Φιλοξενία DMZ στο δρομολογητή ή ιδιωτική πρόσβαση: τι ταιριάζει σε Mac;

Η ρύθμιση φιλοξενίας DMZ σε οικιακό δρομολογητή ακούγεται σαν ζώνη ασφαλείας και συμπεριφέρεται σαν προώθηση όλων. Ό,τι φτάνει από το διαδίκτυο και δεν ταίριαξε με άλλον κανόνα στέλνεται στη διεύθυνση LAN που επιλέχθηκε. Είναι μια συντόμευση για να λειτουργήσει μια εισερχόμενη υπηρεσία, όχι ένα σχέδιο για ιδιωτική πρόσβαση σε ένα Mac. Συγκρίνετε τη με έναν στενό κανόνα ή μια ιδιωτική διαδρομή πριν την ενεργοποιήσετε.

Τι κάνει πραγματικά η ρύθμιση DMZ

Στις περισσότερες υλοποιήσεις υλικολογισμικού καταναλωτών η ετικέτα σημαίνει ακριβώς ένα πράγμα: η αναντιστοίχιστη εισερχόμενη κίνηση προωθείται στον καθορισμένο υπολογιστή. Δεν δημιουργεί ξεχωριστό υποδίκτυο, ζώνη τείχους προστασίας ή όριο απομόνωσης. Ο επιλεγμένος υπολογιστής λαμβάνει ό,τι δεν ήξερε ο δρομολογητής τι να κάνει.

Γι’ αυτό η ρύθμιση είναι τόσο αποτελεσματική στη διόρθωση μιας χαλασμένης υπηρεσίας και τόσο φτωχή στον περιορισμό του τι άλλο φτάνει. Ο δρομολογητής κάνει αυτό που του είπαν, με ευρεία έννοια. Τίποτα στο υλικολογισμικό δεν χωρίζει το αίτημα που θέλατε από αυτό που δεν θέλατε.

Τρεις ρόλοι Mac, τρεις μπροστινές πόρτες

Καταγράψτε τι κάνει πραγματικά το Mac πριν ανοίξετε οτιδήποτε. Ένας πελάτης που καλεί προς τα έξω δεν χρειάζεται καθόλου εισερχόμενο κανόνα. Ένας διακομιστής χρειάζεται τον δικό του ακροατή, τον δικό του έλεγχο ταυτότητας και μια στενή μεταφορά. Ένας στόχος κοινής χρήσης οθόνης χρειάζεται μια ιδιωτική διαδρομή συν τη λίστα επιτρεπόμενων χρηστών της υπηρεσίας. Αυτά είναι τρία διαφορετικά σχέδια, και η ρύθμιση DMZ δεν ταιριάζει καλά σε κανένα από αυτά.

sudo lsof -nP -iTCP -sTCP:LISTEN

Εκτελέστε το στο Mac και διαβάστε τη λίστα. Αν δεν ακούει τίποτα, κανένας εισερχόμενος κανόνας δεν θα κάνει μια υπηρεσία να εμφανιστεί.

Συγκρίνετε την έκθεση, όχι την ευκολία

Η προώθηση όλων μεγαλώνει την επιφάνεια επίθεσης σε κάθε θύρα που εκθέτει το Mac, συμπεριλαμβανομένων υπηρεσιών που ξεχάσατε ότι είναι ενεργές. Η στενή προώθηση εκθέτει μία θύρα στο διαδίκτυο και χρειάζεται ακόμη τον δικό της έλεγχο ταυτότητας της εφαρμογής. Η ιδιωτική διαδρομή δεν εκθέτει τίποτα δημόσια, με κόστος να απαιτεί τη σήραγγα πριν την πρόσβαση.

Η ευκολία δεν είναι ο καθοριστικός παράγοντας εδώ, γιατί η βολική επιλογή είναι και αυτή που αποτυγχάνει ανοιχτά. Αν το Mac συνδέεται μόνο προς τα έξω, ο σωστός αριθμός εισερχόμενων ανοιγμάτων είναι μηδέν, και αυτή η φράση αξίζει να διαβαστεί δύο φορές πριν ανοίξετε μια θύρα. Το να επιλέξετε το αντίθετο σημαίνει να αποδεχτείτε έκθεση που δεν χρειάζεστε. Γράψτε αυτή την έκθεση και η επιλογή συνήθως γίνεται μόνη της.

Αντικαταστήστε την προώθηση όλων χωρίς διακοπή

Η αντικατάσταση της προώθησης όλων είναι άσκηση απογραφής πριν είναι αλλαγή τείχους προστασίας. Βρείτε ποια νόμιμη υπηρεσία εξαρτάται τώρα από τον ευρύ κανόνα και επιβεβαιώστε ότι η αντικατάσταση λειτουργεί για καθεμία. Μετά αφαιρέστε την καταχώριση DMZ και προσθέστε μόνο τον στενό κανόνα ή την ιδιωτική πρόσβαση που απαιτεί το σχέδιο. Το να αφήσετε και τις δύο εισόδους ανοιχτές κατά τη μετάβαση είναι ο τρόπος με τον οποίο μια προσωρινή λύση γίνεται μόνιμη.

Κρατήστε το τείχος προστασίας του κεντρικού υπολογιστή και τον δικό του έλεγχο ταυτότητας της υπηρεσίας στη θέση τους ανεξάρτητα από τη διαδρομή. Μια σήραγγα προστατεύει τη μεταφορά, όχι έναν δημόσιο ακροατή που τυχαίνει να βρίσκεται στο ίδιο μηχάνημα. Η συντήρηση και οι ενημερώσεις εξακολουθούν να καθορίζουν αν η υπηρεσία είναι ασφαλής, και μια ενημέρωση υλικολογισμικού μπορεί να αλλάξει ήσυχα τι αφήνει να περάσει ο ευρύς κανόνας. Η τεκμηρίωση του κατασκευαστή για τη λειτουργία φιλοξενίας DMZ λέει το ίδιο για την έκθεση, με λιγότερες λέξεις.