DMZ host sa router o pribadong access: alin ang bagay sa Mac?

Ang setting na DMZ host sa home router ay parang security zone ang tunog ngunit kumikilos na parang pasahan ng lahat. Lahat ng dumarating mula sa internet na hindi tumugma sa ibang tuntunin ay ipinapadala sa piniling LAN address. Ito ay shortcut upang gumana ang isang papasok na serbisyo, hindi disenyo upang maabot ang isang Mac nang pribado. Ihambing ito sa makitid na tuntunin o pribadong landas bago ito paganahin.

Ano ang totoong ginagawa ng setting na DMZ

Sa karamihan ng consumer firmware ang label ay nangangahulugang eksaktong isang bagay: ang hindi tugmang papasok na trapiko ay ipinapasa sa itinalagang host. Hindi ito gumagawa ng hiwalay na subnet, firewall zone o hangganan ng paghihiwalay. Natatanggap ng piniling computer ang lahat ng hindi alam ng router kung ano ang gagawin.

Kaya nga ang setting ay napakabisa sa pag-aayos ng sirang serbisyo at napakahina sa paglimita sa iba pang dumarating. Malawak na ginagawa ng router ang sinabi dito. Walang anuman sa firmware ang naghihiwalay sa kahilingang gusto mo mula sa hindi mo gusto.

Tatlong papel ng Mac, tatlong pintuan sa harap

Ilahad kung ano ang totoong ginagawa ng Mac bago magbukas ng anuman. Ang client na tumatawag palabas ay hindi nangangailangan ng anumang papasok na tuntunin. Ang server ay nangangailangan ng sarili nitong tagapakinig, sariling pagpapatunay at makitid na transport. Ang target ng screen sharing ay nangangailangan ng pribadong landas at listahan ng pinapayagang user ng serbisyo. Ito ay tatlong magkaibang disenyo, at ang setting na DMZ ay hindi bagay nang maayos sa alinman sa mga ito.

sudo lsof -nP -iTCP -sTCP:LISTEN

Patakbuhin iyon sa Mac at basahin ang listahan. Kung walang nakikinig, walang papasok na tuntunin ang magpapakita ng serbisyo.

Ihambing ang pagkakalantad, hindi ang kaginhawahan

Ang pasahan ng lahat ay nagpapalawak ng attack surface sa bawat port na inilalantad ng Mac, kabilang ang mga serbisyong nakalimutan mong paganahin. Ang makitid na pasahan ay naglalantad ng isang port sa internet at kailangan pa rin ang sariling pagpapatunay ng aplikasyon. Ang pribadong landas ay walang inilalantad sa publiko, kapalit ng paghingi ng tunnel bago ang access.

Ang kaginhawahan ay hindi ang tagapagdesisyon dito, dahil ang maginhawang opsyon ay siya ring nabibigo nang hayagan. Kung ang Mac ay kumokonekta lamang palabas, ang tamang bilang ng papasok na butas ay zero, at ang pangungusap na iyon ay dapat basahin nang dalawang beses bago magbukas ng port. Ang pumili ng iba ay nangangahulugang tanggapin ang pagkakalantad na hindi mo kailangan. Isulat ang pagkakalantad na iyon at kadalasan ay kusang nalilinaw ang pagpili.

Palitan ang pasahan ng lahat nang walang pagkaantala

Ang pagpapalit ng pasahan ng lahat ay pagsasanay sa imbentaryo bago maging pagbabago sa firewall. Alamin kung aling lehitimong serbisyo ang umaasa ngayon sa malawak na tuntunin, at tiyakin na gumagana ang kapalit para sa bawat isa. Pagkatapos ay alisin ang entry na DMZ at idagdag lamang ang makitid na tuntunin o pribadong access na kailangan ng disenyo. Ang iwanang bukas ang dalawang pasukan sa panahon ng paglipat ay ang paraan upang ang pansamantalang solusyon ay maging permanente.

Panatilihin ang firewall ng host at ang sariling pagpapatunay ng serbisyo sa lugar anuman ang landas. Pinoprotektahan ng tunnel ang transport, hindi ang pampublikong tagapakinig na nagkataong nasa parehong makina. Ang pagpapanatili at mga update ang humuhusga pa rin kung ligtas ang serbisyo, at ang update ng firmware ay maaaring tahimik na magbago ng ipinapapasok ng malawak na tuntunin. Ang dokumentasyon ng tagagawa para sa feature na DMZ host ay nagsasabi rin ng ganoon tungkol sa pagkakalantad, sa mas kaunting salita.