VPN üzərindən NAS idarəetməsi: adı saxla, ictimai portdan imtina et
İdarəetmə səhifəsinə tunel vasitəsilə çatın, yeni ictimai portla deyil. Həqiqi adı həll edin, sertifikatı ona uyğunlaşdırın və bir mənbədən bir xidmətə icazə verin.
NAS idarəetmə səhifəsi evdə işləyir və administrator səyahətə çıxdığı anda işləməyi dayandırır, buna görə də kimsə port açır və problem məxfiliklə birlikdə yox olur. Bunun üçün daha yaxşı bir forma var. Səhifəni olduğu yerdə saxlayın, tunel əlçatanlığı təmin etsin və sənədləşdirdiyiniz şeyi təsadüfən cavab verən cihaz ünvanı deyil, adlı icazə yolu olan tam URL kimi yazın. Aşağıdakı hər qərar, addan sertifikata və icazə verilən tək porta qədər, məhz bu cür yazmaqdan irəli gəlir.
Dizayn vahidi ünvan deyil, URL-dir
Girişi portu və sxemi ilə birlikdə tam URL kimi yazın, sonra şərtləri əlavə edin: kimin istifadə edə biləcəyi, hansı şəbəkədən və hansı yoldan. Bir nümunə https://nas.corp.example:8443 ola bilər — yalnız təsdiqlənmiş özəl müştərilərə yayımlanır, ad və port cihazın həqiqətən dinlədiyi şeyi təmsil edir.
Bu çərçivə qərarları erkən məcburi edir. URL ad deməkdir, ad sertifikat deməkdir, sertifikat isə etimad quruluşu deməkdir. Ünvan bunların heç birini ifadə etmir, buna görə də yalnız ünvana əsaslanan versiya ilk brauzer xəbərdarlığına qədər yaşayır və sonra onun üzərinə klikləmək vərdişinə çevrilir.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Sertifikatın verildiyi adı saxlayın
Müştəriyə NAS-ın özəl ünvanına icazəli marşrut lazımdır və özəl DNS quruluşu nəzərdə tutulan host adını həmin ünvana həll edə bilər, eyni zamanda HTTPS xidmətinin gözlədiyi adı qoruyur. Hər iki hissə vacibdir: marşrut paketləri ora çatdırır, ad isə müştəriyə hansı kimliyi yoxlayacağını bildirir.
Əvəzində rəqəmsal ünvanı yazmaq kimlik tələbini dəyişir. RFC 9525 müştərinin əlaqə saxlamaq istədiyi adı xidmətin təqdim etdiyi kimlikdən ayırır, buna görə də nas.corp.example üçün verilmiş sertifikat brauzer 10.20.0.15 ünvanına yönəldildikdə qanuni olaraq uğursuz ola bilər. Xəbərdarlıq düzgündür və düzəliş istisna deyil, addır.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleTuneli günahlandırmazdan əvvəl hər ikisini işə salın. Birincisi özəl adın düşündüyünüz yerdə həll olunub-olunmadığını, ikincisi xidmətin həqiqətən hansı sertifikatı və alternativ subyekt adlarını təqdim etdiyini göstərir. Özəl CA tamamilə idarə olunan seçim ola bilər; vərdişə çevrilməməli olan şey insanlara kimlik xəbərdarlıqlarını laqeyd etməyi öyrətməkdir.
İdarəetmə yolunu məhdudlaşdırın
İdarəetmə xidmətinə yalnız nəzərdə tutulan mənbədən icazə verin — həm şlüzda, həm də NAS-da. Bu cümlə dişləyən bir detalı gizlədir: marşrutlaşdırılmış müştəri hovuzu və mənbəni çevirən şlüz NAS-a fərqli mənbə ünvanları ilə çatır, buna görə də biri üçün yazılmış icazə qaydası digəri üçün səssizcə uğursuz olur.
NAS-a həm də geri yol lazımdır və brauzer forum postundakı satıcı standartı yerinə konfiqurasiya edilmiş portu və sxemi istifadə etməlidir. Cihaza çatmaq onun hər portuna çatmaq icazəsi deyil. Ping-ə cavab verən cihazla yüklənən idarəetmə səhifəsi arasındakı boşluq iki ayrı qayda arasındakı boşluqdur. Onları iki şərh ilə iki qayda kimi yazın ki, növbəti şəxs hər ikisinin niyə mövcud olduğunu görsün.
VPN qəbulunu NAS imtiyazından ayırın
Tuneldən keçməyə icazə verilmək cihazı idarə etməyə icazə verilməklə eyni şey deyil. Fayl saxlamağa qanuni ehtiyacı olan istifadəçi hər ikisi bir şlüz arxasında yaşadığı üçün cihaz idarəetməsini miras almamalıdır və bu ayrımın tətbiq olunmalı yeri NAS hesab modelidir.
Ortaq və ya çevrilmiş çıxış ünvanı da fərdi administratoru müəyyən edə bilməz. Əgər audit jurnalı bir şəxsi adlandırmalıdırsa, kimlik çox adamın istifadə etdiyi tunelin mənbə ünvanından deyil, autentifikasiya olunmuş hesabdan gəlməlidir.
Təsadüfən nəyi yayımlamamaq lazımdır
İctimai əks-proksi və satıcı relesi hər ikisi real arxitekturalardır və hər biri öz etimad və məruz qalma qərarlarını daşıyır. Heç biri administratorun evdən uzaq olması səbəbindən zəruri olmur və heç biri media serverinin və ya fayl paylaşımının məruz qalmasının yan təsiri kimi görünməməlidir.
Dörd şeyi sənədləşdirin və dayanın: özəl ad, onun xəritələndiyi dinləyici, ondan istifadə etməyə icazə verilən qrup və tunel əlçatmaz olduqda bərpa yolu. Bu dördü həm də insident icmalının verəcəyi suallara cavab verir, bu isə port yönləndirmə səhifəsinin ekran görüntüsü üçün doğru deyil. Əldə etdiyiniz şey hər funksiyası internetə baxan cihaz deyil, bir sabit inzibati giriş nöqtəsidir.