Host DMZ del router o accesso privato: quale si adatta a un Mac?

L’impostazione host DMZ su un router domestico suona come una zona di sicurezza e si comporta come un inoltro di tutto. Tutto ciò che arriva da internet e non corrispondeva a un’altra regola viene inviato all’indirizzo LAN scelto. È una scorciatoia per far funzionare un servizio in ingresso, non un progetto per raggiungere un Mac in privato. Confrontatela con una regola stretta o un percorso privato prima di attivarla.

Che cosa fa davvero l’impostazione DMZ

Nella maggior parte dei firmware consumer l’etichetta significa esattamente una cosa: il traffico in ingresso non corrispondente viene inoltrato all’host designato. Non crea una sottorete separata, una zona del firewall né un confine di isolamento. Il computer scelto riceve tutto ciò con cui il router non sapeva cosa fare.

Per questo l’impostazione è così efficace nel riparare un servizio rotto e così scarsa nel limitare che cos’altro arriva. Il router fa ciò che gli è stato detto, in senso ampio. Nulla nel firmware separa la richiesta che volevate da quella che non volevate.

Tre ruoli del Mac, tre porte d’ingresso

Elencate che cosa fa davvero il Mac prima di aprire qualcosa. Un client che chiama verso l’esterno non ha bisogno di alcuna regola in ingresso. Un server ha bisogno del proprio ascoltatore, della propria autenticazione e di un trasporto stretto. Una destinazione di condivisione schermo ha bisogno di un percorso privato più l’elenco degli utenti consentiti del servizio. Sono tre progetti diversi, e l’impostazione DMZ non si adatta bene a nessuno di essi.

sudo lsof -nP -iTCP -sTCP:LISTEN

Eseguitelo sul Mac e leggete l’elenco. Se niente è in ascolto, nessuna regola in ingresso farà comparire un servizio.

Confrontate l’esposizione, non la comodità

Un inoltro di tutto amplia la superficie d’attacco a ogni porta che il Mac espone, compresi i servizi che avete dimenticato di avere attivato. Un inoltro stretto espone una porta a internet e ha comunque bisogno dell’autenticazione propria dell’applicazione. Un percorso privato non espone nulla pubblicamente, al costo di richiedere il tunnel prima dell’accesso.

La comodità non è l’arbitro qui, perché l’opzione comoda è anche quella che fallisce aperta. Se il Mac si connette solo verso l’esterno, il numero corretto di aperture in ingresso è zero, e quella frase merita di essere letta due volte prima di aprire una porta. Scegliere il contrario significa accettare un’esposizione di cui non avete bisogno. Annotate quell’esposizione e la scelta di solito si risolve da sola.

Sostituite l’inoltro di tutto senza interruzioni

Sostituire l’inoltro di tutto è un esercizio di inventario prima che un cambiamento del firewall. Scoprite quale servizio legittimo dipende attualmente dalla regola ampia e confermate che il sostituto funziona per ciascuno. Poi rimuovete la voce DMZ e aggiungete solo la regola stretta o l’accesso privato che il progetto richiede. Lasciare entrambi gli ingressi aperti durante la transizione è il modo in cui una soluzione temporanea diventa permanente.

Mantenete il firewall dell’host e l’autenticazione propria del servizio al loro posto qualunque sia il percorso. Un tunnel protegge il trasporto, non un ascoltatore pubblico che si trova per caso sulla stessa macchina. Manutenzione e aggiornamenti decidono ancora se il servizio è sicuro, e un aggiornamento del firmware può cambiare silenziosamente ciò che la regola ampia lascia entrare. La documentazione del produttore per la funzione host DMZ dice altrettanto sull’esposizione, con meno parole.