라우터 DMZ 호스트와 사설 액세스: Mac에 맞는 쪽은?

가정용 라우터의 DMZ 호스트 설정은 보안 영역처럼 들리지만 모든 것을 넘기는 전달처럼 동작합니다. 인터넷에서 들어오는데 다른 어떤 규칙과도 일치하지 않는 모든 것은 선택한 LAN 주소로 전송됩니다. 이것은 인바운드 서비스를 작동시키는 지름길이며, Mac 한 대에 사설로 접근하기 위한 설계가 아닙니다. 활성화하기 전에 좁은 규칙이나 사설 경로와 비교해 보세요.

DMZ 설정이 실제로 하는 일

대부분의 소비자용 펌웨어에서 이 레이블은 정확히 한 가지를 뜻합니다: 일치하지 않는 인바운드 트래픽이 지정된 호스트로 전달됩니다. 별도의 서브넷, 방화벽 영역, 격리 경계를 만들지는 않습니다. 선택된 컴퓨터는 라우터가 어떻게 해야 할지 몰랐던 모든 것을 받습니다.

그래서 이 설정은 고장 난 서비스를 고치는 데는 매우 효과적이고, 다른 무엇이 들어오는지를 제한하는 데는 매우 취약합니다. 라우터는 넓은 의미에서 시킨 대로 하고 있습니다. 펌웨어에는 원했던 요청과 원하지 않았던 요청을 구분하는 것이 없습니다.

세 가지 Mac 역할, 세 개의 정문

무엇이든 열기 전에 Mac이 실제로 무엇을 하는지 나열하세요. 밖으로 연결하는 클라이언트는 인바운드 규칙이 전혀 필요 없습니다. 서버는 자체 리스너, 자체 인증, 좁은 전송이 필요합니다. 화면 공유 대상은 사설 경로와 서비스의 허용 사용자 목록이 필요합니다. 이들은 서로 다른 세 가지 설계이며, DMZ 설정은 어느 쪽에도 잘 맞지 않습니다.

sudo lsof -nP -iTCP -sTCP:LISTEN

그것을 Mac에서 실행하고 목록을 읽으세요. 만약 아무것도 수신하고 있지 않다면, 어떤 인바운드 규칙도 서비스를 나타나게 하지 못합니다.

편의가 아니라 노출을 비교하세요

모든 것을 넘기는 전달은 활성화한 것을 잊은 서비스까지 포함해 Mac이 노출하는 모든 포트로 공격 표면을 넓힙니다. 좁은 전달은 포트 하나를 인터넷에 노출하며 여전히 애플리케이션 자체의 인증이 필요합니다. 사설 경로는 공개적으로 아무것도 노출하지 않지만, 액세스 전에 터널을 요구합니다.

편리한 선택은 동시에 열린 채 실패하는 선택이기도 하므로, 여기서 편의는 결정 요인이 아닙니다. Mac이 밖으로만 연결한다면 인바운드 개구부의 올바른 수는 영이며, 그 문장은 포트를 열기 전에 두 번 읽을 가치가 있습니다. 그렇지 않게 선택하는 것은 필요 없는 노출을 받아들이는 것입니다. 그 노출을 적어 두면 선택은 대개 스스로 정해집니다.

중단 없이 모든 것을 넘기는 전달을 교체하세요

모든 것을 넘기는 전달을 교체하는 것은 방화벽 변경이 되기 전의 재고 조사 작업입니다. 어떤 정당한 서비스가 현재 넓은 규칙에 의존하는지 찾아내고, 대체가 각각에 대해 작동하는지 확인하세요. 그런 다음 DMZ 항목을 제거하고 설계가 요구하는 좁은 규칙이나 사설 액세스만 추가하세요. 전환 중에 두 입구를 모두 열어 두는 것이 임시 우회책이 영구화되는 길입니다.

경로와 상관없이 호스트 방화벽과 서비스 자체의 인증을 그대로 두세요. 터널이 보호하는 것은 전송이며, 같은 머신에 우연히 놓인 공개 리스너가 아닙니다. 유지보수와 업데이트가 여전히 서비스의 안전을 결정하며, 펌웨어 업데이트는 넓은 규칙이 통과시키는 것을 조용히 바꿀 수 있습니다. 제조사 문서도 DMZ 호스트 기능에 대해 더 적은 말로 같은 내용을 전합니다.