NAS-administrasie oor 'n VPN: hou die naam, laat vaar die publieke poort
Bereik die admin-bladsy deur die tonnel, nie deur 'n nuwe publieke poort nie. Los die werklike naam op, pas die sertifikaat daarby aan en laat een diens van een bron toe.
Die NAS-administrasiebladsy werk by die huis en hou op werk die oomblik wanneer die administrateur reis, so iemand maak 'n poort oop en die probleem verdwyn saam met die privaatheid. Daar is 'n beter vorm hiervoor. Hou die bladsy waar dit is, laat die tonnel bereikbaarheid verskaf, en maak wat jy dokumenteer 'n volledige URL met 'n genoemde toestemmingspad eerder as 'n toesteladres wat toevallig antwoord. Elke besluit hieronder, van die naam tot die sertifikaat tot die enkele toegelate poort, volg uit om dit so te skryf.
Die ontwerp-eenheid is 'n URL, nie 'n adres nie
Skryf die inskrywing as 'n volledige URL met sy poort en skema, en heg dan die voorwaardes daaraan: wie dit mag gebruik, van watter netwerk af, en deur watter pad. 'n Illustrasie kan https://nas.corp.example:8443 wees wat slegs aan goedgekeurde privaat kliënte gepubliseer word, met die naam en poort wat instaan vir wat die toestel werklik op luister.
Daardie raamwerk dwing die besluite vroeg. 'n URL impliseer 'n naam, 'n naam impliseer 'n sertifikaat, en 'n sertifikaat impliseer 'n vertrouereëling. 'n Adres impliseer niks daarvan nie, en dit is presies waarom die net-adres-weergawe oorleef tot die eerste blaaierwaarskuwing en dan 'n gewoonte word om daaroor te klik.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Hou die naam waarvoor die sertifikaat uitgereik is
Die kliënt het 'n toegelate roete na die NAS se privaat adres nodig, en 'n privaat DNS-reëling kan die beoogde gasheernaam na daardie adres oplos terwyl dit die naam behou wat die HTTPS-diens verwag. Beide helftes maak saak: die roete kry pakkette daar, die naam sê vir die kliënt watter identiteit om te verifieer.
Om eerder die numeriese adres te tik verander die identiteitsvereiste. RFC 9525 skei die naam wat 'n kliënt bedoel om te kontak van die identiteit wat 'n diens voorhou, so 'n sertifikaat wat vir nas.corp.example uitgereik is, kan wettiglik misluk wanneer die blaaier na 10.20.0.15 gewys is. Die waarskuwing is korrek, en die oplossing is die naam, nie 'n uitsondering nie.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleVoer albei uit voordat jy die tonnel blameer. Die eerste wys of die privaat naam oplos waar jy dink, en die tweede wys watter sertifikaat en onderwerp-alternatiewe name die diens werklik voorhou. 'n Privaat CA kan 'n heeltemal goed bestuurde keuse wees; wat nie gewoonte moet word nie, is om mense te leer om identiteitswaarskuwings te ignoreer.
Bepaal die bestuurspad
Laat presies die bestuursdiens van die beoogde bron toe, by beide die gwateway en die NAS. Daardie sin verberg 'n detail wat byt: 'n gerouteerde kliëntpoel en 'n bron-vertaalde gwateway kom by die NAS aan met verskillende bronadresse, so 'n toelaatreël wat vir een geskryf is, misluk stilweg vir die ander.
Die NAS het ook 'n terugpad nodig, en die blaaier moet die gekonfigureerde poort en skema gebruik eerder as die verskaffer se verstek uit 'n forumpos. Om die toestel te bereik is nie toestemming om elke poort daarop te bereik nie. Die gaping tussen 'n toestel wat op ping antwoord en 'n admin-bladsy wat laai, is die gaping tussen twee afsonderlike reëls. Skryf hulle as twee reëls met twee kommentaar, sodat die volgende persoon kan sien waarom albei bestaan.
Skei VPN-toelating van NAS-voorregte
Om deur die tonnel toegelaat te word is nie dieselfde as om die toestel te mag administreer nie. 'n Gebruiker wat wettiglik lêerstoor nodig het, moet nie toesteladministrasie erf omdat albei agter een gwateway woon nie, en die NAS se rekeningmodel is waar daardie skeiding afgedwing moet word.
'n Gedeelde of vertaalde uitgangadres kan ook nie 'n individuele administrateur identifiseer nie. As die ouditspoor 'n persoon moet noem, moet die identiteit van 'n geauthentiseerde rekening kom eerder as van die bronadres van 'n tonnel wat baie mense gebruik.
Wat nie per ongeluk gepubliseer moet word nie
'n Publieke omgekeerde proxy en 'n verskaffer-relay is albei werklike argitekture, en elkeen dra sy eie besluite oor vertroue en blootstelling. Nie een word nodig omdat 'n administrateur van die huis af weg is nie, en nie een moet verskyn as 'n newe-effek van die blootstelling van 'n mediabediener of 'n lêerdeling nie.
Dokumenteer vier dinge en stop: die privaat naam, die luisteraar waaraan dit karteer, die groep wat dit mag gebruik, en die herstelpad as die tonnel onbeskikbaar is. Daardie vier antwoord ook die vrae wat 'n voorvalondersoek sal vra, wat nie waar is van 'n skermskoot van 'n poortaanstuurblad nie. Wat jy eindig met, is een stabiele administratiewe toegangspunt eerder as 'n toestel waarvan elke funksie na die internet wys.