Host DMZ na routerze czy dostęp prywatny: co pasuje do Maca?

Ustawienie hosta DMZ na domowym routerze brzmi jak strefa bezpieczeństwa, a zachowuje się jak przekazywanie wszystkiego. Wszystko, co przychodzi z internetu i nie pasowało do żadnej innej reguły, trafia na wybrany adres LAN. To skrót do uruchomienia usługi przychodzącej, a nie projekt prywatnego dostępu do jednego Maca. Porównaj je z wąską regułą lub prywatną ścieżką, zanim je włączysz.

Co naprawdę robi ustawienie DMZ

W większości firmwarów konsumenckich etykieta oznacza dokładnie jedno: niedopasowany ruch przychodzący jest przekazywany do wskazanego hosta. Nie tworzy osobnej podsieci, strefy zapory ani granicy izolacji. Wybrany komputer otrzymuje wszystko, z czym router nie wiedział, co zrobić.

Dlatego ustawienie jest tak skuteczne w naprawianiu zepsutej usługi i tak słabe w ograniczaniu tego, co jeszcze przychodzi. Router robi to, co mu powiedziano, szeroko. Nic w firmwarze nie oddziela żądania, którego chciałeś, od tego, którego nie chciałeś.

Trzy role Maca, troje drzwi wejściowych

Wypisz, co Mac naprawdę robi, zanim cokolwiek otworzysz. Klient, który łączy się na zewnątrz, nie potrzebuje żadnej reguły przychodzącej. Serwer potrzebuje własnego nasłuchu, własnego uwierzytelniania i wąskiego transportu. Cel udostępniania ekranu potrzebuje prywatnej ścieżki oraz listy dozwolonych użytkowników usługi. To trzy różne projekty, a ustawienie DMZ nie pasuje dobrze do żadnego z nich.

sudo lsof -nP -iTCP -sTCP:LISTEN

Uruchom to na Macu i przeczytaj listę. Jeśli nic nie nasłuchuje, żadna reguła przychodząca nie sprawi, że usługa się pojawi.

Porównaj ekspozycję, nie wygodę

Przekazywanie wszystkiego powiększa powierzchnię ataku na każdy port, który Mac wystawia, w tym usługi, o których zapomniałeś, że są włączone. Wąskie przekazywanie wystawia jeden port do internetu i nadal wymaga własnego uwierzytelniania aplikacji. Prywatna ścieżka niczego publicznie nie wystawia, ale wymaga tunelu przed dostępem.

Wygoda nie jest tu rozstrzygająca, bo wygodna opcja jest też tą, która zawodzi otwarcie. Jeśli Mac łączy się tylko na zewnątrz, właściwa liczba otwarć przychodzących wynosi zero, a to zdanie warto przeczytać dwa razy przed otwarciem portu. Wybór innej opcji oznacza zaakceptowanie ekspozycji, której nie potrzebujesz. Zapisz tę ekspozycję, a wybór zwykle rozstrzyga się sam.

Zastąp przekazywanie wszystkiego bez przerwy w działaniu

Zastąpienie przekazywania wszystkiego to ćwiczenie z inwentaryzacji, zanim stanie się zmianą zapory. Dowiedz się, która legalna usługa obecnie zależy od szerokiej reguły, i potwierdź, że zamiennik działa dla każdej. Następnie usuń wpis DMZ i dodaj tylko wąską regułę lub prywatny dostęp, którego wymaga projekt. Pozostawienie obu wejść otwartych podczas przejścia to sposób, w jaki tymczasowe obejście staje się trwałe.

Trzymaj zaporę hosta i własne uwierzytelnianie usługi na miejscu niezależnie od ścieżki. Tunel chroni transport, a nie publiczny nasłuch, który przypadkiem siedzi na tej samej maszynie. Konserwacja i aktualizacje nadal decydują, czy usługa jest bezpieczna, a aktualizacja firmwaru może po cichu zmienić to, co przepuszcza szeroka reguła. Dokumentacja producenta dla funkcji hosta DMZ mówi to samo o ekspozycji, mniejszą liczbą słów.