DMZ resursdators maršrutētājā vai privāta piekļuve: kas piemērots Mac datoram?

DMZ resursdatora iestatījums mājas maršrutētājā izklausās kā drošības zona, bet uzvedas kā visu pārķeršanas pārsūtīšana. Viss, kas nāk no interneta un neatbilda nevienam citam noteikumam, tiek nosūtīts uz izvēlēto LAN adresi. Tas ir saīsinājums, lai ienākošais pakalpojums strādātu, nevis projekts privātai piekļuvei vienam Mac. Salīdziniet to ar šauru noteikumu vai privātu ceļu pirms iespējošanas.

Ko DMZ iestatījums patiešām dara

Lielākajā daļā patērētāju programmaparatūras šis apzīmējums nozīmē tieši vienu: nesaskaņotā ienākošā satiksme tiek pārsūtīta uz norādīto resursdatoru. Tas neveido atsevišķu apakštīklu, ugunsmūra zonu vai izolācijas robežu. Izvēlētais dators saņem visu, ar ko maršrutētājs nezināja, ko darīt.

Tāpēc iestatījums ir tik efektīvs salūzuša pakalpojuma labošanā un tik vājš ierobežošanā, kas vēl pienāk. Maršrutētājs plaši dara to, kas tam pateikts. Nekas programmaparatūrā neatdala pieprasījumu, kuru gribējāt, no tā, kuru negribējāt.

Trīs Mac lomas, trīs priekšējās durvis

Uzskaitiet, ko Mac patiešām dara, pirms kaut ko atverat. Klientam, kas zvana uz āru, vispār nav vajadzīgs ienākošs noteikums. Serverim vajag savu klausītāju, savu autentifikāciju un šauru transportu. Ekrāna koplietošanas mērķim vajag privātu ceļu un pakalpojuma atļauto lietotāju sarakstu. Tie ir trīs dažādi projekti, un DMZ iestatījums nevienam no tiem labi neatbilst.

sudo lsof -nP -iTCP -sTCP:LISTEN

Palaidiet to Mac datorā un izlasiet sarakstu. Ja neviens neklausās, neviens ienākošs noteikums neļaus pakalpojumam parādīties.

Salīdziniet iedarbību, nevis ērtību

Visu pārķeršanas pārsūtīšana palielina uzbrukuma virsmu uz katru portu, ko Mac atklāj, tostarp pakalpojumiem, kurus aizmirsāt iespējot. Šaura pārsūtīšana atklāj vienu portu internetam un joprojām prasa lietojumprogrammas pašas autentifikāciju. Privāts ceļš neko publiski neatklāj, taču pirms piekļuves prasa tuneli.

Ērtība šeit nav izšķirošā, jo ērtais variants ir arī tas, kas atklāti neizdodas. Ja Mac pieslēdzas tikai uz āru, pareizais ienākošo atvērumu skaits ir nulle, un šo teikumu ir vērts izlasīt divreiz pirms porta atvēršanas. Izvēlēties citādi nozīmē pieņemt iedarbību, kas jums nav vajadzīga. Pierakstiet šo iedarbību, un izvēle parasti izlemj pati.

Aizstājiet visu pārķeršanas pārsūtīšanu bez pārtraukuma

Visu pārķeršanas pārsūtīšanas aizstāšana ir inventarizācijas vingrinājums, pirms tā ir ugunsmūra izmaiņa. Noskaidrojiet, kurš leģitīmais pakalpojums pašlaik ir atkarīgs no platā noteikuma, un apstipriniet, ka aizstājējs darbojas katram. Pēc tam noņemiet DMZ ierakstu un pievienojiet tikai šauro noteikumu vai privāto piekļuvi, ko prasa projekts. Abu ieeju atstāšana atvērtām pārejas laikā ir ceļš, kā pagaidu risinājums kļūst pastāvīgs.

Turiet resursdatora ugunsmūri un paša pakalpojuma autentifikāciju savā vietā neatkarīgi no ceļa. Tunelis aizsargā transportu, nevis publisku klausītāju, kas nejauši atrodas tajā pašā mašīnā. Apkope un atjauninājumi joprojām nosaka, vai pakalpojums ir drošs, un programmaparatūras atjauninājums var klusi mainīt to, ko platā noteikums ielaiž. Ražotāja dokumentācija par DMZ resursdatora funkciju saka to pašu par iedarbību, mazāk vārdiem.