Host DMZ trên router hay truy cập riêng tư: cái nào phù hợp với Mac?

Cài đặt host DMZ trên router gia đình nghe như một vùng bảo mật nhưng lại hoạt động như một chuyển tiếp bắt trọn mọi thứ. Mọi thứ đến từ internet mà không khớp với quy tắc nào khác đều được gửi tới địa chỉ LAN đã chọn. Đây là lối tắt để một dịch vụ vào hoạt động, không phải thiết kế để tiếp cận một chiếc Mac một cách riêng tư. Hãy so sánh nó với một quy tắc hẹp hoặc một đường riêng tư trước khi bật.

Cài đặt DMZ thực sự làm gì

Trên hầu hết firmware tiêu dùng, nhãn này có nghĩa chính xác một điều: lưu lượng vào không khớp được chuyển tiếp tới host được chỉ định. Nó không tạo ra một subnet riêng, một vùng tường lửa hay một ranh giới cách ly. Máy tính được chọn nhận mọi thứ mà router không biết phải làm gì.

Đó là lý do cài đặt này rất hiệu quả khi sửa một dịch vụ hỏng và rất yếu khi giới hạn những gì khác đi vào. Router đang làm điều được bảo, một cách rộng rãi. Không có gì trong firmware tách yêu cầu bạn muốn khỏi yêu cầu bạn không muốn.

Ba vai trò của Mac, ba cửa trước

Liệt kê những gì Mac thực sự làm trước khi mở bất cứ thứ gì. Một máy khách quay số ra ngoài không cần bất kỳ quy tắc vào nào. Một máy chủ cần trình lắng nghe riêng, xác thực riêng và một đường truyền hẹp. Một đích chia sẻ màn hình cần một đường riêng tư cùng danh sách người dùng được phép của dịch vụ. Đó là ba thiết kế khác nhau, và cài đặt DMZ không phù hợp tốt với bất kỳ thiết kế nào.

sudo lsof -nP -iTCP -sTCP:LISTEN

Chạy lệnh đó trên Mac và đọc danh sách. Nếu không có gì đang lắng nghe, không quy tắc vào nào khiến một dịch vụ xuất hiện.

So sánh mức phơi nhiễm, không phải sự tiện lợi

Chuyển tiếp mọi thứ mở rộng bề mặt tấn công tới mọi cổng mà Mac phơi ra, kể cả những dịch vụ bạn quên đã bật. Chuyển tiếp hẹp chỉ phơi một cổng ra internet và vẫn cần xác thực riêng của ứng dụng. Đường riêng tư không phơi gì ra công khai, đổi lại phải có đường hầm trước khi truy cập.

Sự tiện lợi không phải yếu tố quyết định ở đây, vì lựa chọn tiện lợi cũng chính là lựa chọn thất bại một cách công khai. Nếu Mac chỉ kết nối ra ngoài, số lỗ mở vào đúng là không, và câu đó đáng đọc hai lần trước khi mở một cổng. Chọn cách khác nghĩa là chấp nhận mức phơi nhiễm bạn không cần. Hãy ghi mức phơi nhiễm đó ra và lựa chọn thường tự sáng tỏ.

Thay thế chuyển tiếp mọi thứ mà không gián đoạn

Thay thế chuyển tiếp mọi thứ là một bài tập kiểm kê trước khi là một thay đổi tường lửa. Tìm hiểu dịch vụ hợp pháp nào hiện phụ thuộc vào quy tắc rộng, và xác nhận bản thay thế hoạt động cho từng dịch vụ. Sau đó xóa mục DMZ và chỉ thêm quy tắc hẹp hoặc truy cập riêng tư mà thiết kế yêu cầu. Để cả hai lối vào mở trong lúc chuyển đổi chính là cách một giải pháp tạm thời trở nên vĩnh viễn.

Giữ tường lửa của host và xác thực riêng của dịch vụ tại chỗ bất kể đường nào. Đường hầm bảo vệ việc truyền tải, không phải một trình lắng nghe công khai tình cờ nằm trên cùng máy. Việc bảo trì và cập nhật vẫn quyết định dịch vụ có an toàn hay không, và một bản cập nhật firmware có thể âm thầm thay đổi những gì quy tắc rộng cho phép đi vào. Tài liệu của nhà sản xuất cho tính năng host DMZ nói điều tương tự về mức phơi nhiễm, với ít từ hơn.