राउटर पर DMZ होस्ट बनाम निजी पहुँच: कौन-सा Mac के लिए उपयुक्त है?

घरेलू राउटर पर DMZ होस्ट सेटिंग सुरक्षा क्षेत्र जैसी सुनाई देती है और सब कुछ पकड़ लेने वाले फ़ॉरवर्ड की तरह व्यवहार करती है। इंटरनेट से आने वाला हर वह डेटा जो किसी अन्य नियम से मेल नहीं खाया, चुने गए LAN पते पर भेज दिया जाता है। यह किसी आने वाली सेवा को चलाने का छोटा रास्ता है, एक Mac तक निजी रूप से पहुँचने का डिज़ाइन नहीं। सक्षम करने से पहले इसकी तुलना किसी संकीर्ण नियम या निजी मार्ग से करें।

DMZ सेटिंग वास्तव में क्या करती है

अधिकांश उपभोक्ता फ़र्मवेयर में यह लेबल ठीक एक बात कहता है: बेमेल आने वाला ट्रैफ़िक नामित होस्ट पर फ़ॉरवर्ड कर दिया जाता है। यह अलग सबनेट, फ़ायरवॉल ज़ोन या अलगाव सीमा नहीं बनाता। चुना गया कंप्यूटर वह सब प्राप्त करता है जिसके साथ राउटर नहीं जानता था कि क्या करना है।

इसीलिए सेटिंग टूटी सेवा ठीक करने में इतनी प्रभावी और और क्या आता है उसे सीमित करने में इतनी कमज़ोर है। राउटर व्यापक रूप से वही कर रहा है जो उसे कहा गया। फ़र्मवेयर में कुछ भी उस माँग को जो आप चाहते थे, उससे नहीं अलग करता जो आप नहीं चाहते थे।

तीन Mac भूमिकाएँ, तीन सामने के दरवाज़े

कुछ भी खोलने से पहले सूची बनाएँ कि Mac वास्तव में क्या करता है। बाहर डायल करने वाले क्लाइंट को किसी भी आने वाले नियम की ज़रूरत नहीं है। सर्वर को अपना श्रोता, अपना प्रमाणीकरण और एक संकीर्ण परिवहन चाहिए। स्क्रीन साझा करने के लक्ष्य को निजी मार्ग के साथ-साथ सेवा की अनुमत उपयोगकर्ता सूची चाहिए। ये तीन अलग डिज़ाइन हैं, और DMZ सेटिंग इनमें से किसी के लिए भी अच्छी तरह उपयुक्त नहीं है।

sudo lsof -nP -iTCP -sTCP:LISTEN

इसे Mac पर चलाएँ और सूची पढ़ें। यदि कुछ भी सुन नहीं रहा है, तो कोई भी आने वाला नियम सेवा को नहीं दिखाएगा।

जोखिम की तुलना करें, सुविधा की नहीं

सब कुछ पकड़ लेने वाला फ़ॉरवर्ड Mac द्वारा खोले गए हर पोर्ट तक हमले की सतह बढ़ाता है, उन सेवाओं सहित जिन्हें आप सक्षम करना भूल गए थे। संकीर्ण फ़ॉरवर्ड एक पोर्ट को इंटरनेट पर खोलता है और फिर भी अनुप्रयोग के अपने प्रमाणीकरण की ज़रूरत होती है। निजी मार्ग सार्वजनिक रूप से कुछ भी नहीं खोलता, पर पहुँच से पहले टनल की माँग करता है।

यहाँ सुविधा निर्णायक नहीं है, क्योंकि सुविधाजनक विकल्प वही है जो खुलकर विफल होता है। यदि Mac केवल बाहर ही जुड़ता है, तो आने वाले खुलने की सही संख्या शून्य है, और पोर्ट खोलने से पहले वह वाक्य दो बार पढ़ने योग्य है। अन्यथा चुनने का अर्थ है ऐसा जोखिम स्वीकारना जिसकी आपको ज़रूरत नहीं है। वह जोखिम लिख लें और चुनाव प्रायः स्वयं हल हो जाता है।

बिना रुकावट के सब कुछ पकड़ने वाले फ़ॉरवर्ड को बदलें

सब कुछ पकड़ने वाले फ़ॉरवर्ड को बदलना फ़ायरवॉल बदलाव बनने से पहले एक सूची-कार्य है। पता करें कि कौन-सी वैध सेवा अभी चौड़े नियम पर निर्भर है, और पुष्टि करें कि प्रतिस्थापन हर एक के लिए काम करता है। फिर DMZ प्रविष्टि हटाएँ और केवल वही संकीर्ण नियम या निजी पहुँच जोड़ें जो डिज़ाइन माँगता है। संक्रमण के दौरान दोनों प्रवेश खुले रखना ही अस्थायी उपाय के स्थायी होने का तरीका है।

मार्ग कोई भी हो, होस्ट फ़ायरवॉल और सेवा का अपना प्रमाणीकरण अपनी जगह रखें। टनल परिवहन की रक्षा करता है, उस सार्वजनिक श्रोता की नहीं जो संयोग से उसी मशीन पर बैठा है। रखरखाव और अद्यतन अब भी तय करते हैं कि सेवा सुरक्षित है या नहीं, और एक फ़र्मवेयर अद्यतन चुपचाप बदल सकता है कि चौड़ा नियम क्या भीतर आने देता है। निर्माता का दस्तावेज़ DMZ होस्ट सुविधा के बारे में कम शब्दों में उतना ही कहता है।