DMZ-vert på ruteren eller privat tilgang: hvilken passer for en Mac?

Innstillingen DMZ-vert på en hjemmeruter høres ut som en sikkerhetssone og oppfører seg som en videresending av alt. Alt som ankommer fra internett og ikke samsvarte med noen annen regel, sendes til den valgte LAN-adressen. Det er en snarvei for å få en innkommende tjeneste til å virke, ikke et design for å nå én Mac privat. Sammenlign den med en smal regel eller en privat vei før du aktiverer den.

Hva DMZ-innstillingen egentlig gjør

På de fleste forbrukerfastvare betyr etiketten nøyaktig én ting: uavstemt innkommende trafikk videresendes til den angitte verten. Den lager ikke et eget subnett, en brannmursone eller en isolasjonsgrense. Den valgte datamaskinen mottar alt ruteren ikke visste hva den skulle gjøre med.

Derfor er innstillingen så effektiv til å reparere en ødelagt tjeneste og så dårlig til å begrense hva annet som ankommer. Ruteren gjør det den blir bedt om, bredt. Ingenting i fastvaren skiller forespørselen du ville ha fra den du ikke ville ha.

Tre Mac-roller, tre hoveddører

List opp hva Macen faktisk gjør før du åpner noe. En klient som ringer ut trenger ingen innkommende regel i det hele tatt. En server trenger sin egen lytter, sin egen autentisering og en smal transport. Et skjermdelingsmål trenger en privat vei pluss tjenestens liste over tillatte brukere. Det er tre forskjellige design, og DMZ-innstillingen passer ikke godt til noen av dem.

sudo lsof -nP -iTCP -sTCP:LISTEN

Kjør det på Macen og les listen. Hvis ingenting lytter, vil ingen innkommende regel få en tjeneste til å dukke opp.

Sammenlign eksponeringen, ikke bekvemmeligheten

En videresending av alt forstørrer angrepsflaten til hver port Macen eksponerer, inkludert tjenester du glemte var aktivert. En smal videresending eksponerer én port mot internett og trenger fortsatt applikasjonens egen autentisering. En privat vei eksponerer ingenting offentlig, men krever tunnelen før tilgang.

Bekvemmelighet er ikke avgjørelsen her, fordi det bekvemme alternativet også er det som feiler åpent. Hvis Macen bare noen gang kobler til utover, er det riktige antallet innkommende åpninger null, og den setningen er verdt å lese to ganger før du åpner en port. Å velge annerledes betyr å godta eksponering du ikke trenger. Skriv ned den eksponeringen, og valget tar seg vanligvis selv.

Erstatt videresendingen av alt uten avbrudd

Å erstatte videresendingen av alt er en opptellingsøvelse før det er en brannmurrendring. Finn ut hvilken legitim tjeneste som for øyeblikket avhenger av den brede regelen, og bekreft at erstatningen fungerer for hver. Fjern deretter DMZ-oppføringen og legg bare til den smale regelen eller den private tilgangen som designet krever. Å la begge inngangene stå åpne under overgangen er måten en midlertidig løsning blir permanent.

Hold vertens brannmur og tjenestens egen autentisering på plass uansett vei. En tunnel beskytter transporten, ikke en offentlig lytter som tilfeldigvis sitter på samme maskin. Vedlikehold og oppdateringer avgjør fortsatt om tjenesten er trygg, og en fastvareoppdatering kan stille endre hva den brede regelen slipper inn. Produsentens dokumentasjon for DMZ-vertfunksjonen sier like mye om eksponering, med færre ord.