Η ρύθμιση μιας DMZ στο δρομολογητή σας για τη βελτίωση της σύνδεσης της κονσόλας σας είναι ένα από αυτά τα θέματα που δημιουργεί άπειρες απόψεις, μύθους και «μαγικές» λύσεις σε φόρουμ και βίντεο. Ωστόσο, αν περάσουμε στην τεχνική πλευρά, τα πράγματα είναι αρκετά σαφή: μια DMZ μπορεί να σας βοηθήσει να εξαλείψετε τα προβλήματα NAT και θυρών, αλλά έχει επίσης τους κινδύνους και τους περιορισμούς της που θα πρέπει να γνωρίζετε πολύ πριν την ενεργοποιήσετε.
Σε αυτό το άρθρο, θα βρείτε μια πλήρη και απλή εξήγηση για το τι είναι μια DMZ, τον πραγματικό σκοπό της με μια κονσόλα, τα πλεονεκτήματα και τα μειονεκτήματά της και τον τρόπο διαμόρφωσής της βήμα προς βήμα (ακόμα κι αν η κονσόλα σας είναι συνδεδεμένη σε έναν μη διαχειριζόμενο διακόπτη). Θα καλύψουμε επίσης περιπτώσεις όπου δεν πρέπει να τη χρησιμοποιείτε, ασφαλέστερες εναλλακτικές λύσεις και ορισμένες προηγμένες λεπτομέρειες που οι περισσότεροι οδηγοί τείνουν να παραβλέπουν.
Τι ακριβώς είναι μια DMZ σε ένα οικιακό δρομολογητή;
Στο πλαίσιο ενός οικιακού δρομολογητή, η DMZ (Αποστρατιωτικοποιημένη Ζώνη) είναι μια λειτουργία που σας επιτρέπει να ανακατευθύνετε όλη την εισερχόμενη κίνηση στο διαδίκτυο σε μία μόνο ιδιωτική διεύθυνση IP στο τοπικό σας δίκτυο . Αυτό σημαίνει ότι, αντί να ανοίγει τις θύρες μία προς μία (προώθηση θυρών), ο δρομολογητής στέλνει σχεδόν όλες τις θύρες στη συσκευή που έχετε ορίσει ως DMZ.
Σε τεχνικό επίπεδο, οι περισσότεροι οικιακοί δρομολογητές εκτελούν κάποια παραλλαγή του Linux και υλοποιούν τείχη προστασίας χρησιμοποιώντας iptables ή nftables για την εκτέλεση NAT και το φιλτράρισμα της κίνησης . Το "DMZ" είναι απλώς ένας ειδικός κανόνας στο τέλος της αλυσίδας NAT: εάν ένα πακέτο φτάσει από το διαδίκτυο και δεν ταιριάζει με κάποια συγκεκριμένη προώθηση θύρας, αποστέλλεται στη διεύθυνση IP που ορίζεται ως DMZ.
Αυτή η διαμόρφωση σχεδιάστηκε αρχικά ως μια απομονωμένη ζώνη μεταξύ του εσωτερικού δικτύου (LAN) και του εξωτερικού δικτύου (Internet) , με σκοπό τη φιλοξενία δημόσιων διακομιστών (web, email, FTP, κ.λπ.) χωρίς να εκτίθεται άμεσα το ιδιωτικό δίκτυο. Σε οικιακά περιβάλλοντα, η ενσωματωμένη DMZ του δρομολογητή χρησιμοποιείται κυρίως για συσκευές που πρέπει να χειρίζονται πολλές εισερχόμενες συνδέσεις χωρίς την ταλαιπωρία του χειροκίνητου ανοίγματος θυρών.
Κύριες χρήσεις της Αποκλειστικής Ζώνης (DMZ) στο σπίτι
Παρόλο που η DMZ προήλθε από επιχειρηματικά περιβάλλοντα, χρησιμοποιείται σε οικιακά δίκτυα για πολλά συνηθισμένα σενάρια. Το πιο συνηθισμένο είναι τα διαδικτυακά παιχνίδια σε κονσόλες ή υπολογιστές όταν υπάρχουν προβλήματα NAT ή θύρας , αλλά δεν είναι το μόνο.
Διαδικτυακά παιχνίδια σε κονσόλα ή υπολογιστή
Εάν παίζετε online από την κονσόλα ή τον υπολογιστή σας και βλέπετε μηνύματα σχετικά με αυστηρούς, μέτριους ή παρόμοιους τύπους NAT, πιθανότατα έχετε μπλοκάρει θύρες που εμποδίζουν την κονσόλα σας να επικοινωνεί σωστά με τους διακομιστές ή άλλους παίκτες . Σε αυτές τις περιπτώσεις, πολλοί χρήστες επιλέγουν να τοποθετήσουν την κονσόλα τους στην DMZ για να αποφύγουν να χρειάζεται να ρυθμίσουν συγκεκριμένες θύρες.
