Hôte DMZ du routeur ou accès privé : lequel convient à un Mac ?

Le réglage d’hôte DMZ d’un routeur domestique ressemble à une zone de sécurité et se comporte comme un transfert de tout. Tout ce qui arrive d’Internet et qu’aucune autre règle n’a apparié est envoyé à l’adresse LAN choisie. C’est un raccourci pour faire fonctionner un service entrant, pas une conception pour atteindre un Mac en privé. Comparez-le à une règle étroite ou à un chemin privé avant de l’activer.

Ce que fait vraiment le réglage DMZ

Sur la plupart des micrologiciels grand public, le libellé signifie exactement une chose : le trafic entrant non apparié est transféré vers l’hôte désigné. Il ne crée pas de sous-réseau séparé, de zone de pare-feu ni de limite d’isolation. L’ordinateur choisi reçoit tout ce avec quoi le routeur ne savait pas quoi faire.

C’est pourquoi le réglage est si efficace pour réparer un service cassé et si mauvais pour limiter ce qui arrive d’autre. Le routeur fait ce qu’on lui a dit, au sens large. Rien dans le micrologiciel ne sépare la requête que vous vouliez de celle que vous ne vouliez pas.

Trois rôles de Mac, trois portes d’entrée

Énumérez ce que le Mac fait réellement avant d’ouvrir quoi que ce soit. Un client qui compose vers l’extérieur n’a besoin d’aucune règle entrante. Un serveur a besoin de son propre écouteur, de sa propre authentification et d’un transport étroit. Une cible de partage d’écran a besoin d’un chemin privé plus la liste des utilisateurs autorisés du service. Ce sont trois conceptions différentes, et le réglage DMZ ne convient bien à aucune d’elles.

sudo lsof -nP -iTCP -sTCP:LISTEN

Exécutez cela sur le Mac et lisez la liste. Si rien n’écoute, aucune règle entrante ne fera apparaître un service.

Comparez l’exposition, pas la commodité

Un transfert de tout agrandit la surface d’attaque à chaque port que le Mac expose, y compris les services que vous avez oublié d’activer. Un transfert étroit expose un port à Internet et a encore besoin de l’authentification propre à l’application. Un chemin privé n’expose rien publiquement, au prix d’exiger le tunnel avant l’accès.

La commodité n’est pas l’arbitre ici, car l’option commode est aussi celle qui échoue ouverte. Si le Mac ne se connecte que vers l’extérieur, le nombre correct d’ouvertures entrantes est zéro, et cette phrase mérite d’être lue deux fois avant d’ouvrir un port. Choisir autrement signifie accepter une exposition dont vous n’avez pas besoin. Notez cette exposition et le choix se fait généralement de lui-même.

Remplacez le transfert de tout sans coupure

Remplacer le transfert de tout est un exercice d’inventaire avant d’être un changement de pare-feu. Découvrez quel service légitime dépend actuellement de la règle large, et confirmez que le remplacement fonctionne pour chacun. Retirez ensuite l’entrée DMZ et n’ajoutez que la règle étroite ou l’accès privé que la conception exige. Laisser les deux entrées ouvertes pendant la transition, c’est ainsi qu’un contournement temporaire devient permanent.

Gardez le pare-feu de l’hôte et l’authentification propre au service en place quel que soit le chemin. Un tunnel protège le transport, pas un écouteur public qui se trouve sur la même machine. La maintenance et les mises à jour décident encore si le service est sûr, et une mise à jour du micrologiciel peut modifier discrètement ce que la règle large laisse passer. La documentation du fabricant pour la fonction d’hôte DMZ en dit autant sur l’exposition, en moins de mots.