DMZ-хост на роутере или частный доступ: что подходит для Mac?

Настройка DMZ-хост на домашнем роутере звучит как зона безопасности, а ведёт себя как пересылка всего. Всё, что приходит из интернета и не совпало ни с каким другим правилом, отправляется на выбранный адрес LAN. Это кратчайший путь заставить входящую службу работать, а не проект частного доступа к одному Mac. Сравните его с узким правилом или частным путём, прежде чем включать.

Что на самом деле делает настройка DMZ

В большинстве потребительских прошивок эта метка означает ровно одно: несовпавший входящий трафик пересылается на назначенный хост. Она не создаёт отдельную подсеть, зону брандмауэра или границу изоляции. Выбранный компьютер получает всё, с чем роутер не знал, что делать.

Поэтому настройка так эффективна в починке сломанной службы и так слаба в ограничении того, что ещё приходит. Роутер делает то, что ему сказали, в широком смысле. Ничто в прошивке не отделяет запрос, который вы хотели, от того, которого не хотели.

Три роли Mac, три входные двери

Перечислите, что Mac на самом деле делает, прежде чем что-то открывать. Клиенту, который звонит наружу, вообще не нужно входящее правило. Серверу нужны собственный слушатель, собственная аутентификация и узкий транспорт. Цели общего доступа к экрану нужен частный путь и список разрешённых пользователей службы. Это три разных проекта, и настройка DMZ не подходит хорошо ни к одному из них.

sudo lsof -nP -iTCP -sTCP:LISTEN

Запустите это на Mac и прочитайте список. Если ничего не слушает, ни одно входящее правило не заставит службу появиться.

Сравнивайте подверженность, а не удобство

Пересылка всего расширяет поверхность атаки до каждого порта, который открывает Mac, включая службы, о включении которых вы забыли. Узкая пересылка открывает один порт в интернет и всё равно требует собственной аутентификации приложения. Частный путь ничего не открывает публично, но требует туннеля до доступа.

Удобство здесь не решающий довод, потому что удобный вариант — это и тот, который открыто отказывает. Если Mac подключается только наружу, правильное число входящих отверстий — ноль, и это предложение стоит прочитать дважды перед открытием порта. Выбрать иначе значит принять подверженность, которая вам не нужна. Запишите эту подверженность, и выбор обычно решается сам.

Замените пересылку всего без простоя

Замена пересылки всего — это упражнение по инвентаризации прежде, чем изменение брандмауэра. Выясните, какая законная служба сейчас зависит от широкого правила, и подтвердите, что замена работает для каждой. Затем удалите запись DMZ и добавьте только то узкое правило или частный доступ, которого требует проект. Оставлять оба входа открытыми во время перехода — так временный обход становится постоянным.

Держите брандмауэр хоста и собственную аутентификацию службы на месте независимо от пути. Туннель защищает транспорт, а не публичный слушатель, который случайно оказался на той же машине. Обслуживание и обновления по-прежнему решают, безопасна ли служба, и обновление прошивки может тихо изменить, что пропускает широкое правило. Документация производителя для функции DMZ-хост говорит то же самое о подверженности, меньшим числом слов.