Τα διαδικτυακά παιχνίδια συνήθως χρησιμοποιούν συγκεκριμένα εύρη θυρών TCP και UDP , τα οποία, θεωρητικά, θα μπορούσατε να ανοίξετε χειροκίνητα στην ενότητα "Προώθηση θυρών" του δρομολογητή σας. Το πρόβλημα είναι ότι κάθε παιχνίδι χρησιμοποιεί διαφορετικές θύρες, οι οποίες αλλάζουν με τις ενημερώσεις και είναι πραγματικά δύσκολο να προσθέτετε κανόνες κάθε φορά που εγκαθιστάτε κάτι νέο.
Τοποθετώντας την κονσόλα στην DMZ, όλες οι θύρες που δεν έχουν ήδη προωθηθεί ρητά κατευθύνονται στην κονσόλα, αποτρέποντας μέτριες διενέξεις NAT και προβλήματα matchmaking . Δεν θα χρειάζεται να "ψάχνετε" για ποια θύρα χρειάζεται κάθε παιχνίδι ή να βασίζεστε στο uPnP του δρομολογητή σας για να λειτουργήσει σωστά.
Όσον αφορά την ασφάλεια, πολλοί ειδικοί συμφωνούν ότι η τοποθέτηση μιας σύγχρονης κονσόλας (PlayStation, Xbox, Nintendo Switch, κ.λπ.) στην αποστρατιωτικοποιημένη ζώνη (DMZ) δεν ενέχει τόσο υψηλό κίνδυνο όσο η τοποθέτηση ενός υπολογιστή . Πρόκειται για κλειστά συστήματα με πολλούς λειτουργικούς περιορισμούς, μικρότερη επιφάνεια επίθεσης και αρκετά αυστηρό έλεγχο του λογισμικού που εκτελείται σε αυτά. Αυτό δεν σημαίνει ότι είναι άτρωτα, αλλά τα τρωτά σημεία που επηρεάζουν έναν υπολογιστή γενικής χρήσης συνήθως δεν ισχύουν για μια κονσόλα με τον ίδιο τρόπο.
Με έναν υπολογιστή, η κατάσταση αλλάζει: η πλήρης έκθεση ενός υπολογιστή στο διαδίκτυο μέσω μιας DMZ είναι ελάχιστα αποδεκτή μόνο εάν έχετε ένα πολύ καλά διαμορφωμένο τείχος προστασίας και το σύστημα είναι ενημερωμένο με ενημερώσεις κώδικα . Διαφορετικά, γίνεστε εύκολος στόχος για αυτοματοποιημένες σαρώσεις θυρών και εκμετάλλευση γνωστών ευπαθειών.
Δοκιμές τείχους προστασίας ή VPN σε υπολογιστή
Μια άλλη συνηθισμένη χρήση της DMZ είναι η δοκιμή του τείχους προστασίας ή του διακομιστή VPN εκτός του δικτύου σας . Εάν υποψιάζεστε κάποιο πρόβλημα με τη διαμόρφωση της θύρας σας ή πιστεύετε ότι το τείχος προστασίας σας μπλοκάρει περισσότερο από όσο θα έπρεπε, η προσωρινή τοποθέτηση της συσκευής στην DMZ σάς επιτρέπει να ελέγξετε γρήγορα εάν το πρόβλημα προέρχεται από τον δρομολογητή.
Πρωτόκολλα όπως το IPsec απαιτούν να είναι ανοιχτές πολλές θύρες ταυτόχρονα και, ακόμη και με σωστή διαμόρφωση, μερικές φορές μπορεί να προκύψουν διενέξεις με το NAT . Σε αυτές τις περιπτώσεις, η ενεργοποίηση της DMZ για τη διεύθυνση IP του διακομιστή βοηθά στον αποκλεισμό του δρομολογητή ως πηγής του αποκλεισμού της κυκλοφορίας. Μόλις επαληθεύσετε ότι το VPN λειτουργεί, η λογική προσέγγιση είναι να κλείσετε την DMZ και να αφήσετε ανοιχτές μόνο τις απολύτως απαραίτητες θύρες.
Παρακολούθηση και ανάλυση κυκλοφορίας
Σε πιο προηγμένο επίπεδο, μια DMZ χρησιμοποιείται επίσης ως σημείο παρατήρησης για την ανάλυση της κίνησης που φτάνει από το Διαδίκτυο . Χρησιμοποιώντας εργαλεία καταγραφής (αναγνωριστικά, αναλυτές πρωτοκόλλων, IDS/IPS κ.λπ.), είναι δυνατό να μελετηθούν τα πακέτα που διασχίζουν αυτήν τη ζώνη, να εξεταστούν οι προελεύσεις, οι προορισμοί, τα πρωτόκολλα και το περιεχόμενο, και να εντοπιστούν ύποπτα μοτίβα.
Αυτές οι εφαρμογές συνήθως ενσωματώνουν καταγραφή και αποθήκευση κυκλοφορίας για μεταγενέστερη ανάλυση , επιτρέποντας μια διεξοδική ανασκόπηση συμβάντων ή σφαλμάτων μετά την εμφάνισή τους. Πολλές χρησιμοποιούν ακόμη και αλγόριθμους μηχανικής μάθησης και τεχνητή νοημοσύνη για να διακρίνουν μεταξύ κανονικής συμπεριφοράς και πιθανών απειλών, παρουσιάζοντας τα αποτελέσματα σε αρκετά εύχρηστους γραφικούς πίνακες ελέγχου.
