Host DMZ do roteador ou acesso privado: qual combina com um Mac?

A definição de host DMZ num roteador doméstico soa como uma zona de segurança e comporta-se como um encaminhamento de tudo. Tudo o que chega da internet e não correspondeu a outra regra é enviado para o endereço LAN escolhido. É um atalho para pôr um serviço de entrada a funcionar, não um desenho para chegar a um Mac de forma privada. Compare-o com uma regra estreita ou um caminho privado antes de o ativar.

O que a definição DMZ faz realmente

Na maioria dos firmware de consumo o rótulo significa exatamente uma coisa: o tráfego de entrada não correspondido é encaminhado para o host designado. Não cria uma sub-rede separada, uma zona de firewall nem um limite de isolamento. O computador escolhido recebe tudo aquilo com que o roteador não sabia o que fazer.

É por isso que a definição é tão eficaz a reparar um serviço avariado e tão fraca a limitar o que mais chega. O roteador faz o que lhe foi dito, em termos amplos. Nada no firmware separa o pedido que queria do que não queria.

Três papéis do Mac, três portas de entrada

Enumere o que o Mac faz realmente antes de abrir o que quer que seja. Um cliente que marca para fora não precisa de qualquer regra de entrada. Um servidor precisa do seu próprio ouvinte, da sua própria autenticação e de um transporte estreito. Um destino de partilha de ecrã precisa de um caminho privado mais a lista de utilizadores permitidos do serviço. São três desenhos diferentes, e a definição DMZ não assenta bem em nenhum deles.

sudo lsof -nP -iTCP -sTCP:LISTEN

Execute isso no Mac e leia a lista. Se nada estiver a escutar, nenhuma regra de entrada fará aparecer um serviço.

Compare a exposição, não a conveniência

Um encaminhamento de tudo amplia a superfície de ataque a cada porta que o Mac expõe, incluindo serviços que esqueceu estarem ativos. Um encaminhamento estreito expõe uma porta à internet e ainda precisa da autenticação própria da aplicação. Um caminho privado não expõe nada publicamente, ao custo de exigir o túnel antes do acesso.

A conveniência não é o desempate aqui, porque a opção conveniente é também a que falha aberta. Se o Mac só se liga para fora, o número correto de aberturas de entrada é zero, e essa frase merece ser lida duas vezes antes de abrir uma porta. Escolher o contrário significa aceitar uma exposição de que não precisa. Anote essa exposição e a escolha geralmente resolve-se sozinha.

Substitua o encaminhamento de tudo sem interrupção

Substituir o encaminhamento de tudo é um exercício de inventário antes de ser uma alteração de firewall. Descubra que serviço legítimo depende atualmente da regra ampla e confirme que o substituto funciona para cada um. Depois remova a entrada DMZ e acrescente apenas a regra estreita ou o acesso privado que o desenho exige. Deixar as duas entradas abertas durante a transição é a forma como uma solução temporária se torna permanente.

Mantenha a firewall do host e a autenticação própria do serviço no lugar, seja qual for o caminho. Um túnel protege o transporte, não um ouvinte público que por acaso está na mesma máquina. A manutenção e as atualizações continuam a decidir se o serviço é seguro, e uma atualização de firmware pode alterar silenciosamente o que a regra ampla deixa entrar. A documentação do fabricante para a funcionalidade de host DMZ diz o mesmo sobre a exposição, com menos palavras.