Host DMZ na smerovači alebo súkromný prístup: čo sa hodí k Macu?

Nastavenie hostiteľa DMZ na domácom smerovači znie ako bezpečnostná zóna, no správa sa ako preposielanie všetkého. Všetko, čo prichádza z internetu a nezhodovalo sa so žiadnym iným pravidlom, sa odošle na zvolenú adresu LAN. Je to skratka k tomu, aby prichádzajúca služba fungovala, nie návrh na súkromné dosiahnutie jedného Macu. Porovnajte ho s úzkym pravidlom alebo súkromnou cestou, skôr než ho zapnete.

Čo nastavenie DMZ skutočne robí

Vo väčšine spotrebiteľského firmvéru tento štítok znamená presne jednu vec: nezhodná prichádzajúca prevádzka sa preposiela na určeného hostiteľa. Nevytvára samostatnú podsiet, zónu firewallu ani hranicu izolácie. Zvolený počítač dostáva všetko, s čím smerovač nevedel, čo urobiť.

Preto je nastavenie také účinné pri oprave pokazenej služby a také slabé pri obmedzovaní toho, čo ešte prichádza. Smerovač robí to, čo mu povedali, plošne. Nič vo firmvéri neoddeľuje požiadavku, ktorú ste chceli, od tej, ktorú ste nechceli.

Tri úlohy Macu, troje predné dvere

Predtým, než čokoľvek otvoríte, vypíšte, čo Mac skutočne robí. Klient, ktorý volá von, nepotrebuje žiadne prichádzajúce pravidlo. Server potrebuje vlastný poslucháč, vlastnú autentifikáciu a úzky transport. Cieľ zdieľania obrazovky potrebuje súkromnú cestu plus zoznam povolených používateľov služby. To sú tri rôzne návrhy a nastavenie DMZ k žiadnemu z nich dobre nepasuje.

sudo lsof -nP -iTCP -sTCP:LISTEN

Spustite to na Macu a prečítajte si zoznam. Ak nič nepočúva, žiadne prichádzajúce pravidlo službu nezobrazí.

Porovnajte expozíciu, nie pohodlie

Preposielanie všetkého zväčšuje útočnú plochu na každý port, ktorý Mac vystavuje, vrátane služieb, o ktorých ste zabudli, že sú zapnuté. Úzke preposielanie vystavuje internetu jeden port a stále potrebuje vlastnú autentifikáciu aplikácie. Súkromná cesta nič verejne nevystavuje, no vyžaduje tunel pred prístupom.

Pohodlie tu nie je rozhodujúce, pretože pohodlná možnosť je aj tá, ktorá zlyháva otvorene. Ak sa Mac pripája len von, správny počet prichádzajúcich otvorov je nula, a tú vetu stojí za to prečítať dvakrát pred otvorením portu. Zvoliť inak znamená prijať expozíciu, ktorú nepotrebujete. Zapíšte si tú expozíciu a voľba sa zvyčajne vyrieši sama.

Nahraďte preposielanie všetkého bez výpadku

Nahradenie preposielania všetkého je inventarizačné cvičenie skôr, než je zmenou firewallu. Zistite, ktorá legitímna služba momentálne závisí od širokého pravidla, a potvrďte, že náhrada funguje pre každú. Potom odstráňte záznam DMZ a pridajte len úzke pravidlo alebo súkromný prístup, ktorý návrh vyžaduje. Ponechanie oboch vchodov otvorených počas prechodu je spôsob, akým sa dočasná obchádzka stane trvalou.

Udržujte firewall hostiteľa a vlastnú autentifikáciu služby na mieste bez ohľadu na cestu. Tunel chráni transport, nie verejný poslucháč, ktorý náhodou sedí na tom istom stroji. Údržba a aktualizácie stále rozhodujú, či je služba bezpečná, a aktualizácia firmvéru môže potichu zmeniť, čo široké pravidlo prepustí. Dokumentácia výrobcu pre funkciu hostiteľa DMZ hovorí to isté o expozícii, menším počtom slov.