Maršrutizatoriaus DMZ hostas ar privati prieiga: kas tinka Macui?

Namų maršrutizatoriaus DMZ hosto nustatymas skamba kaip saugos zona, o elgiasi kaip viską pagaunantis perdavimas. Viskas, kas ateina iš interneto ir neatitiko jokios kitos taisyklės, siunčiama į pasirinktą LAN adresą. Tai trumpiausias kelias, kad veiktų gaunama paslauga, o ne projektas privačiai pasiekti vieną Mac. Palyginkite jį su siaura taisykle ar privačiu keliu prieš jį įjungdami.

Ką iš tikrųjų daro DMZ nustatymas

Daugumoje vartotojiškos programinės įrangos etiketė reiškia tiksliai vieną dalyką: neatitinkantis gaunamas srautas perduodamas nurodytam hostui. Jis nesukuria atskiro potinklio, ugniasienės zonos ar izoliacijos ribos. Pasirinktas kompiuteris gauna viską, su kuo maršrutizatorius nežinojo, ką daryti.

Štai kodėl nustatymas toks veiksmingas taisant sugedusią paslaugą ir toks silpnas ribojant, kas dar ateina. Maršrutizatorius plačiai daro tai, kas jam pasakyta. Programinėje įrangoje niekas neatskiria užklausos, kurios norėjote, nuo tos, kurios nenorėjote.

Trys Mac vaidmenys, trejos priekinės durys

Išvardykite, ką Mac iš tikrųjų daro, prieš ką nors atidarydami. Klientui, kuris skambina į išorę, visai nereikia jokios gaunamos taisyklės. Serveriui reikia savo klausytuvo, savo autentifikacijos ir siauro transporto. Ekrano bendrinimo tikslui reikia privačaus kelio ir paslaugos leidžiamų vartotojų sąrašo. Tai trys skirtingi projektai, o DMZ nustatymas nė vienam iš jų gerai netinka.

sudo lsof -nP -iTCP -sTCP:LISTEN

Paleiskite tai Mac kompiuteryje ir perskaitykite sąrašą. Jei niekas neklauso, jokia gaunama taisyklė nepadarys, kad paslauga atsirastų.

Palyginkite poveikį, o ne patogumą

Visko perdavimas padidina atakos paviršių iki kiekvieno prievado, kurį Mac atskleidžia, įskaitant paslaugas, kurias pamiršote įjungti. Siauras perdavimas atskleidžia vieną prievadą internetui ir vis tiek reikia pačios programos autentifikacijos. Privatus kelias nieko viešai neatskleidžia, bet prieš prieigą reikalauja tunelio.

Čia patogumas nėra lemiamas, nes patogus variantas yra tas, kuris atvirai žlunga. Jei Mac jungiasi tik į išorę, teisingas gaunamų angų skaičius yra nulis, ir tą sakinį verta perskaityti du kartus prieš atidarant prievadą. Kitaip pasirinkti reiškia priimti poveikį, kurio jums nereikia. Užrašykite tą poveikį, ir pasirinkimas paprastai išsisprendžia pats.

Pakeiskite visko perdavimą be pertraukimo

Visko perdavimo pakeitimas yra inventorizacijos pratimas prieš tai tampant ugniasienės pakeitimu. Išsiaiškinkite, kuri teisėta paslauga šiuo metu priklauso nuo plačios taisyklės, ir patvirtinkite, kad pakaitalas veikia kiekvienai. Tada pašalinkite DMZ įrašą ir pridėkite tik siaurą taisyklę ar privačią prieigą, kurios reikalauja projektas. Abiejų įėjimų palikimas atidarytų perėjimo metu yra kelias, kuriuo laikinas sprendimas tampa nuolatiniu.

Laikykite hosto ugniasienę ir pačios paslaugos autentifikaciją savo vietoje nepriklausomai nuo kelio. Tunelis saugo transportą, o ne viešą klausytuvą, kuris atsitiktinai yra toje pačioje mašinoje. Priežiūra ir atnaujinimai vis dar sprendžia, ar paslauga saugi, o programinės įrangos atnaujinimas gali tyliai pakeisti, ką praleidžia plati taisyklė. Gamintojo dokumentacija DMZ hosto funkcijai apie poveikį sako tą patį, mažiau žodžių.