Είναι σημαντικό να έχετε κατά νου ότι η Αποστρατιωτικοποιημένη Ζώνη (DMZ) είναι συνήθως η περιοχή που δέχεται τις περισσότερες επιθέσεις, ακριβώς επειδή είναι το πιο εκτεθειμένο μέρος του δικτύου σας . Γι' αυτό, σε σοβαρά περιβάλλοντα, συνδυάζονται διάφορα εργαλεία παρακολούθησης, συστήματα ανίχνευσης εισβολών (IDS) και συστήματα πρόληψης εισβολών (IPS), ενισχύοντας αυτήν την πρώτη γραμμή άμυνας.
Επαγγελματική χρήση: Προστατευμένοι δημόσιοι διακομιστές
Σε μια εταιρεία, μια DMZ χρησιμοποιείται για τη φιλοξενία διακομιστών προσβάσιμων από το διαδίκτυο (ιστός, email, FTP, API κ.λπ.) σε ένα υποδίκτυο ξεχωριστό από το εσωτερικό LAN . Με αυτόν τον τρόπο, ακόμη και αν ένας εισβολέας θέσει σε κίνδυνο έναν από αυτούς τους διακομιστές, θα ήταν πολύ πιο δύσκολο για αυτόν να φτάσει στο δίκτυο όπου βρίσκονται οι υπολογιστές των εργαζομένων ή ευαίσθητες πληροφορίες.
Η ιδέα είναι ότι το τείχος προστασίας φιλτράρει την κίνηση μεταξύ του διαδικτύου και της DMZ, καθώς και μεταξύ της DMZ και του LAN . Επιτρέπεται μόνο ό,τι είναι απολύτως απαραίτητο: για παράδειγμα, πρόσβαση HTTP/HTTPS από το διαδίκτυο στον διακομιστή ιστού και ίσως πρόσβαση σε μια βάση δεδομένων από το LAN στην DMZ, αλλά όχι αντίστροφα. Αυτό προσθέτει ένα επιπλέον επίπεδο προστασίας από ολοένα και πιο συχνές διαρροές δεδομένων και επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) .
Αποφύγετε το διπλό NAT όταν χρησιμοποιείτε τον δικό σας δρομολογητή
Ένα πολύ συνηθισμένο σενάριο με τις συνδέσεις οπτικών ινών είναι η επιθυμία σας να χρησιμοποιήσετε τον δικό σας δρομολογητή επειδή αυτός που παρέχεται από τον πάροχο υπηρεσιών Διαδικτύου είναι ανεπαρκής, παγώνει ή έχει πολύ κακό Wi-Fi . Το πρόβλημα είναι ότι πολλοί πάροχοι υπηρεσιών Διαδικτύου δεν επιτρέπουν τη λειτουργία true bridge, δεν παρέχουν διαπιστευτήρια ONT ή απλώς απενεργοποιούν τις προηγμένες επιλογές.
Εάν δεν μπορείτε να θέσετε τον δρομολογητή του ISP σε λειτουργία γέφυρας, είστε αναγκασμένοι να συνδέσετε τον "καλό" δρομολογητή σας πίσω από τον δικό τους, κάτι που περιλαμβάνει διπλό NAT (δύο δρομολογητές που εκτελούν αλυσιδωτή μετάφραση διευθύνσεων IP) . Σε αυτήν την περίπτωση, για να λάβει μια συσκευή πίσω από τον δρομολογητή σας συνδέσεις στο διαδίκτυο, θα πρέπει να ανοίξετε θύρες στον δρομολογητή του ISP που να δείχνουν προς τον δικό σας και, στη συνέχεια, στον δρομολογητή σας που να δείχνουν προς την τελική συσκευή.
Για να απλοποιηθούν τα πράγματα, πολλοί χρήστες διαμορφώνουν μια DMZ στον δρομολογητή του ISP τους, υποδεικνύοντας τη διεύθυνση IP WAN του δεύτερου δρομολογητή τους . Με αυτόν τον τρόπο, όλη η εισερχόμενη κίνηση χωρίς προώθηση θυρών που έχει οριστεί στον δρομολογητή του ISP ανακατευθύνεται στον δεύτερο δρομολογητή και χρειάζεται μόνο να διαχειριστείτε τις θύρες σε αυτόν τον δρομολογητή. Είναι ένας πρακτικός τρόπος για να "προσομοιώσετε" τη λειτουργία γέφυρας όταν ο ISP δεν την προσφέρει.
Πλεονεκτήματα και μειονεκτήματα της χρήσης DMZ
Μια Αποκεντρωμένη Ζώνη (DMZ) μπορεί να ακούγεται σαν η απόλυτη λύση σε όλα τα προβλήματα συνδεσιμότητας, αλλά όπως συμβαίνει σχεδόν πάντα, αυτό που κερδίζετε σε μια περιοχή το χάνετε σε μια άλλη . Είναι σημαντικό να λάβετε προσεκτικά υπόψη την ισορροπία μεταξύ ευκολίας και ασφάλειας.
