Gostitelj DMZ na usmerjevalniku ali zasebni dostop: kaj ustreza Macu?

Nastavitev gostitelja DMZ na domačem usmerjevalniku zveni kot varnostna cona, obnaša pa se kot posredovanje vsega. Vse, kar pride iz interneta in se ni ujemalo z nobenim drugim pravilom, se pošlje na izbrani naslov LAN. To je bližnjica za delovanje dohodne storitve, ne načrt za zaseben dostop do enega Maca. Primerjajte jo z ozkim pravilom ali zasebno potjo, preden jo omogočite.

Kaj nastavitev DMZ v resnici počne

V večini potrošniškega vdelanega programja ta oznaka pomeni natanko eno: neujemajoči se dohodni promet se posreduje imenovanemu gostitelju. Ne ustvari ločenega podomrežja, območja požarnega zidu ali meje izolacije. Izbrani računalnik prejme vse, s čimer usmerjevalnik ni vedel, kaj početi.

Zato je nastavitev tako učinkovita pri popravljanju pokvarjene storitve in tako šibka pri omejevanju, kaj še prihaja. Usmerjevalnik počne, kar so mu rekli, široko. Nič v vdelanem programju ne loči zahteve, ki ste jo želeli, od tiste, ki je niste.

Tri vloge Maca, troja sprednja vrata

Preden karkoli odprete, naštejte, kaj Mac v resnici počne. Odjemalec, ki kliče navzven, ne potrebuje nobenega dohodnega pravila. Strežnik potrebuje svojega poslušalca, svojo overitev in ozek prenos. Cilj deljenja zaslona potrebuje zasebno pot in seznam dovoljenih uporabnikov storitve. To so tri različne zasnove in nastavitev DMZ se dobro ne ujema z nobeno od njih.

sudo lsof -nP -iTCP -sTCP:LISTEN

Zaženite to na Macu in preberite seznam. Če nič ne posluša, nobeno dohodno pravilo ne bo povzročilo, da bi se storitev pojavila.

Primerjajte izpostavljenost, ne priročnosti

Posredovanje vsega poveča napadalno površino na vsaka vrata, ki jih Mac izpostavi, vključno s storitvami, za katere ste pozabili, da so omogočene. Ozko posredovanje izpostavi ena vrata internetu in še vedno potrebuje lastno overitev aplikacije. Zasebna pot ne izpostavi ničesar javno, vendar zahteva tunel pred dostopom.

Priročnost tu ni odločilna, ker je priročna možnost tudi tista, ki odpove odkrito. Če se Mac povezuje le navzven, je pravilno število dohodnih odprtin nič, in ta stavek si je vredno prebrati dvakrat pred odpiranjem vrat. Izbrati drugače pomeni sprejeti izpostavljenost, ki je ne potrebujete. Zapišite to izpostavljenost in izbira se običajno razreši sama.

Zamenjajte posredovanje vsega brez izpada

Zamenjava posredovanja vsega je vaja popisa, preden je sprememba požarnega zidu. Ugotovite, katera zakonita storitev je trenutno odvisna od širokega pravila, in potrdite, da nadomestek deluje za vsako. Nato odstranite vnos DMZ in dodajte le ozko pravilo ali zasebni dostop, ki ga zahteva zasnova. Pustiti oba vhoda odprta med prehodom je način, kako začasna rešitev postane trajna.

Držite požarni zid gostitelja in lastno overitev storitve na mestu ne glede na pot. Tunel ščiti prenos, ne javnega poslušalca, ki slučajno sedi na istem stroju. Vzdrževanje in posodobitve še vedno odločajo, ali je storitev varna, in posodobitev vdelanega programja lahko tiho spremeni, kaj široko pravilo spusti. Dokumentacija proizvajalca za funkcijo gostitelja DMZ pove isto o izpostavljenosti, z manj besedami.