Host DMZ do router fronte ao acceso privado: cal encaixa cun Mac?

O axuste de host DMZ nun router doméstico soa a zona de seguridade e compórtase como un reenvío de todo. Todo o que chega de internet e non coincidiu con outra regra envíase ao enderezo LAN elixido. É un atallo para que funcione un servizo entrante, non un deseño para chegar a un Mac de forma privada. Compárao cunha regra estreita ou unha ruta privada antes de activalo.

Que fai realmente o axuste DMZ

Na maioría dos firmware de consumo a etiqueta significa exactamente unha cousa: o tráfico entrante non coincidente reenvíase ao host designado. Non crea unha subrede separada, unha zona de devasas nin un límite de illamento. O ordenador elixido recibe todo aquilo co que o router non sabía que facer.

Por iso o axuste é tan eficaz para arranxar un servizo roto e tan malo para limitar que máis chega. O router fai o que se lle dixo, en sentido amplo. Nada no firmware separa a solicitude que vostede quería da que non quería.

Tres roles do Mac, tres portas de entrada

Enumere o que o Mac fai realmente antes de abrir nada. Un cliente que marca cara a fóra non necesita ningunha regra entrante. Un servidor necesita o seu propio escoitador, a súa propia autenticación e un transporte estreito. Un destino de compartición de pantalla necesita unha ruta privada máis a lista de usuarios permitidos do servizo. Son tres deseños distintos, e o axuste DMZ non encaixa ben en ningún deles.

sudo lsof -nP -iTCP -sTCP:LISTEN

Executa iso no Mac e le a lista. Se non hai nada escoitando, ningunha regra entrante fará que apareza un servizo.

Compare a exposición, non a comodidade

Un reenvío de todo amplía a superficie de ataque a cada porto que o Mac expón, incluídos servizos que esqueceu que estaban activados. Un reenvío estreito expón un porto a internet e aínda necesita a autenticación propia da aplicación. Unha ruta privada non expón nada publicamente, a cambio de esixir o túnel antes do acceso.

A comodidade non é o desempate aquí, porque a opción cómoda é tamén a que falla aberta. Se o Mac só se conecta cara a fóra, o número correcto de aperturas entrantes é cero, e esa frase merece lerse dúas veces antes de abrir un porto. Elixir o contrario significa aceptar unha exposición que non necesita. Anote esa exposición e a elección adoita resolverse soa.

Substitúa o reenvío de todo sen cortes

Substituír o reenvío de todo é un exercicio de inventario antes que un cambio de devasas. Averigüe que servizo lexítimo depende agora da regra ampla e confirme que o substituto funciona para cada un. Despois quite a entrada DMZ e engada só a regra estreita ou o acceso privado que esixe o deseño. Deixar as dúas entradas abertas durante a transición é como unha solución temporal se volve permanente.

Manteña o devasas do host e a autenticación propia do servizo no seu sitio sexa cal sexa a ruta. Un túnel protexe o transporte, non un escoitador público que casualmente está na mesma máquina. O mantemento e as actualizacións seguen decidindo se o servizo é seguro, e unha actualización de firmware pode cambiar en silencio o que deixa pasar a regra ampla. A documentación do fabricante para a función de host DMZ di o mesmo sobre a exposición, con menos palabras.