Πλεονέκτημα
Ένα από τα μεγαλύτερα πλεονεκτήματα είναι η απλότητά του όταν χρειάζεται να ανοίξετε πολλές θύρες ή δεν είστε σίγουροι ποιες ακριβώς απαιτεί μια εφαρμογή ή ένα παιχνίδι . Αντί να ψάχνετε για τεκμηρίωση ή να κάνετε δοκιμές και σφάλματα, απλώς εισάγετε τη διεύθυνση IP της κονσόλας ή της συσκευής στην DMZ και το μυστήριο λύνεται.
Επιπλέον, στο αρχικό πλαίσιο των τμηματοποιημένων δικτύων, μια καλά σχεδιασμένη DMZ μειώνει την επιφάνεια άμεσης επίθεσης στο εσωτερικό δίκτυο . Οι εκτεθειμένες υπηρεσίες συγκεντρώνονται σε ένα ενδιάμεσο υποδίκτυο που μπορεί να συντηρείται και να ενημερώνεται χωρίς να επηρεάζεται το τοπικό δίκτυο (LAN), απλοποιώντας τη συντήρηση και τη διαχείριση κινδύνων.
Μειονεκτήματα και κίνδυνοι ασφάλειας
Το μειονέκτημα είναι σαφές: το άνοιγμα όλων των θυρών μιας συσκευής στο διαδίκτυο την καθιστά πολύ πιο ευάλωτη σε αυτοματοποιημένες σαρώσεις και επιθέσεις . Σε έναν υπολογιστή ή διακομιστή γενικής χρήσης, αυτό μπορεί να αποτελέσει σοβαρό πρόβλημα εάν το τοπικό σας τείχος προστασίας δεν έχει ρυθμιστεί σωστά και το σύστημά σας δεν είναι ενημερωμένο με τις πιο πρόσφατες ενημερώσεις ασφαλείας.
Η δημιουργία μιας σωστής DMZ (με τμηματοποίηση, καλά διαμορφωμένα τείχη προστασίας, πολλαπλές ζώνες κ.λπ.) δεν είναι εύκολη υπόθεση και μπορεί να συνεπάγεται κόστος υλικού και χρόνου . Σε ένα οικιακό περιβάλλον, η DMZ του δρομολογητή είναι συνήθως μια απλούστευση, αλλά για πιο σύνθετες υποδομές, μπορεί να χρειαστείτε αποκλειστικούς διακόπτες, περισσότερα από ένα τείχη προστασίας και σημαντικές γνώσεις δικτύωσης.
Επομένως, πολλοί ειδικοί συνιστούν σε ένα σπίτι να χρησιμοποιείται πρώτα η κλασική προώθηση θυρών και η DMZ να χρησιμοποιείται μόνο ως έσχατη λύση ή προσωρινά όταν προσπαθείτε να εντοπίσετε ένα συγκεκριμένο πρόβλημα με ένα παιχνίδι ή μια εφαρμογή.
Πότε δεν πρέπει να χρησιμοποιείτε DMZ
Υπάρχουν περιπτώσεις όπου η ενεργοποίηση της DMZ είναι απλώς κακή ιδέα. Αντί να βελτιώσει τα πράγματα, μπορεί να αυξήσει σημαντικά την έκθεσή σας σε ευπάθειες.
Ευάλωτες ή μη συντηρούμενες συσκευές
Εάν η συσκευή που θέλετε να εκθέσετε έχει γνωστά τρωτά σημεία ασφαλείας, παρωχημένο υλικολογισμικό ή εγκαταλελειμμένο λογισμικό , η τοποθέτησή της στην DMZ είναι σαν να κρεμάς μια πινακίδα με την ένδειξη "ανοιχτή πόρτα" στο διαδίκτυο. Φθηνές κάμερες IP, παλιές συσκευές NAS, παρωχημένοι δρομολογητές ή υπολογιστές χωρίς ενημερώσεις κώδικα είναι εύκολοι στόχοι.
Παρόλο που μερικές φορές λέγεται ότι «αν δεν γνωρίζετε κανένα πρόβλημα, δεν θα συμβεί τίποτα», η πραγματικότητα είναι ότι πολλά τρωτά σημεία δεν εντοπίζονται μέχρι να έχουν ήδη αξιοποιηθεί . Γι' αυτό είναι συνετό να είστε πολύ προσεκτικοί πριν τοποθετήσετε οτιδήποτε στην DMZ που δεν ελέγχετε πλήρως.
Έλλειψη ελέγχου και τμηματοποίησης της κυκλοφορίας
Όταν ενεργοποιείτε το DMZ σε έναν οικιακό δρομολογητή, όλη η εισερχόμενη κίνηση χωρίς προκαθορισμένους κανόνες καταλήγει στη διαμορφωμένη συσκευή . Δεν υπάρχει ενδιάμεσο τείχος προστασίας που να παρέχει λεπτομερές φιλτράρισμα, επομένως οι απειλές φτάνουν απευθείας στην εκτεθειμένη συσκευή.
Εάν το δίκτυό σας δεν είναι χωρισμένο σε υποδίκτυα ή VLAN, μια παραβιασμένη συσκευή στην DMZ μπορεί να λειτουργήσει ως πύλη προς το υπόλοιπο LAN σας . Εάν έχετε σημαντικά δεδομένα ή κρίσιμες συσκευές στο ίδιο δίκτυο, πολλαπλασιάζετε εν αγνοία σας τον κίνδυνο.
