როუტერის DMZ ჰოსტი თუ კერძო წვდომა: რომელი შეესაბამება Mac-ს?

სახლის როუტერზე DMZ ჰოსტის პარამეტრი უსაფრთხოების ზონას ჰგავს, მაგრამ ყველაფრის გადამცემად იქცევა. ყველაფერი, რაც ინტერნეტიდან მოდის და არცერთ სხვა წესს არ შეესაბამება, არჩეულ LAN მისამართზე იგზავნება. ეს შემომავალი სერვისის გასამართი მოკლე გზაა და არა ერთ Mac-ზე კერძოდ მისასვლელი პროექტი. სანამ ჩართავთ, შეადარეთ იგი ვიწრო წესს ან კერძო გზას.

რას აკეთებს DMZ პარამეტრი სინამდვილეში

მომხმარებლის firmware-ების უმეტესობაში ეტიკეტი ზუსტად ერთს ნიშნავს: შეუსაბამო შემომავალი ტრაფიკი დანიშნულ ჰოსტზე გადადის. ის არ ქმნის ცალკე ქვექსელს, ფაიერვოლის ზონას ან იზოლაციის საზღვარს. არჩეული კომპიუტერი იღებს ყველაფერს, რასაც როუტერი ვერ მიხვდა რა უნდა ექნა.

ამიტომ პარამეტრი იმდენად ეფექტურია გატეხილი სერვისის შეკეთებაში და იმდენად სუსტი იმის შეზღუდვაში, თუ კიდევ რა მოდის. როუტერი ფართოდ აკეთებს იმას, რაც უთხრეს. firmware-ში არაფერი ჰყოფს იმ მოთხოვნას, რომელიც გინდოდათ, იმისგან, რომელიც არ გინდოდათ.

სამი Mac როლი, სამი წინა კარი

ჩამოთვალეთ, რას აკეთებს Mac სინამდვილეში, სანამ რამეს გახსნით. გარეთ მომართველ კლიენტს შემომავალი წესი საერთოდ არ სჭირდება. სერვერს სჭირდება საკუთარი მსმენელი, საკუთარი ავთენტიფიკაცია და ვიწრო ტრანსპორტი. ეკრანის გაზიარების სამიზნეს სჭირდება კერძო გზა და სერვისის დაშვებული მომხმარებლების სია. ეს სამი განსხვავებული პროექტია და DMZ პარამეტრი არცერთ მათგანს კარგად არ შეესაბამება.

sudo lsof -nP -iTCP -sTCP:LISTEN

გაუშვით ეს Mac-ზე და წაიკითხეთ სია. თუ არაფერი ისმენს, ვერცერთი შემომავალი წესი ვერ გამოაჩენს სერვისს.

შეადარეთ გამოვლენა და არა კომფორტი

ყველაფრის გადაცემა ზრდის თავდასხმის ზედაპირს ყველა პორტამდე, რომელსაც Mac ამჟღავნებს, მათ შორის იმ სერვისებამდე, რომლებიც დაგავიწყდათ ჩართული იყო. ვიწრო გადაცემა ერთ პორტს ამჟღავნებს ინტერნეტისთვის და მაინც სჭირდება აპლიკაციის საკუთარი ავთენტიფიკაცია. კერძო გზა არაფერს ამჟღავნებს საჯაროდ, სამაგიეროდ მოითხოვს გვირაბს წვდომამდე.

კომფორტი აქ გადამწყვეტი არ არის, რადგან მოხერხებული ვარიანტი სწორედ ის არის, რომელიც ღიად ვარდება. თუ Mac მხოლოდ გარეთ უკავშირდება, შემომავალი ღიობების სწორი რაოდენობა ნულია და ეს წინადადება ორჯერ წაკითხვას ღირს, სანამ პორტს გახსნით. სხვაგვარად არჩევა ნიშნავს გამოვლენის მიღებას, რომელიც არ გჭირდებათ. ჩაწერეთ ეს გამოვლენა და არჩევანი, როგორც წესი, თავისით ცხადდება.

შეცვალეთ ყველაფრის გადაცემა შეფერხების გარეშე

ყველაფრის გადაცემის შეცვლა ინვენტარიზაციის ვარჯიშია, სანამ ფაიერვოლის ცვლილება გახდება. გაარკვიეთ, რომელი ლეგიტიმური სერვისია ახლა დამოკიდებული ფართო წესზე და დაადასტურეთ, რომ შემცვლელი თითოეულისთვის მუშაობს. შემდეგ წაშალეთ DMZ ჩანაწერი და დაამატეთ მხოლოდ ვიწრო წესი ან კერძო წვდომა, რომელსაც პროექტი მოითხოვს. გადასვლის დროს ორივე შესასვლელის ღიად დატოვება ის გზაა, რომლითაც დროებითი გვერდის ავლა მუდმივი ხდება.

შეინახეთ ჰოსტის ფაიერვოლი და სერვისის საკუთარი ავთენტიფიკაცია თავის ადგილზე, გზის მიუხედავად. გვირაბი იცავს ტრანსპორტს და არა საჯარო მსმენელს, რომელიც შემთხვევით იმავე მანქანაზეა. ტექნიკური მომსახურება და განახლებები მაინც წყვეტს, უსაფრთხოა თუ არა სერვისი, და firmware-ის განახლებამ შეიძლება ჩუმად შეცვალოს, რასაც ფართო წესი უშვებს. მწარმოებლის დოკუმენტაცია DMZ ჰოსტის ფუნქციაზე იგივეს ამბობს გამოვლენაზე, ნაკლები სიტყვებით.