DMZ хост на рутерот или приватен пристап: што одговара на Mac?

Поставката DMZ хост на домашен рутер звучи како безбедносна зона, а се однесува како проследување на сето. Сето што пристигнува од интернет и не се совпаднало со друго правило се испраќа до избраната LAN адреса. Ова е кратенка за да проработи дојдовна услуга, а не проект за приватен пристап до еден Mac. Споредете ја со тесно правило или приватен пат пред да ја овозможите.

Што всушност прави поставката DMZ

На повеќето потрошувачки фирмвери ознаката значи точно едно: неупатениот дојдовен сообраќај се проследува до назначениот хост. Таа не создава одделна подмрежа, зона на огнен ѕид или граница за изолација. Избраниот компјутер добива сето со што рутерот не знаел што да прави.

Затоа поставката е толку ефикасна во поправање на расипана услуга и толку слаба во ограничување на тоа што друго пристигнува. Рутерот го прави тоа што му е кажано, широко. Ништо во фирмверот не ја одделува барањето што сте го сакале од тоа што не сте го сакале.

Три улоги на Mac, три предни врати

Наведете што Mac всушност прави пред да отворите нешто. На клиентот што се јавува кон надвор воопшто не му треба дојдовно правило. На серверот му треба сопствен слушател, сопствена автентикација и тесен транспорт. На целта за споделување екран ѝ треба приватен пат плус список на дозволени корисници на услугата. Тоа се три различни проекти, а поставката DMZ не одговара добро на ниту еден од нив.

sudo lsof -nP -iTCP -sTCP:LISTEN

Извршете го тоа на Mac и прочитајте го списокот. Ако ништо не слуша, ниту едно дојдовно правило нема да направи услугата да се појави.

Споредете ја изложеноста, а не удобноста

Проследувањето на сето ја зголемува нападната површина до секој порт што Mac го изложува, вклучително услуги што сте заборавиле дека се овозможени. Тесното проследување изложува еден порт на интернет и сето уште бара сопствена автентикација на апликацијата. Приватниот пат не изложува ништо јавно, но бара тунел пред пристап.

Удобноста овде не е пресудна, бидејќи удобната опција е и онаа што отворено не успева. Ако Mac се поврзува само кон надвор, правилниот број на дојдовни отвори е нула, и таа реченица вреди да се прочита двапати пред да се отвори порт. Да се избере спротивното значи да се прифати изложеност што не ви е потребна. Запишете ја таа изложеност и изборот обично се решава сам.

Заменете го проследувањето на сето без прекин

Замената на проследувањето на сето е вежба по попис пред да биде промена на огнениот ѕид. Откријте која легитимна услуга моментално зависи од широкото правило и потврдете дека замената работи за секоја. Потоа отстранете го записот DMZ и додајте само тесното правило или приватниот пристап што го бара проектот. Оставањето на двата влеза отворени за време на преминот е начинот на кој привременото решение станува трајно.

Држете го огнениот ѕид на хостот и сопствената автентикација на услугата на место без оглед на патот. Тунелот го штити транспортот, а не јавен слушател што случајно се наоѓа на истиот компјутер. Одржувањето и ажурирањата сето уште одлучуваат дали услугата е безбедна, а ажурирањето на фирмверот може тивко да го промени тоа што широкото правило го пушта. Документацијата на производителот за функцијата DMZ хост го кажува истото за изложеноста, со помалку зборови.