DMZ-vert på rutaren eller privat tilgang: kva passar for ein Mac?

Innstillinga DMZ-vert på ein heimerutar høyrest ut som ei sikkerheitssone og oppfører seg som ei vidaresending av alt. Alt som kjem frå internett og ikkje samsvarte med nokon annan regel, vert sendt til den valde LAN-adressa. Det er ein snøggveg for å få ei innkomande teneste til å verke, ikkje eit design for å nå éin Mac privat. Samanlikn han med ein smal regel eller ein privat veg før du aktiverer han.

Kva DMZ-innstillinga eigentleg gjer

På dei fleste forbrukarfastvaren betyr etiketten nøyaktig éin ting: uavstemt innkomande trafikk vert vidaresend til den angjevne verten. Ho lagar ikkje eit eige subnett, ei brannmursone eller ei isolasjonsgrense. Den valde datamaskinen mottek alt rutaren ikkje visste kva han skulle gjere med.

Difor er innstillinga så effektiv til å reparere ei øydelagd teneste og så dårleg til å avgrense kva anna som kjem. Rutaren gjer det han vert beden om, breitt. Ingenting i fastvaren skil førespurnaden du ville ha frå den du ikkje ville ha.

Tre Mac-roller, tre hovuddører

List opp kva Macen faktisk gjer før du opnar noko. Ein klient som ringjer ut treng ingen innkomande regel i det heile. Ein server treng sin eigen lyttar, si eiga autentisering og ein smal transport. Eit skjermdelingsmål treng ein privat veg pluss lista over tillatne brukarar av tenesta. Det er tre ulike design, og DMZ-innstillinga passar ikkje godt til noko av dei.

sudo lsof -nP -iTCP -sTCP:LISTEN

Køyr det på Macen og les lista. Viss ingenting lyttar, vil ingen innkomande regel få ei teneste til å dukke opp.

Samanlikn eksponeringa, ikkje komforten

Ei vidaresending av alt forstørrar åtaksflata til kvar port Macen eksponerer, inkludert tenester du gløymde var aktiverte. Ei smal vidaresending eksponerer éin port mot internett og treng framleis den eigne autentiseringa til programmet. Ein privat veg eksponerer ingenting offentleg, men krev tunnelen før tilgang.

Komfort er ikkje avgjerda her, fordi det komfortable valet også er det som feilar ope. Viss Macen berre nokon gong koplar til utover, er det rette talet innkomande opningar null, og den setninga er verd å lese to gonger før du opnar ein port. Å velje annleis betyr å godta eksponering du ikkje treng. Skriv ned den eksponeringa, og valet tek seg vanlegvis sjølv.

Erstatt vidaresendinga av alt utan avbrot

Å erstatte vidaresendinga av alt er ei oppteljingsoppgåve før det er ei brannmurrendring. Finn ut kva legitim teneste som for tida er avhengig av den breie regelen, og stadfest at erstatninga fungerer for kvar. Fjern deretter DMZ-oppføringa og legg berre til den smale regelen eller den private tilgangen som designet krev. Å la begge inngangane stå opne under overgangen er måten ei mellombels løysing vert permanent.

Hald brannmuren til verten og den eigne autentiseringa til tenesta på plass uansett veg. Ein tunnel vernar transporten, ikkje ein offentleg lyttar som tilfeldigvis sit på same maskin. Vedlikehald og oppdateringar avgjer framleis om tenesta er trygg, og ei fastvareoppdatering kan stille endre kva den breie regelen slepp inn. Dokumentasjonen til produsenten for DMZ-vertfunksjonen seier like mykje om eksponering, med færre ord.