DMZ-gastiganto en la enkursigilo kontraŭ privata aliro: kiu taŭgas por Mac?

La agordo DMZ-gastiganto en hejma enkursigilo sonas kiel sekureca zono kaj kondutas kiel plusendo de ĉio. Ĉio, kio alvenas el la interreto kaj ne kongruis kun alia regulo, estas sendata al la elektita LAN-adreso. Ĝi estas mallongigo por igi envenantan servon funkcii, ne dizajno por private atingi unu Mac. Komparu ĝin kun mallarĝa regulo aŭ privata vojo antaŭ ol ebligi ĝin.

Kion la agordo DMZ efektive faras

En plej multaj konsumantaj firmvaroj la etikedo signifas ekzakte unu aferon: nekaŭzita envenanta trafiko estas plusendata al la nomita gastiganto. Ĝi ne kreas apartan subreton, fajroŝirma zonon aŭ izolan limon. La elektita komputilo ricevas ĉion, pri kio la enkursigilo ne sciis, kion fari.

Tial la agordo estas tiel efika por ripari rompitan servon kaj tiel malforta por limigi tion, kio alia alvenas. La enkursigilo faras tion, kio estis dirita al ĝi, larĝe. Nenio en la firmvaro apartigas la peton, kiun vi volis, de tiu, kiun vi ne volis.

Tri roloj de Mac, tri antaŭaj pordoj

Listigu, kion la Mac efektive faras antaŭ ol malfermi ion ajn. Kliento, kiu alvokas eksteren, tute ne bezonas envenantan regulon. Servilo bezonas sian propran aŭskultanton, sian propran aŭtentikigon kaj mallarĝan transporton. Ekrankunliga celo bezonas privatan vojon plus la liston de permesitaj uzantoj de la servo. Tiuj estas tri malsamaj dizajnoj, kaj la agordo DMZ taŭgas por neniu el ili bone.

sudo lsof -nP -iTCP -sTCP:LISTEN

Rulu tion sur la Mac kaj legu la liston. Se nenio aŭskultas, neniu envenanta regulo igos servon aperi.

Komparu la elmeton, ne la komforton

Plusendo de ĉio pligrandigas la atakan surfacon al ĉiu pordo, kiun la Mac elmetas, inkluzive de servoj, kiujn vi forgesis esti ebligitaj. Mallarĝa plusendo elmetas unu pordon al la interreto kaj ankoraŭ bezonas la propran aŭtentikigon de la aplikaĵo. Privata vojo elmetas nenion publike, kontraŭ la kosto postuli la tunelon antaŭ aliro.

Komforto ne estas la decidanto ĉi tie, ĉar la komforta opcio estas ankaŭ tiu, kiu malsukcesas malferme. Se la Mac nur iam konektiĝas eksteren, la ĝusta nombro de envenantaj malfermaĵoj estas nulo, kaj tiu frazo indas esti legata dufoje antaŭ ol malfermi pordon. Elekti alie signifas akcepti elmeton, kiun vi ne bezonas. Skribu tiun elmeton kaj la elekto kutime solviĝas mem.

Anstataŭigu la plusendon de ĉio sen interrompo

Anstataŭigi la plusendon de ĉio estas inventara ekzerco antaŭ ol ĝi estas fajroŝirma ŝanĝo. Eltrovu, kiu laŭleĝa servo nun dependas de la larĝa regulo, kaj konfirmu, ke la anstataŭaĵo funkcias por ĉiu. Poste forigu la DMZ-enskribon kaj aldonu nur la mallarĝan regulon aŭ la privatan aliron, kiun la dizajno postulas. Lasi ambaŭ enirejojn malfermitaj dum la transiro estas la maniero, kiel portempa provizoraĵo fariĝas konstanta.

Tenu la gastigantan fajroŝirmon kaj la propran aŭtentikigon de la servo en loko sendepende de la vojo. Tunelo protektas la transporton, ne publikan aŭskultanton, kiu hazarde sidas sur la sama maŝino. Prizorgado kaj ĝisdatigoj ankoraŭ decidas, ĉu la servo estas sekura, kaj firmvara ĝisdatigo povas silente ŝanĝi, kion la larĝa regulo enlasas. La dokumentaro de la fabrikanto por la funkcio DMZ-gastiganto diras same pri elmeto, per malpli da vortoj.