Hos DMZ pada penghala berbanding akses peribadi: mana sesuai untuk Mac?

Tetapan hos DMZ pada penghala rumah kedengaran seperti zon keselamatan dan berkelakuan seperti pemajuan semua perkara. Apa-apa yang tiba dari internet dan tidak sepadan dengan peraturan lain dihantar ke alamat LAN yang dipilih. Ini jalan pintas untuk menjadikan perkhidmatan masuk berfungsi, bukan reka bentuk untuk mencapai satu Mac secara peribadi. Bandingkannya dengan peraturan sempit atau laluan peribadi sebelum mendayakannya.

Apa sebenarnya tetapan DMZ lakukan

Pada kebanyakan firmware pengguna label itu bermaksud tepat satu perkara: trafik masuk yang tidak sepadan dimajukan ke hos yang ditetapkan. Ia tidak mencipta subnet berasingan, zon tembok api atau sempadan pengasingan. Komputer yang dipilih menerima semua yang penghala tidak tahu apa yang perlu dilakukan.

Itulah sebabnya tetapan ini begitu berkesan membaiki perkhidmatan rosak dan begitu lemah mengehadkan apa lagi yang tiba. Penghala melakukan apa yang diberitahu, secara meluas. Tiada apa-apa dalam firmware memisahkan permintaan yang anda mahu daripada yang anda tidak mahu.

Tiga peranan Mac, tiga pintu depan

Senaraikan apa sebenarnya yang Mac lakukan sebelum membuka apa-apa. Klien yang mendail keluar tidak memerlukan sebarang peraturan masuk. Pelayan memerlukan pendengarnya sendiri, pengesahannya sendiri dan pengangkutan sempit. Sasaran perkongsian skrin memerlukan laluan peribadi serta senarai pengguna yang dibenarkan perkhidmatan itu. Itu tiga reka bentuk berbeza, dan tetapan DMZ tidak sesuai dengan mana-mana satu pun.

sudo lsof -nP -iTCP -sTCP:LISTEN

Jalankan itu pada Mac dan baca senarai. Jika tiada apa-apa mendengar, tiada peraturan masuk akan membuatkan perkhidmatan muncul.

Bandingkan pendedahan, bukan kemudahan

Pemajuan semua perkara membesarkan permukaan serangan ke setiap port yang didedahkan Mac, termasuk perkhidmatan yang anda terlupa telah didayakan. Pemajuan sempit mendedahkan satu port kepada internet dan masih memerlukan pengesahan aplikasi itu sendiri. Laluan peribadi tidak mendedahkan apa-apa secara awam, dengan kos memerlukan terowong sebelum akses.

Kemudahan bukan penentu di sini, kerana pilihan yang mudah juga yang gagal secara terbuka. Jika Mac hanya bersambung ke luar, bilangan bukaan masuk yang betul ialah sifar, dan ayat itu wajar dibaca dua kali sebelum membuka port. Memilih sebaliknya bermaksud menerima pendedahan yang anda tidak perlukan. Tuliskan pendedahan itu dan pilihan biasanya menyelesaikan dirinya sendiri.

Gantikan pemajuan semua perkara tanpa gangguan

Menggantikan pemajuan semua perkara ialah latihan inventori sebelum ia menjadi perubahan tembok api. Ketahui perkhidmatan sah mana yang bergantung pada peraturan luas itu sekarang, dan sahkan pengganti berfungsi untuk setiap satu. Kemudian buang entri DMZ dan tambah hanya peraturan sempit atau akses peribadi yang diperlukan reka bentuk. Membiarkan kedua-dua pintu masuk terbuka semasa peralihan ialah cara penyelesaian sementara menjadi kekal.

Kekalkan tembok api hos dan pengesahan perkhidmatan itu sendiri di tempatnya walau apa pun laluan. Terowong melindungi pengangkutan, bukan pendengar awam yang kebetulan berada pada mesin yang sama. Penyelenggaraan dan kemas kini masih menentukan sama ada perkhidmatan itu selamat, dan kemas kini firmware boleh menukar secara senyap apa yang dibenarkan masuk oleh peraturan luas. Dokumentasi pengeluar untuk ciri hos DMZ mengatakan perkara yang sama tentang pendedahan, dengan lebih sedikit perkataan.