Gazdă DMZ pe router sau acces privat: care se potrivește unui Mac?

Setarea de gazdă DMZ pe un router de acasă sună ca o zonă de securitate și se comportă ca o redirecționare a totului. Tot ce vine din internet și nu s-a potrivit cu altă regulă este trimis la adresa LAN aleasă. Este o scurtătură pentru a face un serviciu de intrare să funcționeze, nu un proiect pentru a ajunge privat la un Mac. Comparați-o cu o regulă îngustă sau o cale privată înainte de a o activa.

Ce face de fapt setarea DMZ

În majoritatea firmware-urilor de consum eticheta înseamnă exact un lucru: traficul de intrare nepotrivit este redirecționat către gazda desemnată. Nu creează o subrețea separată, o zonă de firewall sau o limită de izolare. Computerul ales primește tot ceea ce routerul nu știa ce să facă cu el.

De aceea setarea este atât de eficientă în repararea unui serviciu defect și atât de slabă în limitarea a ceea ce mai sosește. Routerul face ceea ce i s-a spus, în sens larg. Nimic din firmware nu separă cererea pe care o doreați de cea pe care nu o doreați.

Trei roluri de Mac, trei uși din față

Enumerați ce face Macul de fapt înainte de a deschide ceva. Un client care sună spre exterior nu are nevoie de nicio regulă de intrare. Un server are nevoie de propriul ascultător, de propria autentificare și de un transport îngust. O țintă de partajare a ecranului are nevoie de o cale privată plus lista de utilizatori permiși ai serviciului. Sunt trei proiecte diferite, iar setarea DMZ nu se potrivește bine niciunuia.

sudo lsof -nP -iTCP -sTCP:LISTEN

Rulați asta pe Mac și citiți lista. Dacă nimic nu ascultă, nicio regulă de intrare nu va face un serviciu să apară.

Comparați expunerea, nu comoditatea

O redirecționare a totului mărește suprafața de atac la fiecare port pe care Macul îl expune, inclusiv serviciile despre care ați uitat că sunt activate. O redirecționare îngustă expune un port către internet și tot are nevoie de autentificarea proprie a aplicației. O cale privată nu expune nimic public, cu prețul de a cere tunelul înainte de acces.

Comoditatea nu este factorul decisiv aici, pentru că opțiunea comodă este și cea care eșuează deschis. Dacă Macul se conectează doar spre exterior, numărul corect de deschideri de intrare este zero, iar acea propoziție merită citită de două ori înainte de a deschide un port. A alege altfel înseamnă a accepta o expunere de care nu aveți nevoie. Notați acea expunere și alegerea se rezolvă de obicei singură.

Înlocuiți redirecționarea a totului fără întrerupere

Înlocuirea redirecționării a totului este un exercițiu de inventar înainte de a fi o modificare de firewall. Aflați ce serviciu legitim depinde acum de regula largă și confirmați că înlocuitorul funcționează pentru fiecare. Apoi eliminați intrarea DMZ și adăugați doar regula îngustă sau accesul privat pe care îl cere proiectul. A lăsa ambele intrări deschise în timpul tranziției este felul în care o soluție temporară devine permanentă.

Păstrați firewall-ul gazdei și autentificarea proprie a serviciului la locul lor, indiferent de cale. Un tunel protejează transportul, nu un ascultător public care se află din întâmplare pe aceeași mașină. Întreținerea și actualizările decid în continuare dacă serviciul este sigur, iar o actualizare de firmware poate schimba în tăcere ce lasă să intre regula largă. Documentația producătorului pentru funcția de gazdă DMZ spune același lucru despre expunere, în mai puține cuvinte.