DMZ-gazda a routeren vagy privát hozzáférés: melyik illik egy Machez?

A DMZ-gazda beállítás egy otthoni routeren biztonsági zónának hangzik, és úgy viselkedik, mint mindent elkapó továbbítás. Minden, ami az internetről érkezik és egyetlen más szabályhoz sem illeszkedett, a kiválasztott LAN-címre kerül. Ez gyors út egy bejövő szolgáltatás működéséhez, nem egy Mac privát elérésének terve. Hasonlítsa össze egy szűk szabállyal vagy egy privát úttal, mielőtt engedélyezi.

Mit tesz valójában a DMZ-beállítás

A legtöbb fogyasztói firmware-ben a címke pontosan egy dolgot jelent: a nem illeszkedő bejövő forgalom a kijelölt gazdához továbbítódik. Nem hoz létre külön alhálózatot, tűzfalzónát vagy elkülönítési határt. A kiválasztott számítógép mindent megkap, amivel a router nem tudta, mihez kezdjen.

Ezért olyan hatékony a beállítás a hibás szolgáltatás javításában, és olyan gyenge annak korlátozásában, ami más még érkezik. A router széles értelemben azt teszi, amit mondtak neki. Semmi a firmware-ben nem választja el a kért kérést attól, amelyet nem kért.

Három Mac-szerep, három előajtó

Sorolja fel, mit tesz valójában a Mac, mielőtt bármit megnyit. A kifelé tárcsázó kliensnek egyáltalán nincs szüksége bejövő szabályra. A kiszolgálónak saját figyelőre, saját hitelesítésre és szűk átvitelre van szüksége. A képernyőmegosztási célnak privát útra és a szolgáltatás engedélyezett felhasználói listájára van szüksége. Ezek három különböző terv, és a DMZ-beállítás egyikhez sem illik jól.

sudo lsof -nP -iTCP -sTCP:LISTEN

Futtassa ezt a Macen, és olvassa el a listát. Ha semmi nem figyel, egyetlen bejövő szabály sem fog szolgáltatást megjeleníteni.

Hasonlítsa össze a kitettséget, ne a kényelmet

A mindent elkapó továbbítás megnöveli a támadási felületet minden portra, amelyet a Mac felfed, beleértve azokat a szolgáltatásokat, amelyekről elfelejtette, hogy engedélyezve vannak. A szűk továbbítás egy portot tesz elérhetővé az internet felé, és még mindig szükség van az alkalmazás saját hitelesítésére. A privát út semmit nem tesz nyilvánosan elérhetővé, cserébe a hozzáférés előtti alagutat követeli meg.

A kényelem itt nem dönt, mert a kényelmes lehetőség az is, amely nyíltan meghibásodik. Ha a Mac csak kifelé csatlakozik, a helyes bejövő nyílások száma nulla, és ezt a mondatot érdemes kétszer elolvasni egy port megnyitása előtt. Más választása annak elfogadását jelenti, amire nincs szüksége. Írja le ezt a kitettséget, és a választás általában magától eldől.

Cserélje le a mindent elkapó továbbítást kiesés nélkül

A mindent elkapó továbbítás lecserélése leltározási gyakorlat, mielőtt tűzfalváltozás lenne. Derítse ki, melyik legitim szolgáltatás függ jelenleg a széles szabálytól, és erősítse meg, hogy a helyettesítő mindegyiknél működik. Ezután távolítsa el a DMZ-bejegyzést, és csak a tervezet által igényelt szűk szabályt vagy privát hozzáférést adja hozzá. Mindkét bejárat nyitva hagyása az átmenet alatt az, ahogyan egy ideiglenes kerülőút állandóvá válik.

Tartsa helyén a gazda tűzfalát és a szolgáltatás saját hitelesítését, függetlenül az úttól. Az alagút az átvitelt védi, nem egy nyilvános figyelőt, amely véletlenül ugyanazon a gépen ül. A karbantartás és a frissítések továbbra is eldöntik, hogy a szolgáltatás biztonságos-e, és egy firmware-frissítés csendesen megváltoztathatja, mit enged be a széles szabály. A gyártó dokumentációja a DMZ-gazda funkcióról ugyanezt mondja a kitettségről, kevesebb szóval.