Host DMZ pada router versus akses privat: mana yang cocok untuk Mac?

Pengaturan host DMZ pada router rumah terdengar seperti zona keamanan dan berperilaku seperti penerusan semua hal. Apa pun yang datang dari internet dan tidak cocok dengan aturan lain dikirim ke alamat LAN yang dipilih. Ini jalan pintas agar layanan masuk berfungsi, bukan rancangan untuk menjangkau satu Mac secara privat. Bandingkan dengan aturan sempit atau jalur privat sebelum mengaktifkannya.

Apa yang sebenarnya dilakukan pengaturan DMZ

Pada sebagian besar firmware konsumen label itu berarti tepat satu hal: lalu lintas masuk yang tidak cocok diteruskan ke host yang ditunjuk. Ini tidak membuat subnet terpisah, zona firewall, atau batas isolasi. Komputer yang dipilih menerima semua yang tidak diketahui router harus diapakan.

Itulah sebabnya pengaturan ini begitu efektif memperbaiki layanan yang rusak dan begitu buruk membatasi apa lagi yang datang. Router melakukan apa yang diperintahkan, secara luas. Tidak ada apa pun di firmware yang memisahkan permintaan yang Anda inginkan dari yang tidak Anda inginkan.

Tiga peran Mac, tiga pintu depan

Daftar apa yang sebenarnya dilakukan Mac sebelum membuka apa pun. Klien yang menelepon keluar tidak memerlukan aturan masuk sama sekali. Server memerlukan pendengarnya sendiri, autentikasinya sendiri, dan transportasi sempit. Target berbagi layar memerlukan jalur privat plus daftar pengguna yang diizinkan layanan. Itu tiga rancangan berbeda, dan pengaturan DMZ tidak cocok untuk satu pun dengan baik.

sudo lsof -nP -iTCP -sTCP:LISTEN

Jalankan itu di Mac dan baca daftarnya. Jika tidak ada yang mendengarkan, tidak ada aturan masuk yang akan membuat layanan muncul.

Bandingkan paparannya, bukan kemudahannya

Penerusan semua hal memperbesar permukaan serangan ke setiap port yang dipaparkan Mac, termasuk layanan yang Anda lupa telah diaktifkan. Penerusan sempit memaparkan satu port ke internet dan tetap memerlukan autentikasi aplikasi itu sendiri. Jalur privat tidak memaparkan apa pun secara publik, dengan biaya mewajibkan terowongan sebelum akses.

Kemudahan bukan penentu di sini, karena opsi yang mudah juga yang gagal secara terbuka. Jika Mac hanya terhubung ke luar, jumlah bukaan masuk yang benar adalah nol, dan kalimat itu layak dibaca dua kali sebelum membuka port. Memilih sebaliknya berarti menerima paparan yang tidak Anda butuhkan. Tuliskan paparan itu dan pilihan biasanya menyelesaikan dirinya sendiri.

Ganti penerusan semua hal tanpa pemadaman

Mengganti penerusan semua hal adalah latihan inventaris sebelum menjadi perubahan firewall. Cari tahu layanan sah mana yang saat ini bergantung pada aturan luas itu, dan pastikan penggantinya berfungsi untuk masing-masing. Lalu hapus entri DMZ dan tambahkan hanya aturan sempit atau akses privat yang dibutuhkan rancangan. Membiarkan kedua pintu masuk terbuka selama transisi adalah cara solusi sementara menjadi permanen.

Pertahankan firewall host dan autentikasi layanan itu sendiri di tempatnya apa pun jalurnya. Terowongan melindungi transportasi, bukan pendengar publik yang kebetulan berada di mesin yang sama. Pemeliharaan dan pembaruan tetap menentukan apakah layanan aman, dan pembaruan firmware dapat diam-diam mengubah apa yang diizinkan aturan luas. Dokumentasi produsen untuk fitur host DMZ mengatakan hal yang sama tentang paparan, dengan lebih sedikit kata.