DMZ-host op de router of privétoegang: wat past bij een Mac?

De instelling DMZ-host op een thuisrouter klinkt als een beveiligingszone en gedraagt zich als een doorsturing van alles. Alles wat van internet binnenkomt en met geen enkele andere regel overeenkwam, wordt naar het gekozen LAN-adres gestuurd. Dat is een kortere weg om een inkomende dienst aan de praat te krijgen, geen ontwerp om één Mac privé te bereiken. Vergelijk het met een smalle regel of een privépad voordat u het inschakelt.

Wat de DMZ-instelling werkelijk doet

Bij de meeste consumentenfirmware betekent het label precies één ding: niet-overeenkomend inkomend verkeer wordt doorgestuurd naar de aangewezen host. Het maakt geen apart subnet, geen firewallzone en geen isolatiegrens. De gekozen computer ontvangt alles waar de router niet mee wist wat hij moest doen.

Daarom is de instelling zo doeltreffend bij het repareren van een kapotte dienst en zo zwak in het beperken van wat er nog meer binnenkomt. De router doet wat hem is gezegd, in brede zin. Niets in de firmware scheidt het verzoek dat u wilde van het verzoek dat u niet wilde.

Drie Mac-rollen, drie voordeuren

Noteer wat de Mac werkelijk doet voordat u iets opent. Een client die naar buiten belt heeft helemaal geen inkomende regel nodig. Een server heeft zijn eigen luisteraar, zijn eigen authenticatie en een smal transport nodig. Een schermdelingsdoel heeft een privépad plus de lijst met toegestane gebruikers van de dienst nodig. Dat zijn drie verschillende ontwerpen, en de DMZ-instelling past bij geen ervan goed.

sudo lsof -nP -iTCP -sTCP:LISTEN

Voer dat uit op de Mac en lees de lijst. Als er niets luistert, zal geen enkele inkomende regel een dienst laten verschijnen.

Vergelijk de blootstelling, niet het gemak

Een doorsturing van alles vergroot het aanvalsoppervlak naar elke poort die de Mac blootlegt, inclusief diensten waarvan u vergat dat ze aan stonden. Een smalle doorsturing legt één poort aan internet bloot en heeft toch de eigen authenticatie van de toepassing nodig. Een privépad legt niets openbaar bloot, maar vereist de tunnel vóór toegang.

Gemak is hier niet de beslisser, want de gemakkelijke optie is ook degene die openlijk faalt. Als de Mac alleen maar naar buiten verbindt, is het juiste aantal inkomende openingen nul, en die zin is het waard twee keer te lezen voordat u een poort opent. Anders kiezen betekent blootstelling accepteren die u niet nodig hebt. Schrijf die blootstelling op en de keuze lost zich meestal vanzelf op.

Vervang de doorsturing van alles zonder onderbreking

Het vervangen van de doorsturing van alles is een inventarisatieoefening voordat het een firewallwijziging is. Zoek uit welke legitieme dienst momenteel van de brede regel afhangt, en bevestig dat de vervanging voor elk werkt. Verwijder daarna de DMZ-vermelding en voeg alleen de smalle regel of de privétoegang toe die het ontwerp vereist. Beide ingangen open laten tijdens de overgang is hoe een tijdelijke oplossing permanent wordt.

Houd de firewall van de host en de eigen authenticatie van de dienst op hun plaats, ongeacht het pad. Een tunnel beschermt het transport, niet een openbare luisteraar die toevallig op dezelfde machine zit. Onderhoud en updates bepalen nog steeds of de dienst veilig is, en een firmware-update kan stil veranderen wat de brede regel doorlaat. De documentatie van de fabrikant voor de DMZ-hostfunctie zegt evenveel over blootstelling, in minder woorden.