DMZ-Host um Router oder privaten Zougang: wat passt zu engem Mac?

D’Astellunge vum DMZ-Host op engem Heemrouter kléngt wéi eng Sécherheetszon a behëlt sech wéi eng Weiderleitung vun allem. Alles, wat aus dem Internet kënnt a mat kengem aneren Regel iwwerenee gestëmmt huet, gëtt op déi gewielte LAN-Adress geschéckt. Dat ass eng Ofkierzung, fir en erakommende Service ze bedreiwen, net en Entworf, fir ee Mac privat z’erreechen. Vergläicht en mat enger enker Regel oder engem private Wee, ier Dir en aktivéiert.

Wat d’DMZ-Astellung wierklech mécht

Bei de meeschte Konsumentefirmwares heescht d’Etikett genee eng Saach: net passend erakommend Verkéier gëtt op den ernannte Host weidergeleet. Et schaaft keen eegene Subnetz, keng Firewallzon an och keng Isolatiounsgrenz. De gewielte Computer kritt alles, mat deem den Router net wousst, wat en ufänke soll.

Dofir ass d’Astellung sou effektiv beim Reparéiere vun engem futtige Service an sou schwaach beim Begrenze vu wat nach kënnt. Den Router mécht dat, wat him gesot gouf, breet. Näischt an der Firmware trennt d’Ufro, déi Dir wollt, vun där, déi Dir net wollt.

Dräi Mac-Rollen, dräi viischt Dieren

Lëscht op, wat den Mac wierklech mécht, ier Dir eppes opmaacht. E Client, dee no bausse telefoniéiert, brauch guer keng erakommend Regel. E Server brauch säin eegene Lauschterer, seng eegen Authentifikatioun an eng enk Transportschicht. En Ziel fir d’Bildschiirmdeele brauch e private Wee plus d’Lëscht vun den erlaabten Notzer vum Service. Dat sinn dräi verschidden Entwërf, an d’DMZ-Astellung passt zu kengem dovun.

sudo lsof -nP -iTCP -sTCP:LISTEN

Fouert dat um Mac aus an liest d’Lëscht. Wann näischt lauschtert, da wäert keng erakommend Regel e Service erschéngen loossen.

Vergläicht d’Expositioun, net de Komfort

Eng Weiderleitung vun allem vergréissert d’Ugriffsfläch op all Port, deen den Mac exponéiert, och Services, déi Dir vergiess hutt anzeschalten. Eng enk Weiderleitung exponéiert ee Port op d’Internet an brauch nach ëmmer d’eegen Authentifikatioun vun der Applikatioun. E private Wee exponéiert näischt ëffentlech, op Käschte vun engem Tunnel virum Zougang.

De Komfort ass hei net deen entscheedenden Punkt, well déi bequem Optioun déi ass, déi op oppe Manéier feelt. Wann den Mac just no bausse verbënnt, ass déi richteg Zuel vun erakommenden Ëffnungen null, an dee Saz verdéngt et, zweemol gelies ze ginn, ier Dir en Port opmaacht. Anescht ze wielen heescht eng Expositioun ze akzeptéieren, déi Dir net braucht. Schreift déi Expositioun op an d’Wiel entscheet sech meeschtens selwer.

Ersetzt d’Weiderleitung vun allem ouni Ënnerbriechung

D’Weiderleitung vun allem ze ersetzen ass eng Inventarübung, ier et eng Firewallännerung ass. Fënnt eraus, wéi ee legitime Service de Moment vun der breeder Regel ofhänkt, a bestätegt, datt den Ersatz fir jiddereen funktionéiert. Dann huelt den DMZ-Agang erof a füügt just déi enk Regel oder de private Zougang bäi, deen den Entworf verlaangt. Béid Entréen opzeloossen, ass de Wee, wéi eng temporär Léisung permanent gëtt.

Hält d’Firewall vum Host an d’eegen Authentifikatioun vum Service op hire Plazen, egal wéi de Wee ass. En Tunnel schützt den Transport, net en ëffentleche Lauschterer, deen zoufälleg op der selwechter Maschinn sëtzt. Ënnerhalt an Updates entscheeden nach ëmmer, ob de Service sécher ass, an e Firmware-Update kann onbemierkt änneren, wat déi breet Regel erakënnt. D’Dokumentatioun vum Hiersteller fir d’DMZ-Hostfunktioun seet datselwecht iwwer d’Expositioun, mat manner Wierder.