрэч робіць налада DMZ

У большасці спажывецкіх прашывак гэтая назва азначае роўна адно: несупастаўлены ўваходны трафік перасылаецца на прызначаны хост. Яна не стварае асобную падсетку, зону файрвола або мяжу ізаляцыі. Выбраны камп’ютар атрымлівае ўсё, з чым роўтар не ведаў, што рабіць.

Менавіта таму налада такая эфектыўная ў выпраўленні зламанай службы і такая слабая ў абмежаванні таго, што яшчэ прыходзіць. Роўтар робіць тое, што яму сказалі, шырока. Нішто ў прашыўцы не аддзяляе запыт, які вы хацелі, ад таго, якога вы не хацелі.

Тры ролі Mac, тры ўваходныя дзверы

Пералічыце, што Mac насамрэч робіць, перш чым нешта адкрываць. Кліенту, які злучаецца вонкі, не патрэбна ніякае ўваходнае правіла. Серверу патрэбны ўласны слухач, уласная аўтэнтыфікацыя і вузкі транспарт. Мэце сумеснага доступу да экрана патрэбны прыватны шлях плюс спіс дазволеных карыстальнікаў службы. Гэта тры розныя праекты, і налада DMZ не падыходзіць добра ні да аднаго з іх.

sudo lsof -nP -iTCP -sTCP:LISTEN

Запусціце гэта на Mac і прачытайце спіс. Калі нічога не слухае, ніводнае ўваходнае правіла не прымусіць службу з’явіцца.

Параўнайце ўздзеянне, а не зручнасць

Перасылка ўсяго павялічвае паверхню атакі да кожнага порта, які адкрывае Mac, уключаючы службы, якія вы забыліся ўключыць. Вузкая перасылка адкрывае адзін порт у інтэрнэт і ўсё яшчэ патрабуе ўласнай аўтэнтыфікацыі праграмы. Прыватны шлях нічога публічна не адкрывае, але патрабуе тунэль перад доступам.

Зручнасць тут не вырашае, бо зручны варыянт — гэта таксама той, які адмаўляе адкрыта. Калі Mac заўсёды злучаецца толькі вонкі, правільная колькасць уваходных адтулін — нуль, і гэтае сказ варта прачытаць двойчы перад адкрыццём порта. Выбраць іншае — значыць прыняць уздзеянне, якое вам не патрэбна. Запішыце гэтае ўздзеянне, і выбар звычайна робіцца сам.

Замяніце перасылку ўсяго без перапынку

Замяніць перасылку ўсяго — гэта практыкаванне з інвентарызацыі раней, чым змена файрвола. Высветліце, якая законная служба зараз залежыць ад шырокага правіла, і пацвердзіце, што замена працуе для кожнай. Затым выдаліце запіс DMZ і дадайце толькі вузкае правіла або прыватны доступ, які патрабуе праект. Пакінуць абодва ўваходы адкрытымі падчас пераходу — гэта шлях да таго, каб часовы абыход стаў пастаянным.

Трымайце файрвол хоста і ўласную аўтэнтыфікацыю службы на месцы незалежна ад шляху. Тунэль абараняе транспарт, а не публічны слухач, які выпадкова стаіць на той жа машыне. Абслугоўванне і абнаўленні ўсё яшчэ вырашаюць, ці служба бяспечная, і абнаўленне прашыўкі можа ціха змяніць тое, што прапускае шырокае правіла. Дакументацыя вытворцы для функцыі хоста DMZ гаворыць тое ж самае пра ўздзеянне, меншымі словамі.