Hostitel DMZ na routeru vs. soukromý přístup: co se hodí k Macu?

Nastavení hostitele DMZ na domácím routeru zní jako bezpečnostní zóna, ale chová se jako přeposílání všeho. Vše, co dorazí z internetu a neodpovídalo žádnému jinému pravidlu, se odešle na zvolenou adresu LAN. Je to zkratka k tomu, aby příchozí služba fungovala, ne návrh pro soukromé dosažení jednoho Macu. Porovnejte ho s úzkým pravidlem nebo soukromou cestou, než ho zapnete.

Co nastavení DMZ skutečně dělá

Na většině spotřebitelského firmwaru znamená tento štítek přesně jednu věc: neodpovídající příchozí provoz se přeposílá na určeného hostitele. Nevytváří samostatnou podsíť, zónu firewallu ani hranici izolace. Zvolený počítač dostává vše, s čím router nevěděl, co udělat.

Proto je nastavení tak účinné při opravě nefunkční služby a tak slabé v omezování toho, co dalšího přichází. Router dělá to, co mu bylo řečeno, plošně. Nic ve firmwaru neodděluje požadavek, který jste chtěli, od toho, který jste nechtěli.

Tři role Macu, troje přední dveře

Než cokoli otevřete, vypište, co Mac skutečně dělá. Klient, který volá ven, nepotřebuje žádné příchozí pravidlo. Server potřebuje vlastní posluchač, vlastní autentizaci a úzký přenos. Cíl sdílení obrazovky potřebuje soukromou cestu plus seznam povolených uživatelů služby. To jsou tři různé návrhy a nastavení DMZ k žádnému z nich dobře nepasuje.

sudo lsof -nP -iTCP -sTCP:LISTEN

Spusťte to na Macu a přečtěte si seznam. Pokud nic neposlouchá, žádné příchozí pravidlo službu nezobrazí.

Porovnejte expozici, ne pohodlí

Přeposílání všeho zvětšuje útočnou plochu na každý port, který Mac vystavuje, včetně služeb, u kterých jste zapomněli, že jsou zapnuté. Úzké přeposílání vystavuje internetu jeden port a stále potřebuje vlastní autentizaci aplikace. Soukromá cesta nevystavuje nic veřejně, ale vyžaduje tunel před přístupem.

Pohodlí zde není rozhodující, protože pohodlná možnost je zároveň ta, která selhává otevřeně. Pokud se Mac připojuje jen ven, správný počet příchozích otvorů je nula a ta věta stojí za dvě přečtení, než otevřete port. Zvolit opak znamená přijmout expozici, kterou nepotřebujete. Zapište si tu expozici a volba se obvykle vyřeší sama.

Nahraďte přeposílání všeho bez výpadku

Nahrazení přeposílání všeho je inventurní cvičení dřív, než je změnou firewallu. Zjistěte, která legitimní služba na širokém pravidle právě závisí, a potvrďte, že náhrada funguje pro každou. Potom odstraňte záznam DMZ a přidejte jen úzké pravidlo nebo soukromý přístup, který návrh vyžaduje. Ponechání obou vchodů otevřených během přechodu je způsob, jak se dočasná výpomoc stane trvalou.

Udržujte firewall hostitele i vlastní autentizaci služby na místě bez ohledu na cestu. Tunel chrání přenos, ne veřejný posluchač, který náhodou sedí na stejném stroji. Údržba a aktualizace stále rozhodují o tom, zda je služba bezpečná, a aktualizace firmwaru může tiše změnit, co široké pravidlo propustí. Dokumentace výrobce pro funkci hostitele DMZ říká totéž o expozici, menším počtem slov.