DMZ-vært på routeren kontra privat adgang: hvad passer til en Mac?

Indstillingen DMZ-vært på en hjemmerouter lyder som en sikkerhedszone og opfører sig som en videresendelse af alt. Alt, der ankommer fra internettet og ikke matchede nogen anden regel, sendes til den valgte LAN-adresse. Det er en genvej til at få en indgående tjeneste til at virke, ikke et design til at nå én Mac privat. Sammenlign den med en snæver regel eller en privat vej, før du aktiverer den.

Hvad DMZ-indstillingen egentlig gør

På de fleste forbrugerfirmware betyder etiketten præcis én ting: uafstemt indgående trafik videresendes til den udpegede vært. Den opretter ikke et separat undernet, en firewallzone eller en isolationsgrænse. Den valgte computer modtager alt, hvad routeren ikke vidste, hvad den skulle gøre med.

Derfor er indstillingen så effektiv til at reparere en ødelagt tjeneste og så dårlig til at begrænse, hvad der ellers ankommer. Routeren gør, hvad den får besked på, bredt. Intet i firmwaren adskiller den anmodning, du ville have, fra den, du ikke ville have.

Tre Mac-roller, tre hoveddøre

List op, hvad Macen faktisk gør, før du åbner noget. En klient, der ringer ud, har slet ikke brug for nogen indgående regel. En server har brug for sin egen lytter, sin egen godkendelse og en snæver transport. Et skærmdelingsmål har brug for en privat vej plus tjenestens liste over tilladte brugere. Det er tre forskellige designs, og DMZ-indstillingen passer ikke godt til nogen af dem.

sudo lsof -nP -iTCP -sTCP:LISTEN

Kør det på Macen, og læs listen. Hvis intet lytter, vil ingen indgående regel få en tjeneste til at dukke op.

Sammenlign eksponeringen, ikke bekvemmeligheden

En videresendelse af alt forstørrer angrebsfladen til hver port, Macen blotlægger, inklusive tjenester, du glemte var aktiveret. En snæver videresendelse blotlægger én port mod internettet og kræver stadig applikationens egen godkendelse. En privat vej blotlægger intet offentligt, men kræver tunnelen før adgang.

Bekvemmelighed er ikke afgørelsen her, fordi den bekvemme mulighed også er den, der fejler åbent. Hvis Macen kun nogensinde forbinder udad, er det korrekte antal indgående åbninger nul, og den sætning er værd at læse to gange, før du åbner en port. At vælge anderledes betyder at acceptere eksponering, du ikke har brug for. Skriv den eksponering ned, og valget træffer sig normalt selv.

Erstat videresendelsen af alt uden afbrydelse

At erstatte videresendelsen af alt er en opgørelsesøvelse, før det er en firewallændring. Find ud af, hvilken legitim tjeneste der i øjeblikket afhænger af den brede regel, og bekræft, at erstatningen virker for hver. Fjern derefter DMZ-posten, og tilføj kun den snævre regel eller private adgang, som designet kræver. At lade begge indgange stå åbne under overgangen er måden, hvorpå en midlertidig løsning bliver permanent.

Hold værtens firewall og tjenestens egen godkendelse på plads uanset vejen. En tunnel beskytter transporten, ikke en offentlig lytter, der tilfældigvis sidder på samme maskine. Vedligeholdelse og opdateringer afgør stadig, om tjenesten er sikker, og en firmwareopdatering kan stille ændre, hvad den brede regel lukker ind. Producentens dokumentation for DMZ-værtfunktionen siger lige så meget om eksponering, med færre ord.