DMZ хост на рутера срещу частен достъп: кое подхожда на Mac?

Настройката DMZ хост на домашен рутер звучи като зона за сигурност, а се държи като препращане на всичко. Всичко, което пристига от интернет и не е съответствало на друго правило, се изпраща към избрания LAN адрес. Това е пряк път да накарате входяща услуга да работи, а не дизайн за частен достъп до един Mac. Сравнете го с тясно правило или частен път, преди да го включите.

Какво всъщност прави настройката DMZ

При повечето потребителски фърмуери етикетът означава точно едно нещо: несъответстващият входящ трафик се препраща към определения хост. Той не създава отделна подмрежа, зона на защитна стена или граница за изолация. Избраният компютър получава всичко, с което рутерът не е знаел какво да прави.

Ето защо настройката е толкова ефективна при поправяне на счупена услуга и толкова слаба при ограничаване на това, което пристига друго. Рутерът прави това, което са му казали, в широк смисъл. Нищо във фърмуера не отделя заявката, която сте искали, от тази, която не сте искали.

Три роли на Mac, три входни врати

Изброете какво всъщност прави Mac, преди да отворите нещо. Клиент, който се свързва навън, не се нуждае от никакво входящо правило. Сървърът се нуждае от свой слушател, собствена автентикация и тесен транспорт. Целта за споделяне на екран се нуждае от частен път плюс списъка с разрешени потребители на услугата. Това са три различни дизайна и настройката DMZ не подхожда добре на нито един от тях.

sudo lsof -nP -iTCP -sTCP:LISTEN

Изпълнете това на Mac и прочетете списъка. Ако нищо не слуша, нито едно входящо правило няма да накара услуга да се появи.

Сравнете излагането, а не удобството

Препращането на всичко увеличава повърхността за атака до всеки порт, който Mac излага, включително услуги, които сте забравили, че са включени. Тясното препращане излага един порт към интернет и все още се нуждае от собствената автентикация на приложението. Частният път не излага нищо публично, но изисква тунела преди достъп.

Удобството не е решаващият фактор тук, защото удобната опция е и тази, която се проваля отворено. Ако Mac се свързва само навън, правилният брой входящи отвори е нула и това изречение си заслужава да се прочете два пъти, преди да отворите порт. Да изберете друго означава да приемете излагане, което не ви е нужно. Запишете това излагане и изборът обикновено се прави сам.

Заменете препращането на всичко без прекъсване

Замяната на препращането на всичко е упражнение по инвентаризация, преди да е промяна на защитната стена. Разберете коя законна услуга в момента зависи от широкото правило и потвърдете, че замяната работи за всяка. След това премахнете записа DMZ и добавете само тясното правило или частния достъп, който изисква дизайнът. Оставянето на двата входа отворени по време на прехода е начинът временното решение да стане постоянно.

Дръжте защитната стена на хоста и собствената автентикация на услугата на място независимо от пътя. Тунелът защитава транспорта, а не публичен слушател, който случайно стои на същата машина. Поддръжката и актуализациите все още решават дали услугата е безопасна и актуализация на фърмуера може тихо да промени какво пропуска широкото правило. Документацията на производителя за функцията DMZ хост казва същото за излагането, с по-малко думи.