Πιθανά σφάλματα διαμόρφωσης
Η DMZ απαιτεί η διεύθυνση IP της εκτεθειμένης συσκευής να είναι σταθερή (στατική ή δεσμευμένη μέσω DHCP) . Εάν δεν το ελέγχετε αυτό, υπάρχει κίνδυνος ο δρομολογητής να εκχωρήσει διαφορετική διεύθυνση IP με την πάροδο του χρόνου, με αποτέλεσμα όλες οι θύρες να είναι ανοιχτές σε λάθος συσκευή.
Εάν δεν έχετε εμπειρία στη διαχείριση δικτύου, ένα λάθος στη διαμόρφωση της DMZ μπορεί να αποκαλύψει περισσότερα από όσα σκοπεύατε χωρίς να το συνειδητοποιήσετε . Σε αυτές τις περιπτώσεις, είναι συνήθως πιο συνετό να επιλέξετε πιο ασφαλείς εναλλακτικές λύσεις, όπως ένα καλό σύστημα προώθησης θυρών ή ένα VPN.
Συσκευές IoT (κάμερες, λάμπες κ.λπ.)
Δεν συνιστάται ιδιαίτερα η τοποθέτηση φθηνών συσκευών IoT (κάμερες, έξυπνες πρίζες, έξυπνες λάμπες κ.λπ.) στην αποσυμφορημένη ζώνη (DMZ ). Αυτός ο τύπος υλικού συχνά χρησιμοποιεί κακώς συντηρούμενο υλικολογισμικό, με γνωστά τρωτά σημεία ασφαλείας και λίγες ή καθόλου ενημερώσεις με την πάροδο του χρόνου.
Αν χρειάζεται να έχετε πρόσβαση σε αυτά εκτός δικτύου, είναι καλύτερο να ανοίξετε μόνο τις απαραίτητες θύρες ή, ακόμα καλύτερα, να έχετε πρόσβαση σε αυτές μέσω VPN . Το να αφήσετε μια αμφισβητήσιμη κάμερα πλήρως εκτεθειμένη στο διαδίκτυο είναι μια συνταγή για προβλήματα.
Η DMZ ανοίγει όντως όλα τα λιμάνια;
Μία πολύ σημαντική τεχνική λεπτομέρεια: στους περισσότερους δρομολογητές, οι κανόνες προώθησης θυρών υπερισχύουν του γενικού κανόνα DMZ . Αυτό σημαίνει ότι εάν έχετε ήδη αντιστοιχίσει τη θύρα 80 σε έναν συγκεκριμένο υπολογιστή, αυτή η κίνηση δεν θα αποστέλλεται στη διεύθυνση IP DMZ, αλλά στη συσκευή που καθορίζεται στους κανόνες προώθησης.
Εσωτερικά, το iptables/nftables επεξεργάζεται τους κανόνες με συγκεκριμένη σειρά και η καταχώρηση DMZ βρίσκεται συνήθως στο τέλος της αλυσίδας . Οτιδήποτε ταιριάζει με μια ρητή προώθηση εφαρμόζεται πρώτο. Μόνο τα υπόλοιπα καταλήγουν στην IP της DMZ. Αυτό είναι σημαντικό αν υποθέσετε ότι "όλα" πηγαίνουν στην κονσόλα, επειδή ενδέχεται να υπάρχουν ήδη θύρες που έχουν δεσμευτεί για άλλες συσκευές.
Προηγμένες εναλλακτικές λύσεις στην κλασική DMZ
Αν ανησυχείτε για την ασφάλεια, αλλά χρειάζεται να εκθέσετε υπηρεσίες στο διαδίκτυο, υπάρχουν πιο ευέλικτες και ισχυρές εναλλακτικές λύσεις από μια απλή DMZ σε έναν οικιακό δρομολογητή . Αυτές συνήθως απαιτούν περισσότερες τεχνικές γνώσεις και μερικές φορές πρόσθετο υλικό.
Μια επιλογή είναι η εγκατάσταση ενός τείχους προστασίας απευθείας στον διακομιστή που ελέγχει με ακρίβεια τις εισερχόμενες και εξερχόμενες επικοινωνίες από και προς το τοπικό δίκτυο. Μια άλλη επιλογή είναι η χρήση ενός τριμερούς τείχους προστασίας με τρεις φυσικές διεπαφές: μία για το ιδιωτικό LAN, μία για την DMZ και μία για το διαδίκτυο, τμηματοποιώντας σωστά κάθε ζώνη.
Εναλλακτικά, μπορείτε να επιλέξετε πολλά ξεχωριστά τείχη προστασίας : ένα που προστατεύει το ιδιωτικό δίκτυο και ένα άλλο την DMZ. Αυτό είναι πιο ακριβό και περίπλοκο στη διαχείριση, αλλά παρέχει πολύ ανώτερη ασφάλεια, καθώς ένας εισβολέας θα πρέπει να παρακάμψει δύο διαφορετικές συσκευές, ιδανικά ακόμη και από διαφορετικούς κατασκευαστές.
