מארח DMZ בנתב לעומת גישה פרטית: מה מתאים ל-Mac?

הגדרת מארח DMZ בנתב ביתי נשמעת כמו אזור אבטחה ומתנהגת כמו העברה של הכול. כל מה שמגיע מהאינטרנט ולא הותאם לשום כלל אחר נשלח לכתובת ה-LAN שנבחרה. זהו קיצור דרך לגרום לשירות נכנס לעבוד, לא תכנון להגיע ל-Mac אחד באופן פרטי. השוו אותו לכלל צר או לנתיב פרטי לפני שמפעילים אותו.

מה הגדרת DMZ באמת עושה

ברוב קושחות הצרכנים התווית אומרת בדיוק דבר אחד: תעבורה נכנסת שלא הותאמה מועברת למארח הנקוב. היא אינה יוצרת תת-רשת נפרדת, אזור חומת אש או גבול בידוד. המחשב שנבחר מקבל כל מה שהנתב לא ידע מה לעשות איתו.

לכן ההגדרה כל כך יעילה בתיקון שירות שבור וכל כך גרועה בהגבלת מה עוד מגיע. הנתב עושה את מה שנאמר לו, באופן רחב. שום דבר בקושחה לא מפריד בין הבקשה שרציתם לזו שלא רציתם.

שלושה תפקידי Mac, שלושה שערים קדמיים

רשמו מה ה-Mac באמת עושה לפני שפותחים משהו. לקוח שמחייג החוצה אינו זקוק לשום כלל נכנס. שרת זקוק למאזין משלו, לאימות משלו ולתעבורה צרה. יעד שיתוף מסך זקוק לנתיב פרטי בתוספת רשימת המשתמשים המורשים של השירות. אלה שלושה תכנונים שונים, והגדרת DMZ אינה מתאימה היטב לאף אחד מהם.

sudo lsof -nP -iTCP -sTCP:LISTEN

הריצו זאת ב-Mac וקראו את הרשימה. אם שום דבר לא מאזין, שום כלל נכנס לא יגרום לשירות להופיע.

השוו את החשיפה, לא את הנוחות

העברה של הכול מגדילה את משטח התקיפה לכל יציאה שה-Mac חושף, כולל שירותים ששכחתם שמופעלים. העברה צרה חושפת יציאה אחת לאינטרנט ועדיין זקוקה לאימות של היישום עצמו. נתיב פרטי אינו חושף דבר באופן ציבורי, במחיר של דרישת המנהרה לפני הגישה.

הנוחות אינה מכרעת כאן, מפני שהאפשרות הנוחה היא גם זו שנכשלת באופן פתוח. אם ה-Mac מתחבר רק החוצה, המספר הנכון של פתחים נכנסים הוא אפס, ומשפט זה שווה קריאה כפולה לפני פתיחת יציאה. בחירה אחרת פירושה קבלת חשיפה שאינכם צריכים. רשמו את החשיפה הזו והבחירה בדרך כלל מכריעה את עצמה.

החליפו את ההעברה של הכול בלי השבתה

החלפת ההעברה של הכול היא תרגיל מלאי לפני שהיא שינוי בחומת האש. גלו איזה שירות לגיטימי תלוי כיום בכלל הרחב, ואשרו שההחלפה עובדת לכל אחד. לאחר מכן הסירו את רשומת DMZ והוסיפו רק את הכלל הצר או הגישה הפרטית שהתכנון דורש. השארת שני הפתחים פתוחים במהלך המעבר היא הדרך שבה פתרון זמני הופך לקבוע.

השאירו את חומת האש של המארח ואת האימות של השירות עצמו במקומם יהיה הנתיב אשר יהיה. מנהרה מגנה על התעבורה, לא על מאזין ציבורי שבמקרה יושב על אותה מכונה. תחזוקה ועדכונים עדיין קובעים אם השירות בטוח, ועדכון קושחה יכול לשנות בשקט מה הכלל הרחב מכניס. התיעוד של היצרן עבור תכונת מארח DMZ אומר את אותו הדבר על חשיפה, בפחות מילים.