DMZ домаћин на рутеру или приватни приступ: шта одговара Mac-у?

Подешавање DMZ домаћинства на кућном рутеру звучи као безбедносна зона, а понаша се као прослеђивање свега. Све што стиже са интернета и није се поклопило ни са једним другим правилом шаље се на изабрану LAN адресу. Ово је пречица да долазна услуга проради, а не пројекат за приватан приступ једном Mac-у. Упоредите га са уским правилом или приватним путем пре него што га омогућите.

Шта подешавање DMZ заправо ради

У већини потрошачких фирмвера ознака значи тачно једно: неусклађени долазни саобраћај се прослеђује на именовани домаћин. Оно не ствара засебну подмрежу, зону заштитног зида или границу изолације. Изабрани рачунар прима све са чим рутер није знао шта да ради.

Зато је подешавање тако делотворно у поправљању покварене услуге и тако слабо у ограничавању онога што још стиже. Рутер ради оно што му је речено, широко. Ништа у фирмверу не одваја захтев који сте желели од онога који нисте.

Три улоге Mac-а, три предња врата

Наведите шта Mac заиста ради пре него што било шта отворите. Клијенту који зове ка споља не треба никакво долазно правило. Серверу треба сопствени слушалац, сопствена аутентификација и узак транспорт. Циљу дељења екрана треба приватни пут плус списак дозвољених корисника услуге. То су три различита пројекта, а подешавање DMZ не одговара добро ниједном од њих.

sudo lsof -nP -iTCP -sTCP:LISTEN

Покрените то на Mac-у и прочитајте списак. Ако ништа не слуша, ниједно долазно правило неће учинити да се услуга појави.

Упоредите изложеност, а не удобност

Прослеђивање свега повећава нападну површину на сваки порт који Mac излаже, укључујући услуге које сте заборавили да су омогућене. Уско прослеђивање излаже један порт интернету и још увек тражи сопствену аутентификацију апликације. Приватни пут не излаже ништа јавно, али захтева тунел пре приступа.

Удобност овде није пресудна, јер је удобна опција и она која отворено не успева. Ако се Mac повезује само ка споља, исправан број долазних отвора је нула, и ту реченицу вреди прочитати двапут пре отварања порта. Изабрати другачије значи прихватити изложеност која вам није потребна. Запишите ту изложеност и избор се обично реши сам.

Замените прослеђивање свега без прекида

Замена прослеђивања свега је вежба пописа пре него што је промена заштитног зида. Откријте која легитимна услуга тренутно зависи од широког правила и потврдите да замена ради за сваку. Затим уклоните запис DMZ и додајте само уско правило или приватни приступ који пројекат захтева. Остављање оба улаза отвореним током прелаза је начин на који привремено решење постаје трајно.

Држите заштитни зид домаћина и сопствену аутентификацију услуге на месту без обзира на пут. Тунел штити транспорт, а не јавни слушалац који се случајно налази на истој машини. Одржавање и ажурирања и даље одлучују да ли је услуга безбедна, а ажурирање фирмвера може тихо да промени шта широко правило пропушта. Документација произвођача за функцију DMZ домаћин каже исто о изложености, са мање речи.