DMZ host na usmjerivaču nasuprot privatnom pristupu: što odgovara Macu?

Postavka DMZ host na kućnom usmjerivaču zvuči kao sigurnosna zona, a ponaša se kao prosljeđivanje svega. Sve što dolazi s interneta i nije se podudaralo ni s jednim drugim pravilom šalje se na odabranu LAN adresu. To je prečac za pokretanje dolazne usluge, a ne dizajn za privatni pristup jednom Macu. Usporedite je s uskim pravilom ili privatnim putem prije nego što je omogućite.

Što postavka DMZ zapravo radi

Na većini potrošačkih firmwarea oznaka znači točno jedno: neusklađeni dolazni promet prosljeđuje se na imenovano računalo. Ne stvara zasebnu podmrežu, zonu vatrozida ni granicu izolacije. Odabrano računalo prima sve s čime usmjerivač nije znao što učiniti.

Zato je postavka tako djelotvorna u popravljanju pokvarene usluge i tako slaba u ograničavanju onoga što još pristiže. Usmjerivač radi ono što mu je rečeno, široko. Ništa u firmwareu ne razdvaja zahtjev koji ste željeli od onoga koji niste.

Tri uloge Maca, troja prednja vrata

Navedite što Mac zapravo radi prije nego što išta otvorite. Klijent koji zove prema van ne treba nikakvo dolazno pravilo. Poslužitelj treba vlastiti slušač, vlastitu autentifikaciju i uzak transport. Cilj dijeljenja zaslona treba privatni put plus popis dopuštenih korisnika usluge. To su tri različita dizajna i postavka DMZ ne odgovara dobro nijednom od njih.

sudo lsof -nP -iTCP -sTCP:LISTEN

Pokrenite to na Macu i pročitajte popis. Ako ništa ne sluša, nijedno dolazno pravilo neće učiniti da se usluga pojavi.

Usporedite izloženost, a ne praktičnost

Prosljeđivanje svega povećava napadnu površinu na svaki priključak koji Mac izlaže, uključujući usluge koje ste zaboravili da su omogućene. Usko prosljeđivanje izlaže jedan priključak internetu i još uvijek treba vlastitu autentifikaciju aplikacije. Privatni put ne izlaže ništa javno, ali zahtijeva tunel prije pristupa.

Praktičnost ovdje nije presudna, jer je praktična opcija upravo ona koja otvoreno zataji. Ako se Mac samo spaja prema van, ispravan broj dolaznih otvora je nula i tu rečenicu vrijedi dvaput pročitati prije otvaranja priključka. Odabrati suprotno znači prihvatiti izloženost koja vam ne treba. Zapišite tu izloženost i izbor se obično sam riješi.

Zamijenite prosljeđivanje svega bez prekida

Zamjena prosljeđivanja svega inventurno je vježbanje prije nego promjena vatrozida. Otkrijte koja legitimna usluga trenutačno ovisi o širokom pravilu i potvrdite da zamjena radi za svaku. Zatim uklonite unos DMZ i dodajte samo usko pravilo ili privatni pristup koji dizajn zahtijeva. Ostavljanje oba ulaza otvorenima tijekom prijelaza način je na koji privremeno rješenje postaje trajno.

Držite vatrozid računala i vlastitu autentifikaciju usluge na mjestu bez obzira na put. Tunel štiti prijenos, a ne javni slušač koji slučajno stoji na istom stroju. Održavanje i ažuriranja i dalje odlučuju je li usluga sigurna, a ažuriranje firmwarea može tiho promijeniti što široko pravilo propušta. Dokumentacija proizvođača za značajku DMZ host govori isto o izloženosti, u manje riječi.