Τέλος, υπάρχουν διαμορφώσεις όπου το τείχος προστασίας εφαρμόζει εντελώς διαφορετικές πολιτικές ανάλογα με το εύρος IP , αντιμετωπίζοντας κάθε ζώνη με συγκεκριμένους κανόνες. Σε όλα αυτά τα σενάρια, ο στόχος είναι ο ίδιος: να αναγκαστεί μια επίθεση να ξεπεράσει πολλά επίπεδα άμυνας πριν φτάσει στο πραγματικά ευάλωτο δίκτυο.
Πρωτόκολλο DMZ και IPv6
Με το IPv6, πολλά πράγματα αλλάζουν σε σύγκριση με το IPv4, ξεκινώντας από το γεγονός ότι το NAT δεν χρησιμοποιείται με τον ίδιο τρόπο . Κάθε συσκευή λαμβάνει μια μοναδική παγκόσμια διεύθυνση IPv6, στην οποία είναι άμεσα προσβάσιμη από το Διαδίκτυο, εκτός εάν μπλοκαριστεί από τείχος προστασίας.
Για να ρυθμίσετε μια DMZ στο IPv6, χρειάζεστε κάτι περισσότερο από ένα απλό υποδίκτυο /64 . Στο IPv6, κάθε ζώνη ασφαλείας (LAN, DMZ, guest, κ.λπ.) πρέπει να έχει τη δική της διεύθυνση /64, επομένως συνήθως ζητάτε ένα μεγαλύτερο μπλοκ από τον ISP σας, όπως /56 ή /48, το οποίο μπορείτε να διαιρέσετε σε πολλές διευθύνσεις /64.
Αντί να χειρίζεστε το NAT, ρυθμίζετε το τείχος προστασίας για να ορίσετε ποια κίνηση επιτρέπεται μεταξύ του διαδικτύου και της DMZ, και μεταξύ της DMZ και του LAN . Για παράδειγμα, θα μπορούσατε να εξουσιοδοτήσετε μόνο κίνηση HTTP/HTTPS από το διαδίκτυο σε έναν διακομιστή ιστού στην DMZ, και μόνο συγκεκριμένες υπηρεσίες από την DMZ στο LAN. Η έννοια παραμένει αυτή μιας ελεγχόμενης ζώνης buffer, αλλά βασίζεται σε κανόνες φιλτραρίσματος αντί για μετάφραση διευθύνσεων.
Πώς να ρυθμίσετε μια DMZ για την κονσόλα σας βήμα προς βήμα
Ας ξεκινήσουμε λοιπόν: πώς να αφήσετε την κονσόλα σας στην DMZ σχετικά με ασφάλεια και χωρίς να χαλάσει η διαμόρφωσή σας μετά από μερικές ημέρες. Η βασική ιδέα είναι πάντα η ίδια: μια στατική διεύθυνση IP για την κονσόλα και η DMZ που να δείχνει σε αυτήν τη διεύθυνση IP.
Βήμα 1: Εκχωρήστε μια στατική διεύθυνση IP στην κονσόλα
Το πρώτο πράγμα που πρέπει να κάνετε είναι να βεβαιωθείτε ότι η κονσόλα έχει πάντα την ίδια διεύθυνση IP εντός του τοπικού σας δικτύου , επειδή η DMZ του δρομολογητή έχει ρυθμιστεί ώστε να δείχνει σε μια συγκεκριμένη διεύθυνση IP. Εάν αυτό αλλάξει, η κίνηση θα δρομολογηθεί σε άλλη συσκευή.
Έχετε δύο τυπικούς τρόπους για να το κάνετε:
- Στατική διεύθυνση IP στην ίδια την κονσόλαΑποκτάτε πρόσβαση στις ρυθμίσεις δικτύου της κονσόλας, απενεργοποιείτε την αυτόματη λήψη διεύθυνσης IP (DHCP) και εισάγετε χειροκίνητα τη διεύθυνση IP, τη μάσκα υποδικτύου, την πύλη και τη διεύθυνση διακομιστή DNS. Είναι καλύτερο αυτή η διεύθυνση IP να βρίσκεται εκτός του εύρους που έχει εκχωρηθεί από τον διακομιστή DHCP του δρομολογητή για να αποφύγετε διενέξεις.
- Στατικό DHCP στο δρομολογητήΣτον πίνακα ελέγχου του δρομολογητή σας, αναζητήστε κάτι όπως "Manual Assignment", "Static DHCP" ή παρόμοιο. Επιλέξτε την κονσόλα (με βάση τη διεύθυνση MAC της), αντιστοιχίστε της μια διεύθυνση IP εντός του εύρους DHCP και αποθηκεύστε. Από τότε και στο εξής, θα λαμβάνει πάντα την ίδια διεύθυνση IP.
Για παράδειγμα, σε πολλούς δρομολογητές ASUS θα πρέπει να μεταβείτε στο LAN > DHCP Server, να ενεργοποιήσετε τη χειροκίνητη εκχώρηση, να επιλέξετε την κονσόλα σας από τη λίστα, να της εκχωρήσετε μια διεύθυνση IP (για παράδειγμα, 192.168.1.50) και να εφαρμόσετε τις αλλαγές.
