Host DMZ del router frente a acceso privado: ¿cuál encaja con un Mac?

El ajuste de host DMZ en un router doméstico suena a zona de seguridad y se comporta como un reenvío de todo. Todo lo que llega de internet y no coincidió con otra regla se envía a la dirección LAN elegida. Es un atajo para que funcione un servicio entrante, no un diseño para llegar a un Mac de forma privada. Compárelo con una regla estrecha o una ruta privada antes de activarlo.

Qué hace realmente el ajuste DMZ

En la mayoría de los firmware de consumo la etiqueta significa exactamente una cosa: el tráfico entrante no coincidente se reenvía al host designado. No crea una subred separada, una zona de cortafuegos ni un límite de aislamiento. El ordenador elegido recibe todo aquello con lo que el router no sabía qué hacer.

Por eso el ajuste es tan eficaz para arreglar un servicio roto y tan malo para limitar qué más llega. El router hace lo que se le dijo, en sentido amplio. Nada en el firmware separa la solicitud que usted quería de la que no quería.

Tres roles del Mac, tres puertas de entrada

Enumere lo que el Mac hace realmente antes de abrir nada. Un cliente que marca hacia fuera no necesita ninguna regla entrante. Un servidor necesita su propio escucha, su propia autenticación y un transporte estrecho. Un destino de compartición de pantalla necesita una ruta privada más la lista de usuarios permitidos del servicio. Son tres diseños distintos, y el ajuste DMZ no encaja bien en ninguno de ellos.

sudo lsof -nP -iTCP -sTCP:LISTEN

Ejecute eso en el Mac y lea la lista. Si no hay nada escuchando, ninguna regla entrante hará que aparezca un servicio.

Compare la exposición, no la comodidad

Un reenvío de todo amplía la superficie de ataque a cada puerto que el Mac expone, incluidos servicios que olvidó que estaban activados. Un reenvío estrecho expone un puerto a internet y aun así necesita la autenticación propia de la aplicación. Una ruta privada no expone nada públicamente, a cambio de exigir el túnel antes del acceso.

La comodidad no es el desempate aquí, porque la opción cómoda es también la que falla abierta. Si el Mac solo se conecta hacia fuera, el número correcto de aperturas entrantes es cero, y esa frase merece leerse dos veces antes de abrir un puerto. Elegir lo contrario significa aceptar una exposición que no necesita. Anote esa exposición y la elección suele resolverse sola.

Sustituya el reenvío de todo sin cortes

Sustituir el reenvío de todo es un ejercicio de inventario antes que un cambio de cortafuegos. Averigüe qué servicio legítimo depende ahora de la regla amplia y confirme que el sustituto funciona para cada uno. Luego quite la entrada DMZ y añada solo la regla estrecha o el acceso privado que exige el diseño. Dejar ambas entradas abiertas durante la transición es como un apaño temporal se vuelve permanente.

Mantenga el cortafuegos del host y la autenticación propia del servicio en su sitio sea cual sea la ruta. Un túnel protege el transporte, no un escucha público que casualmente está en la misma máquina. El mantenimiento y las actualizaciones siguen decidiendo si el servicio es seguro, y una actualización de firmware puede cambiar en silencio lo que deja pasar la regla amplia. La documentación del fabricante para la función de host DMZ dice lo mismo sobre la exposición, con menos palabras.