Yönlendiricide DMZ ana bilgisayarı mı özel erişim mi: hangisi Mac için uygun?

Ev yönlendiricisindeki DMZ ana bilgisayarı ayarı bir güvenlik bölgesi gibi kulağa gelir ama her şeyi yakalayan bir iletim gibi davranır. İnternetten gelen ve başka hiçbir kuralla eşleşmeyen her şey seçilen LAN adresine gönderilir. Bu, gelen bir hizmeti çalıştırmanın kestirmesidir, tek bir Mac'e özel olarak ulaşmanın tasarımı değildir. Etkinleştirmeden önce onu dar bir kuralla veya özel bir yolla karşılaştırın.

DMZ ayarı gerçekte ne yapar

Çoğu tüketici yazılımında bu etiket tam olarak tek bir şey anlatır: eşleşmeyen gelen trafik atanan ana bilgisayara iletilir. Ayrı bir alt ağ, güvenlik duvarı bölgesi veya yalıtım sınırı oluşturmaz. Seçilen bilgisayar, yönlendiricinin ne yapacağını bilmediği her şeyi alır.

Bu yüzden ayar bozuk bir hizmeti onarmada çok etkili, başka ne geldiğini sınırlamada ise çok zayıftır. Yönlendirici kendisine söyleneni geniş biçimde yapıyor. Yazılımda istediğiniz isteği istemediğinizden ayıran hiçbir şey yok.

Üç Mac rolü, üç ön kapı

Bir şey açmadan önce Mac'in gerçekte ne yaptığını listeleyin. Dışarı arayan bir istemcinin gelen kurala hiç ihtiyacı yoktur. Sunucunun kendi dinleyicisine, kendi kimlik doğrulamasına ve dar bir taşımaya ihtiyacı vardır. Ekran paylaşımı hedefinin özel bir yola ve hizmetin izinli kullanıcı listesine ihtiyacı vardır. Bunlar üç farklı tasarımdır ve DMZ ayarı hiçbirine iyi uymaz.

sudo lsof -nP -iTCP -sTCP:LISTEN

Bunu Mac'te çalıştırın ve listeyi okuyun. Eğer hiçbir şey dinlemiyorsa, hiçbir gelen kural bir hizmeti görünür kılmaz.

Maruziyeti karşılaştırın, kolaylığı değil

Her şeyi iletmek saldırı yüzeyini Mac'in açtığı her bağlantı noktasına genişletir, açtığınızı unuttuğunuz hizmetler dahil. Dar iletim tek bir bağlantı noktasını internete açar ve yine de uygulamanın kendi kimlik doğrulamasını gerektirir. Özel yol hiçbir şeyi herkese açık sunmaz, karşılığında erişimden önce tüneli şart koşar.

Kolaylık burada belirleyici değildir, çünkü kolay seçenek açık biçimde başarısız olan seçenektir de. Mac yalnızca dışarı bağlanıyorsa, gelen açıklıkların doğru sayısı sıfırdır ve o cümle bir bağlantı noktası açmadan önce iki kez okunmaya değer. Aksi yönde seçmek ihtiyacınız olmayan bir maruziyeti kabul etmek demektir. O maruziyeti yazın, seçim genellikle kendi kendine netleşir.

Her şeyi iletmeyi kesintisiz değiştirin

Her şeyi iletmeyi değiştirmek, güvenlik duvarı değişikliği olmadan önce bir envanter alıştırmasıdır. Hangi meşru hizmetin şu anda geniş kurala bağlı olduğunu bulun ve değiştirmenin her biri için çalıştığını doğrulayın. Sonra DMZ girdisini kaldırın ve yalnızca tasarımın gerektirdiği dar kuralı veya özel erişimi ekleyin. Geçiş sırasında iki girişi de açık bırakmak, geçici bir çözümün kalıcı hale gelme yoludur.

Yol ne olursa olsun ana bilgisayarın güvenlik duvarını ve hizmetin kendi kimlik doğrulamasını yerinde tutun. Tünel taşımayı korur, aynı makinede tesadüfen oturan herkese açık bir dinleyiciyi değil. Bakım ve güncellemeler hizmetin güvenli olup olmadığına hâlâ karar verir ve bir yazılım güncellemesi geniş kuralın neyi içeri aldığını sessizce değiştirebilir. Üreticinin belgeleri DMZ ana bilgisayarı özelliği hakkında maruziyet konusunda aynı şeyi daha az kelimeyle söyler.