Βήμα 2: Ενεργοποιήστε την DMZ στο δρομολογητή
Μόλις μάθετε τη στατική διεύθυνση IP της κονσόλας, πρέπει να πείτε στον δρομολογητή να δρομολογεί όλη την εισερχόμενη κίνηση χωρίς συγκεκριμένη θύρα προς αυτήν. Η γενική διαδικασία είναι συνήθως παρόμοια στους περισσότερους κατασκευαστές:
- Συνδέετε έναν υπολογιστή ή μια κινητή συσκευή στο δρομολογητή (μέσω καλωδίου ή Wi-Fi) και Μπορείτε να αποκτήσετε πρόσβαση στη διεπαφή ιστού πληκτρολογώντας τη διεύθυνση IP LAN του δρομολογητή στο πρόγραμμα περιήγησής σας. (κάτι σαν 192.168.1.1, 192.168.0.1 ή η διεύθυνση URL που αναγράφεται στο αυτοκόλλητο, π.χ. http://www.asusrouter.com).
- Συνδεθείτε με το όνομα χρήστη και τον κωδικό πρόσβασης διαχειριστή σας. Εάν δεν τα γνωρίζετε, Ελέγξτε την ετικέτα του δρομολογητή ή το εγχειρίδιο.Τελικά, μια επαναφορά εργοστασιακών ρυθμίσεων επαναφέρει τα προεπιλεγμένα διαπιστευτήρια.
- Ψάχνετε για το τμήμα του DMZ, η οποία συνήθως βρίσκεται εντός WAN, ασφάλειας, τείχους προστασίας, εικονικού διακομιστή ή εφαρμογών/παιχνιδιών, ανάλογα με τη μάρκα.
- Ενεργοποιείτε την επιλογή ενεργοποίησης DMZ και εισάγετε το τοπική διεύθυνση IP που έχετε αντιστοιχίσει στην κονσόλα.
- Αποθηκεύετε ή εφαρμόζετε τις αλλαγές, έτσι ώστε ο δρομολογητής να αρχίσει να ανακατευθύνει την κυκλοφορία.
Στους δρομολογητές ASUS, για παράδειγμα, η ροή θα ήταν: WAN > DMZ, ενεργοποιήστε το DMZ, εισαγάγετε τη διεύθυνση IP της κονσόλας (192.168.1.50 στο παράδειγμα) και εφαρμόστε το . Σε άλλα μοντέλα, τα ονόματα των μενού ενδέχεται να διαφέρουν, αλλά η λογική είναι πάντα η ίδια.
Κονσόλες Nintendo: συγκεκριμένες συστάσεις
Η Nintendo, στους επίσημους οδηγούς της, προσφέρει γενικές οδηγίες για τη δημιουργία μιας DMZ με το Switch (και άλλες κονσόλες) , αλλά πάντα τονίζει ότι η ασφάλεια του δικτύου αποτελεί ευθύνη του χρήστη. Η διαδικασία που περιγράφει έχει ως εξής:
- Από έναν υπολογιστή ή μια συσκευή δικτύου, Σημειώστε τη διεύθυνση IP, τη μάσκα υποδικτύου και την πύλη από το τοπικό δίκτυο.
- Εκχωρήστε ένα Στατική διεύθυνση IP για την κονσόλα με βάση αυτά τα δεδομένα.
- Εισαγάγετε τις ρυθμίσεις του δρομολογητή, εντοπίστε την ενότητα DMZ, ενεργοποιήστε την και Εισαγάγετε τη διεύθυνση IP της κονσόλας στο αντίστοιχο πεδίο..
- Αποθηκεύστε και εφαρμόστε για να εκθέσετε την κονσόλα στο Διαδίκτυο μέσω της DMZ.
Επιμένουν να αξιολογήσετε μόνοι σας εάν αυτή η έκθεση ταιριάζει στις ανάγκες ασφαλείας του οικιακού σας δικτύου , κάτι που σας υπενθυμίζει τους εγγενείς κινδύνους που ενέχει το άνοιγμα όλων των θυρών.
Βελτιώνει όντως το ping και την ποιότητα του παιχνιδιού;
Είναι σημαντικό να είμαστε πολύ σαφείς εδώ: η τοποθέτηση μιας κονσόλας στην DMZ δεν μειώνει μαγικά το ping σας ούτε κάνει τη σύνδεσή σας "ταχύτερη ". Αυτό που κάνει είναι να εξαλείφει τα προβλήματα με τις κλειστές θύρες και το NAT σε διένεξη, κάτι που μπορεί να οδηγήσει σε λιγότερα σφάλματα σύνδεσης, λιγότερες εναλλαγές παιχνιδιού και ομαλότερη εύρεση αντιστοιχιών.
