Host DMZ i routerit apo akses privat: cila i përshtatet një Mac?

Cilësimi host DMZ në një router shtëpiak tingëllon si zonë sigurie dhe sillet si një përcjellje e gjithçkaje. Çdo gjë që vjen nga interneti dhe nuk përputhej me asnjë rregull tjetër dërgohet te adresa LAN e zgjedhur. Ky është një shkurtore për të bërë të punojë një shërbim hyrës, jo një projekt për të arritur privatisht një Mac. Krahasojeni me një rregull të ngushtë ose një shteg privat përpara se ta aktivizoni.

Çfarë bën në të vërtetë cilësimi DMZ

Në shumicën e firmuerëve të konsumatorit etiketa nënkupton saktësisht një gjë: trafiku hyrës i papërputhur përcillet te hosti i caktuar. Nuk krijon një nënrrjet të veçantë, një zonë muri zjarri apo një kufi izolimi. Kompjuteri i zgjedhur merr gjithçka me të cilën routeri nuk dinte çfarë të bënte.

Kjo është arsyeja pse cilësimi është kaq i efektshëm në rregullimin e një shërbimi të prishur dhe kaq i dobët në kufizimin e asaj që vjen tjetër. Routeri bën atë që i është thënë, gjerësisht. Asgjë në firmware nuk e ndan kërkesën që dëshironit nga ajo që nuk e dëshironit.

Tre role Mac, tre dyer të përparme

Renditni çfarë bën në të vërtetë Mac-i përpara se të hapni ndonjë gjë. Një klient që telefonon nga jashtë nuk ka nevojë fare për rregull hyrës. Një server ka nevojë për dëgjuesin e vet, vërtetimin e vet dhe një transport të ngushtë. Një objektiv i ndarjes së ekranit ka nevojë për një shteg privat plus listën e përdoruesve të lejuar të shërbimit. Këto janë tre projekte të ndryshme, dhe cilësimi DMZ nuk i përshtatet mirë asnjërit prej tyre.

sudo lsof -nP -iTCP -sTCP:LISTEN

Ekzekutoni këtë në Mac dhe lexoni listën. Nëse asgjë nuk dëgjon, asnjë rregull hyrës nuk do të bëjë që një shërbim të shfaqet.

Krahasoni ekspozimin, jo lehtësinë

Përcjellja e gjithçkaje zmadhon sipërfaqen e sulmit në çdo port që Mac zbulon, përfshirë shërbimet që harruat se ishin aktivizuar. Përcjellja e ngushtë zbulon një port në internet dhe prapë kërkon vërtetimin e vetë aplikacionit. Një shteg privat nuk zbulon asgjë publikisht, me koston e kërkesës për tunelin përpara aksesit.

Lehtësia nuk është vendimtarja këtu, sepse alternativa e lehtë është gjithashtu ajo që dështon hapur. Nëse Mac lidhet vetëm nga jashtë, numri i saktë i hapjeve hyrëse është zero, dhe ajo fjali vlen të lexohet dy herë përpara se të hapet një port. Të zgjedhësh ndryshe do të thotë të pranosh një ekspozim që nuk të duhet. Shkruajeni atë ekspozim dhe zgjedhja zakonisht zgjidhet vetë.

Zëvendësoni përcjelljen e gjithçkaje pa ndërprerje

Zëvendësimi i përcjelljes së gjithçkaje është një ushtrim inventari përpara se të jetë një ndryshim muri zjarri. Zbuloni cili shërbim legjitim varet aktualisht nga rregulli i gjerë dhe konfirmoni se zëvendësimi funksionon për secilin. Pastaj hiqni hyrjen DMZ dhe shtoni vetëm rregullin e ngushtë ose aksesin privat që kërkon projekti. Të lësh të dy hyrjet hapur gjatë tranzicionit është mënyra se si një zgjidhje e përkohshme bëhet e përhershme.

Mbani murin e zjarrit të hostit dhe vërtetimin e vetë shërbimit në vend pavarësisht nga shtegu. Një tunel mbron transportin, jo një dëgjues publik që ndodhet rastësisht në të njëjtën makinë. Mirëmbajtja dhe përditësimet ende vendosin nëse shërbimi është i sigurt, dhe një përditësim firmware mund të ndryshojë në heshtje çfarë lejon rregulli i gjerë. Dokumentacioni i prodhuesit për funksionin host DMZ thotë të njëjtën gjë për ekspozimin, me më pak fjalë.