DMZ-Host am Router oder privater Zugang: Was passt zu einem Mac?

Die Einstellung DMZ-Host an einem Heimrouter klingt nach einer Sicherheitszone und verhält sich wie eine Weiterleitung für alles. Alles, was aus dem Internet ankommt und keiner anderen Regel entsprach, wird an die gewählte LAN-Adresse geschickt. Das ist eine Abkürzung, um einen eingehenden Dienst zum Laufen zu bringen, kein Entwurf, um einen Mac privat zu erreichen. Vergleichen Sie ihn mit einer engen Regel oder einem privaten Weg, bevor Sie ihn aktivieren.

Was die DMZ-Einstellung wirklich tut

Bei den meisten Consumer-Firmwares bedeutet das Etikett genau eines: nicht zugeordneter eingehender Verkehr wird an den benannten Host weitergeleitet. Es entsteht kein separates Subnetz, keine Firewallzone und keine Isolationsgrenze. Der gewählte Computer erhält alles, womit der Router nichts anzufangen wusste.

Darum ist die Einstellung so wirksam beim Reparieren eines defekten Dienstes und so schlecht darin zu begrenzen, was sonst noch ankommt. Der Router tut, was ihm gesagt wurde, und zwar breit. Nichts in der Firmware trennt die Anfrage, die Sie wollten, von der, die Sie nicht wollten.

Drei Mac-Rollen, drei Vordertüren

Listen Sie auf, was der Mac tatsächlich tut, bevor Sie etwas öffnen. Ein Client, der nach außen wählt, braucht überhaupt keine eingehende Regel. Ein Server braucht seinen eigenen Listener, seine eigene Authentifizierung und einen engen Transport. Ein Bildschirmfreigabe-Ziel braucht einen privaten Weg plus die Liste der zulässigen Benutzer des Dienstes. Das sind drei verschiedene Entwürfe, und die DMZ-Einstellung passt zu keinem davon gut.

sudo lsof -nP -iTCP -sTCP:LISTEN

Führen Sie das auf dem Mac aus und lesen Sie die Liste. Wenn nichts lauscht, wird keine eingehende Regel einen Dienst erscheinen lassen.

Vergleichen Sie die Exposition, nicht den Komfort

Eine Weiterleitung für alles vergrößert die Angriffsfläche auf jeden Port, den der Mac freigibt, einschließlich Diensten, von denen Sie vergessen haben, dass sie aktiviert sind. Eine enge Weiterleitung gibt einen Port ins Internet frei und braucht trotzdem die eigene Authentifizierung der Anwendung. Ein privater Weg gibt nichts öffentlich frei, verlangt aber den Tunnel vor dem Zugang.

Komfort ist hier nicht der Ausschlag, denn die bequeme Option ist auch die, die offen scheitert. Wenn der Mac sich nur nach außen verbindet, ist die richtige Zahl eingehender Öffnungen null, und dieser Satz lohnt sich zweimal zu lesen, bevor Sie einen Port öffnen. Anders zu wählen bedeutet, eine Exposition zu akzeptieren, die Sie nicht brauchen. Schreiben Sie diese Exposition auf, und die Wahl trifft sich meist von selbst.

Ersetzen Sie die Weiterleitung für alles ohne Ausfall

Das Ersetzen der Weiterleitung für alles ist eine Inventarübung, bevor es eine Firewalländerung ist. Finden Sie heraus, welcher legitime Dienst derzeit von der breiten Regel abhängt, und bestätigen Sie, dass der Ersatz für jeden funktioniert. Entfernen Sie dann den DMZ-Eintrag und fügen Sie nur die enge Regel oder den privaten Zugang hinzu, den der Entwurf verlangt. Beide Eingänge während des Übergangs offen zu lassen, ist der Weg, auf dem eine vorübergehende Notlösung dauerhaft wird.

Lassen Sie die Host-Firewall und die eigene Authentifizierung des Dienstes unabhängig vom Weg an ihrem Platz. Ein Tunnel schützt den Transport, nicht einen öffentlichen Listener, der zufällig auf derselben Maschine sitzt. Wartung und Updates entscheiden weiterhin, ob der Dienst sicher ist, und ein Firmware-Update kann still ändern, was die breite Regel durchlässt. Die Herstellerdokumentation für die DMZ-Host-Funktion sagt ebenso viel über die Exposition, mit weniger Worten.