Σε ορισμένα παιχνίδια με κακώς σχεδιασμένα συστήματα δικτύου, η έλλειψη ανοιχτών θυρών μπορεί να προκαλέσει ατελείωτο matchmaking, διακοπές λειτουργίας, σφάλματα σύνδεσης, τηλεμεταφορά, προβλήματα keep-alive και πολλά άλλα . Επιτρέποντας στους διακομιστές να επικοινωνούν ελεύθερα με την κονσόλα σας, αυτά τα προβλήματα τείνουν να εξαφανίζονται, αλλά η πραγματική καθυστέρηση (ping) εξαρτάται από παράγοντες όπως η καθυστέρηση στον διακομιστή, η διαδρομή δικτύου, η ποιότητα σύνδεσης και το φορτίο του παρόχου υπηρεσιών Διαδικτύου (ISP) σας.
Πολλά βίντεο και φόρουμ προωθούν την DMZ ως ένα είδος "turbo mode" για online gaming , αλλά αυτό είναι περισσότερο μύθος παρά οτιδήποτε άλλο. Η χρησιμότητα της DMZ έγκειται στη διασφάλιση της διαθεσιμότητας των θυρών και στην αποφυγή προβλημάτων NAT. Όλα τα άλλα εξαρτώνται από τον πάροχο υπηρεσιών διαδικτύου και τον τρόπο προγραμματισμού των παιχνιδιών.
Κονσόλα σε DMZ και μη διαχειριζόμενος διακόπτης Ethernet: τι συμβαίνει;
Μια πολύ συνηθισμένη ερώτηση είναι τι συμβαίνει εάν η κονσόλα σας δεν είναι συνδεδεμένη απευθείας στο δρομολογητή, αλλά σε έναν μη διαχειριζόμενο διακόπτη Ethernet (έναν "χαζό" διακόπτη) μαζί με άλλες συσκευές. Η ανησυχία είναι κατανοητή: "Αν βάλω τη διεύθυνση IP της κονσόλας στην DMZ, δεν θα βάλω ολόκληρο τον διακόπτη (και επομένως όλες τις συνδεδεμένες συσκευές) στην DMZ;"
Η τεχνική απάντηση είναι όχι, η DMZ εφαρμόζεται σε μια συγκεκριμένη διεύθυνση IP, όχι σε μια φυσική θύρα του διακόπτη . Ένας μη διαχειριζόμενος διακόπτης προωθεί μόνο πλαίσια Ethernet εσωτερικά με βάση τις διευθύνσεις MAC. Δεν εκτελεί NAT, δεν φιλτράρει κατά IP ούτε κατανοεί τις DMZ.
Στην πράξη, η διαδικασία λειτουργεί ως εξής: ο δρομολογητής βλέπει τις διευθύνσεις IP όλων των συσκευών που είναι συνδεδεμένες στο switch σαν να ήταν απευθείας συνδεδεμένες στις θύρες LAN του . Όταν ένα πακέτο φτάνει από το διαδίκτυο, ο δρομολογητής ελέγχει τη διεύθυνση IP προορισμού και εφαρμόζει τους κανόνες του: εάν υπάρχει προώθηση θυρών, στέλνει το πακέτο στην καθορισμένη διεύθυνση IP. εάν όχι και έχει διαμορφωθεί μια DMZ, ανακατευθύνει το πακέτο στη διεύθυνση IP της DMZ. εάν δεν ταιριάζει τίποτα, απορρίπτει το πακέτο.
Τελικές σκέψεις
Επομένως, παρόλο που η κονσόλα, ο υπολογιστής, η τηλεόραση και το NAS βρίσκονται όλα στον ίδιο διακόπτη, μόνο η διεύθυνση IP που έχει ρυθμιστεί ως DMZ θα λαμβάνει την ανακατευθυνόμενη εισερχόμενη κίνηση . Οι υπόλοιπες συσκευές θα παραμείνουν προστατευμένες από το τείχος προστασίας του δρομολογητή ως συνήθως. Ο διακόπτης απλώς επαναλαμβάνει αυτό που του στέλνει ο δρομολογητής στην αντίστοιχη διεύθυνση MAC, τίποτα περισσότερο.
Το μόνο που πρέπει να έχετε κατά νου είναι ότι εάν η κονσόλα χρησιμοποιεί την ίδια φυσική σύνδεση και το δίκτυο υπερφορτωθεί (λόγω λήψεων, streaming κ.λπ.), ενδέχεται να παρατηρήσετε μείωση στην ποιότητα του παιχνιδιού . Ωστόσο, αυτό δεν σχετίζεται με την ίδια την DMZ, αλλά μάλλον με το συνολικό διαθέσιμο εύρος ζώνης και τον τρόπο με τον οποίο κατανέμεται μεταξύ των συσκευών.
Αν βγάλετε μια σαφή ιδέα από όλα αυτά, θα πρέπει να είναι ότι η DMZ του δρομολογητή είναι ένα χρήσιμο εργαλείο για να σας γλιτώσει από πολλούς πονοκεφάλους με τις θύρες και το NAT (ειδικά σε κονσόλες και σε ρυθμίσεις διπλού δρομολογητή), αλλά θα πρέπει να χρησιμοποιείται με σύνεση, να περιορίζεται σε σχετικά ασφαλείς συσκευές, να διατηρεί πάντα στατικές IP και ενημερωμένα συστήματα και να βασίζεται σε εναλλακτικές λύσεις όπως η προώθηση θυρών ή τα VPN όταν διακυβεύεται πιο ευαίσθητος εξοπλισμός ή πληροφορίες.