Reitittimen DMZ-isäntä vai yksityinen pääsy: kumpi sopii Macille?

Kotireitittimen DMZ-isäntä-asetus kuulostaa turvavyöhykkeeltä ja käyttäytyy kuin kaiken välittävä reitti. Kaikki internetistä saapuva, joka ei vastannut mitään muuta sääntöä, lähetetään valittuun LAN-osoitteeseen. Se on oikotie saapuvan palvelun toimintaan, ei suunnitelma yhden Macin yksityiseen tavoittamiseen. Vertaa sitä kapeaan sääntöön tai yksityiseen polkuun ennen kuin otat sen käyttöön.

Mitä DMZ-asetus todella tekee

Useimmissa kuluttajalaitteiden ohjelmistoissa merkintä tarkoittaa täsmälleen yhtä asiaa: täsmäämätön saapuva liikenne välitetään nimettyyn isäntään. Se ei luo erillistä aliverkkoa, palomuurivyöhykettä tai eristysrajaa. Valittu tietokone vastaanottaa kaiken, minkä kanssa reititin ei tiennyt, mitä tehdä.

Siksi asetus on niin tehokas rikkinäisen palvelun korjaamisessa ja niin huono rajaamaan, mitä muuta saapuu. Reititin tekee laajasti sen, mitä sille on sanottu. Mikään laiteohjelmistossa ei erota pyyntöä, jonka halusit, siitä, jota et halunnut.

Kolme Macin roolia, kolme etuovea

Listaa, mitä Mac todella tekee ennen kuin avaat mitään. Ulospäin soittava asiakas ei tarvitse lainkaan saapuvaa sääntöä. Palvelin tarvitsee oman kuuntelijansa, oman todennuksensa ja kapean siirron. Näytönjakokohde tarvitsee yksityisen polun sekä palvelun sallittujen käyttäjien luettelon. Nämä ovat kolme eri suunnitelmaa, eikä DMZ-asetus sovi hyvin yhteenkään niistä.

sudo lsof -nP -iTCP -sTCP:LISTEN

Suorita se Macilla ja lue luettelo. Jos mitään ei kuuntele, mikään saapuva sääntö ei saa palvelua ilmestymään.

Vertaa altistumista, älä mukavuutta

Kaiken välittäminen suurentaa hyökkäyspintaa jokaiseen porttiin, jonka Mac paljastaa, mukaan lukien palvelut, jotka unohdit olevan käytössä. Kapea välitys paljastaa yhden portin internettiin ja tarvitsee silti sovelluksen oman todennuksen. Yksityinen polku ei paljasta mitään julkisesti, mutta vaatii tunnelin ennen pääsyä.

Mukavuus ei ratkaise tässä, koska mukava vaihtoehto on myös se, joka epäonnistuu avoimesti. Jos Mac yhdistää vain ulospäin, oikea saapuvien aukkojen määrä on nolla, ja tuo lause kannattaa lukea kahdesti ennen portin avaamista. Toisin valitseminen tarkoittaa sellaisen altistumisen hyväksymistä, jota et tarvitse. Kirjoita se altistuminen ylös, ja valinta ratkeaa yleensä itsestään.

Korvaa kaiken välitys ilman katkoa

Kaiken välityksen korvaaminen on inventaarioharjoitus ennen kuin se on palomuurimuutos. Selvitä, mikä laillinen palvelu tällä hetkellä riippuu laajasta säännöstä, ja vahvista, että korvaava toimii jokaiselle. Poista sitten DMZ-merkintä ja lisää vain kapea sääntö tai yksityinen pääsy, jonka suunnitelma vaatii. Molempien sisäänkäyntien avoimeksi jättäminen siirtymän aikana on tapa, jolla väliaikainen kiertotie muuttuu pysyväksi.

Pidä isännän palomuuri ja palvelun oma todennus paikallaan polusta riippumatta. Tunneli suojaa siirtoa, ei julkista kuuntelijaa, joka sattuu olemaan samalla koneella. Ylläpito ja päivitykset ratkaisevat edelleen, onko palvelu turvallinen, ja laiteohjelmistopäivitys voi hiljaa muuttaa, mitä laaja sääntö päästää sisään. Valmistajan dokumentaatio DMZ-isäntä-ominaisuudesta sanoo saman altistumisesta vähemmillä sanoilla.