Ruuteri DMZ-host versus privaatne juurdepääs: milline sobib Macile?

Koduruuteri DMZ-host seade kõlab nagu turvatsoon ja käitub nagu kõike hõlmav edasisuunamine. Kõik, mis saabub internetist ja ei vastanud ühelegi teisele reeglile, saadetakse valitud LAN-aadressile. See on otsetee sissetuleva teenuse tööle saamiseks, mitte kavand ühe Maci privaatseks kättesaamiseks. Võrrelge seda kitsa reegli või privaatse teega enne selle lubamist.

Mida DMZ-seade tegelikult teeb

Enamikus tarbijapüsivaras tähendab silt täpselt üht: mittevastav sissetulev liiklus suunatakse määratud hostile. See ei loo eraldi alamvõrku, tulemüüri tsooni ega isolatsioonipiiri. Valitud arvuti saab kõik, millega ruuter ei teadnud, mida teha.

Seetõttu on seade nii tõhus katkise teenuse parandamisel ja nii nõrk selle piiramisel, mis veel saabub. Ruuter teeb seda, mida talle öeldi, laialt. Püsivaras ei eralda miski päringut, mida te tahtsite, sellest, mida te ei tahtnud.

Kolm Maci rolli, kolm esiust

Loetlege, mida Mac tegelikult teeb, enne kui midagi avate. Välja helistav klient ei vaja üldse sissetulevat reeglit. Server vajab oma kuulajat, oma autentimist ja kitsast transporti. Ekraanijagamise sihtkoht vajab privaatset teed pluss teenuse lubatud kasutajate loendit. Need on kolm erinevat kavandit ja DMZ-seade ei sobi hästi ühegi nendega.

sudo lsof -nP -iTCP -sTCP:LISTEN

Käivitage see Macil ja lugege loendit. Kui miski ei kuula, ei tee ükski sissetulev reegel teenust nähtavaks.

Võrrelge kokkupuudet, mitte mugavust

Kõike hõlmav edasisuunamine suurendab ründepealispinda igale pordile, mille Mac paljastab, sealhulgas teenustele, mille lubamise olete unustanud. Kitsas edasisuunamine paljastab internetile ühe pordi ja vajab siiski rakenduse enda autentimist. Privaatne tee ei paljasta midagi avalikult, kuid nõuab enne juurdepääsu tunnelit.

Mugavus ei ole siin otsustaja, sest mugav valik on ka see, mis avatult nurjub. Kui Mac ühendub ainult väljapoole, on õige sissetulevate avade arv null ja see lause väärib kaks korda lugemist enne pordi avamist. Teisiti valimine tähendab kokkupuute aktsepteerimist, mida te ei vaja. Kirjutage see kokkupuude üles ja valik teeb end tavaliselt ise.

Asendage kõike hõlmav edasisuunamine ilma katkestuseta

Kõike hõlmava edasisuunamise asendamine on inventuuriharjutus enne seda, kui see on tulemüüri muudatus. Uurige, milline seaduslik teenus sõltub praegu laiast reeglist, ja kinnitage, et asendus töötab igaühe jaoks. Seejärel eemaldage DMZ-kirje ja lisage ainult kitsas reegel või privaatne juurdepääs, mida kavand nõuab. Mõlema sissepääsu lahtijätmine ülemineku ajal on viis, kuidas ajutine lahendus muutub alaliseks.

Hoidke hosti tulemüür ja teenuse enda autentimine paigal olenemata teest. Tunnel kaitseb transporti, mitte avalikku kuulajat, mis juhtub olema samas masinas. Hooldus ja värskendused otsustavad endiselt, kas teenus on turvaline, ja püsivara värskendus võib vaikselt muuta seda, mida lai reegel sisse laseb. Tootja dokumentatsioon DMZ-hosti funktsiooni kohta ütleb sama kokkupuute kohta, vähemate sõnadega.