میزبان DMZ روتر در برابر دسترسی خصوصی: کدام برای Mac مناسب است؟

تنظیم میزبان DMZ در یک روتر خانگی شبیه یک ناحیه امنیتی است و مانند ارسال همه‌چیز رفتار می‌کند. هر چیزی که از اینترنت می‌رسد و با هیچ قاعده دیگری مطابقت نداشته، به نشانی LAN انتخاب‌شده فرستاده می‌شود. این یک میان‌بر برای کار کردن یک سرویس ورودی است، نه طراحی برای دسترسی خصوصی به یک Mac. پیش از فعال کردن آن، با یک قاعده باریک یا مسیر خصوصی مقایسه کنید.

تنظیم DMZ در واقع چه می‌کند

در بیشتر فریم‌ورهای مصرفی این برچسب دقیقاً یک چیز یعنی: ترافیک ورودی بی‌تطبیق به میزبان تعیین‌شده ارسال می‌شود. زیرشبکه جداگانه، ناحیه دیوار آتش یا مرز جداسازی ایجاد نمی‌کند. رایانه انتخاب‌شده هر چیزی را دریافت می‌کند که روتر نمی‌دانست با آن چه کند.

به همین دلیل تنظیم در رفع یک سرویس خراب بسیار کارآمد و در محدود کردن چیزهایی که می‌رسد بسیار ضعیف است. روتر به‌طور گسترده همان کاری را می‌کند که به آن گفته شده. هیچ چیز در فریم‌ور درخواستی را که می‌خواستید از آنچه نمی‌خواستید جدا نمی‌کند.

سه نقش Mac، سه درِ ورودی

پیش از باز کردن هر چیزی فهرست کنید که Mac واقعاً چه می‌کند. کلاینتی که به بیرون وصل می‌شود اصلاً به قاعده ورودی نیاز ندارد. سرور به شنونده خودش، احراز هویت خودش و انتقال باریک نیاز دارد. هدف اشتراک صفحه به مسیر خصوصی به‌علاوه فهرست کاربران مجاز سرویس نیاز دارد. این‌ها سه طراحی متفاوت‌اند و تنظیم DMZ به هیچ‌یک خوب نمی‌خورد.

sudo lsof -nP -iTCP -sTCP:LISTEN

این را روی Mac اجرا کنید و فهرست را بخوانید. اگر هیچ چیز گوش نمی‌دهد، هیچ قاعده ورودی باعث ظاهر شدن سرویس نخواهد شد.

مواجهه را مقایسه کنید، نه راحتی را

ارسال همه‌چیز سطح حمله را به هر درگاهی که Mac نمایان می‌کند گسترش می‌دهد، از جمله سرویس‌هایی که فراموش کرده‌اید فعال‌اند. ارسال باریک یک درگاه را به اینترنت نمایان می‌کند و همچنان به احراز هویت خود برنامه نیاز دارد. مسیر خصوصی هیچ چیز را علنی نمایان نمی‌کند، به بهای نیاز به تونل پیش از دسترسی.

راحتی در اینجا تعیین‌کننده نیست، چون گزینه راحت همان گزینه‌ای است که آشکارا شکست می‌خورد. اگر Mac فقط به بیرون وصل شود، تعداد درست منافذ ورودی صفر است و آن جمله ارزش دارد پیش از باز کردن یک درگاه دو بار خوانده شود. انتخاب غیر از این یعنی پذیرفتن مواجهه‌ای که به آن نیاز ندارید. آن مواجهه را بنویسید و انتخاب معمولاً خودش را حل می‌کند.

ارسال همه‌چیز را بدون قطعی جایگزین کنید

جایگزینی ارسال همه‌چیز پیش از آنکه تغییری در دیوار آتش باشد، تمرینی برای فهرست‌برداری است. دریابید کدام سرویس مشروع اکنون به قاعده گسترده وابسته است و تأیید کنید که جایگزین برای هر یک کار می‌کند. سپس ورودی DMZ را بردارید و فقط قاعده باریک یا دسترسی خصوصی را که طراحی می‌خواهد اضافه کنید. باز گذاشتن هر دو ورودی در زمان گذار همان راهی است که یک راه‌حل موقت دائمی می‌شود.

دیوار آتش میزبان و احراز هویت خود سرویس را صرف‌نظر از مسیر سر جایشان نگه دارید. تونل انتقال را محافظت می‌کند، نه یک شنونده عمومی را که تصادفاً روی همان ماشین است. نگهداری و به‌روزرسانی همچنان تعیین می‌کند که سرویس ایمن است یا نه، و یک به‌روزرسانی فریم‌ور می‌تواند بی‌صدا تغییر دهد که قاعده گسترده چه چیزی را راه می‌دهد. مستندات سازنده برای قابلیت میزبان DMZ همان را درباره مواجهه با کلمات کمتری می‌گوید.