DMZ โฮสต์บนเราเตอร์หรือการเข้าถึงแบบส่วนตัว: แบบใดเหมาะกับ Mac?

การตั้งค่า DMZ โฮสต์บนเราเตอร์ในบ้านฟังดูเหมือนโซนความปลอดภัย แต่ทำงานเหมือนการส่งต่อทุกสิ่ง ทุกอย่างที่มาจากอินเทอร์เน็ตและไม่ตรงกับกฎอื่นจะถูกส่งไปยังที่อยู่ LAN ที่เลือกไว้ นี่เป็นทางลัดเพื่อให้บริการขาเข้าทำงาน ไม่ใช่การออกแบบเพื่อเข้าถึง Mac เครื่องเดียวอย่างเป็นส่วนตัว เปรียบเทียบกับกฎแคบ ๆ หรือเส้นทางส่วนตัวก่อนเปิดใช้งาน

การตั้งค่า DMZ ทำอะไรจริง ๆ

ในเฟิร์มแวร์ผู้ใช้ส่วนใหญ่ ป้ายนี้หมายถึงสิ่งเดียวเท่านั้น คือทราฟฟิกขาเข้าที่ไม่ตรงกันจะถูกส่งต่อไปยังโฮสต์ที่กำหนด คอมพิวเตอร์ที่เลือกจะได้รับทุกอย่างที่เราเตอร์ไม่รู้ว่าจะจัดการอย่างไร

นั่นคือเหตุผลที่การตั้งค่านี้มีประสิทธิผลมากในการซ่อมบริการที่เสีย และอ่อนแอมากในการจำกัดสิ่งอื่นที่เข้ามา เราเตอร์ทำตามที่ถูกสั่งอย่างกว้าง ๆ ไม่มีอะไรในเฟิร์มแวร์ที่แยกคำขอที่คุณต้องการออกจากคำขอที่คุณไม่ต้องการ

สามบทบาทของ Mac สามประตูหน้า

เขียนรายการสิ่งที่ Mac ทำจริงก่อนเปิดอะไรก็ตาม ไคลเอนต์ที่หมุนออกไปข้างนอกไม่ต้องใช้กฎขาเข้าเลย เซิร์ฟเวอร์ต้องมีตัวรับฟังของตัวเอง การยืนยันตัวตนของตัวเอง และการขนส่งที่แคบ เป้าหมายการแชร์หน้าจอต้องมีเส้นทางส่วนตัวพร้อมรายชื่อผู้ใช้ที่ได้รับอนุญาตของบริการนั้น ทั้งสามแบบเป็นการออกแบบที่ต่างกัน และการตั้งค่า DMZ ไม่เหมาะกับแบบใดเลย

sudo lsof -nP -iTCP -sTCP:LISTEN

รันสิ่งนั้นบน Mac แล้วอ่านรายการ หาก ไม่มีอะไรกำลังรับฟัง กฎขาเข้าใดก็ไม่ทำให้บริการปรากฏขึ้น

เปรียบเทียบการเปิดเผย ไม่ใช่ความสะดวก

การส่งต่อทุกสิ่งขยายพื้นผิวการโจมตีไปยังทุกพอร์ตที่ Mac เปิดเผย รวมถึงบริการที่คุณลืมว่าเปิดไว้ การส่งต่อแบบแคบเปิดเผยพอร์ตเดียวสู่อินเทอร์เน็ตและยังต้องมีการยืนยันตัวตนของแอปพลิเคชันเอง เส้นทางส่วนตัวไม่เปิดเผยอะไรต่อสาธารณะ แต่ต้องมีอุโมงค์ก่อนเข้าถึง

ความสะดวกไม่ใช่ตัวตัดสินในที่นี้ เพราะตัวเลือกที่สะดวกก็คือตัวเลือกที่ล้มเหลวแบบเปิดเผยเช่นกัน หาก Mac เชื่อมต่อออกไปข้างนอกเท่านั้น จำนวนช่องขาเข้าที่ถูกต้องคือศูนย์ และประโยคนั้นควรอ่านสองครั้งก่อนเปิดพอร์ต การเลือกอย่างอื่นหมายถึงการยอมรับการเปิดเผยที่คุณไม่จำเป็นต้องมี จดการเปิดเผยนั้นไว้ แล้วทางเลือกมักจะชัดเจนในตัวเอง

แทนที่การส่งต่อทุกสิ่งโดยไม่มีการหยุดให้บริการ

การแทนที่การส่งต่อทุกสิ่งเป็นการฝึกทำบัญชีก่อนที่จะเป็นการเปลี่ยนแปลงไฟร์วอลล์ ค้นหาว่าบริการที่ชอบด้วยกฎหมายใดพึ่งพากฎกว้างนี้อยู่ และยืนยันว่าตัวแทนทำงานได้สำหรับแต่ละบริการ จากนั้นลบรายการ DMZ และเพิ่มเฉพาะกฎแคบหรือการเข้าถึงส่วนตัวที่การออกแบบต้องการ การปล่อยให้ทั้งสองทางเข้าถูกเปิดไว้ระหว่างการเปลี่ยนผ่านคือวิธีที่การแก้ปัญหาชั่วคราวกลายเป็นถาวร

รักษาไฟร์วอลล์ของโฮสต์และการยืนยันตัวตนของบริการไว้ในที่เดิมไม่ว่าเส้นทางจะเป็นเช่นไร อุโมงค์ปกป้องการขนส่ง ไม่ใช่ตัวรับฟังสาธารณะที่บังเอิญอยู่บนเครื่องเดียวกัน การบำรุงรักษาและการอัปเดตยังคงตัดสินว่าบริการปลอดภัยหรือไม่ และการอัปเดตเฟิร์มแวร์สามารถเปลี่ยนสิ่งที่กฎกว้างอนุญาตให้ผ่านได้อย่างเงียบ ๆ เอกสารของผู้ผลิตสำหรับ คุณสมบัติ DMZ โฮสต์ กล่าวถึงการเปิดเผยในสิ่งเดียวกัน ด้วยคำที่น้อยกว่า