Administració del NAS per VPN: conserveu el nom, deixeu el port públic
Arribeu a la pàgina d'administració pel túnel, no per un port públic nou. Resoleu el nom real, feu-hi coincidir el certificat i permeteu un servei des d'una sola font.
La pàgina d'administració del NAS funciona a casa i deixa de funcionar en el moment que l'administrador viatja, així que algú obre un port i el problema desapareix juntament amb la privadesa. Hi ha una forma millor de fer-ho. Deixeu la pàgina on és, feu que el túnel proporcioni l'abast i feu que allò que documenteu sigui una URL completa amb un camí de permisos amb nom, i no una adreça de dispositiu que casualment respon. Cada decisió d'aquí sota, del nom al certificat i a l'únic port permès, es deriva d'escriure-ho així.
La unitat de disseny és una URL, no una adreça
Escriviu l'entrada com una URL completa amb el seu port i esquema, i després afegiu-hi les condicions: qui la pot fer servir, des de quina xarxa i per quin camí. Un exemple podria ser https://nas.corp.example:8443 publicat només per a clients privats aprovats, amb el nom i el port fent el paper d'allò on el dispositiu realment escolta.
Aquest plantejament força les decisions aviat. Una URL implica un nom, un nom implica un certificat i un certificat implica un acord de confiança. Una adreça no implica res d'això, i per això mateix la versió només amb adreça sobreviu fins al primer avís del navegador i després es converteix en l'hàbit de fer-hi clic a través.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Conserveu el nom pel qual es va emetre el certificat
El client necessita una ruta permesa cap a l'adreça privada del NAS, i un arranjament de DNS privat pot resoldre el nom d'amfitrió previst cap a aquesta adreça tot conservant el nom que el servei HTTPS espera. Les dues meitats importen: la ruta hi porta els paquets i el nom diu al client quina identitat ha de verificar.
Escriure l'adreça numèrica en lloc seu canvia el requisit d'identitat. L'RFC 9525 separa el nom amb què el client vol contactar de la identitat que presenta un servei, així que un certificat emès per a nas.corp.example pot fallar legítimament quan el navegador s'ha apuntat a 10.20.0.15. L'avís és correcte, i la solució és el nom, no una excepció.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleExecuteu les dues ordres abans de culpar el túnel. La primera mostra si el nom privat es resol on penseu, i la segona mostra quin certificat i quins noms alternatius del subjecte presenta realment el servei. Una CA privada pot ser una opció perfectament gestionada; el que no hauria de convertir-se en rutina és ensenyar la gent a descartar els avisos d'identitat.
Limiteu el camí de gestió
Permeteu exactament el servei de gestió des de la font prevista, tant a la passarel·la com al NAS. Aquesta frase amaga un detall que mossega: un conjunt de clients encaminats i una passarel·la amb traducció d'origen arriben al NAS amb adreces d'origen diferents, així que una regla de permís escrita per a un falla en silenci per a l'altre.
El NAS també necessita un camí de retorn, i el navegador ha de fer servir el port i l'esquema configurats i no el valor per defecte del fabricant tret d'un fil de fòrum. Arribar al dispositiu no és permís per arribar a cada port seu. La diferència entre un dispositiu que respon a ping i una pàgina d'administració que es carrega és la diferència entre dues regles separades. Escriviu-les com dues regles amb dos comentaris, perquè la propera persona vegi per què existeixen totes dues.
Separeu l'admissió a la VPN del privilegi al NAS
Que et deixin passar pel túnel no és el mateix que poder administrar el dispositiu. Un usuari que necessita legítimament emmagatzematge de fitxers no hauria d'heretar l'administració del dispositiu només perquè tots dos viuen darrere d'una passarel·la, i el model de comptes del NAS és on s'ha d'imposar aquesta separació.
Una adreça de sortida compartida o traduïda tampoc no pot identificar un administrador individual. Si el registre d'auditoria ha de nomenar una persona, la identitat ha de venir d'un compte autenticat i no de l'adreça d'origen d'un túnel que fan servir moltes persones.
Què no cal publicar per accident
Un proxy invers públic i un relé de fabricant són dues arquitectures reals, i cadascuna porta les seves pròpies decisions de confiança i exposició. Cap de les dues es fa necessària perquè un administrador sigui fora de casa, i cap no hauria d'aparèixer com a efecte secundari d'exposar un servidor multimèdia o un recurs compartit.
Documenteu quatre coses i atureu-vos: el nom privat, l'escoltador al qual s'assigna, el grup que té permís per fer-lo servir i el camí de recuperació si el túnel no està disponible. Aquestes quatre també responen les preguntes que farà una revisió d'incidents, cosa que no és certa d'una captura de pantalla d'una pàgina de reenviament de ports. El que obteniu és un punt d'entrada administratiu estable en lloc d'un dispositiu amb totes les funcions mirant cap a internet.