Fitxers NAS sense reenviament de port: què costa un retransmissor

El router és d’algú altre, el NAS seu darrere, i el fitxer s’ha de poder obtenir des de fora igualment. Una VPN completa en aquesta LAN és una resposta, però no l’única: un retransmissor d’aplicacions del proveïdor del NAS pot portar un flux de fitxers basat en navegador sense cap mapatge de port entrant. El que no pot fer és donar a l’ordinador remot una ruta general cap a la xarxa, així que el disseny ha de coincidir amb el flux de treball i no a l’inrevés.

Decidiu què necessita realment l’usuari: un fitxer al navegador, o una unitat mapejada amb comportament natiu del sistema de fitxers.

Què és realment el camí del retransmissor

QuickConnect permet arribar a un NAS Synology a través de la infraestructura del proveïdor quan no hi ha cap camí entrant. Segons què permeti la xarxa, pot negociar una connexió directa, provar de perforar forats o recórrer a un retransmissor. Aquesta flexibilitat és útil, i també vol dir que «sense reenviament de port» no és la mateixa afirmació que «sempre retransmès».

El compte al núvol que registra el servei, l’ID de QuickConnect que localitza el NAS i el compte del NAS que autoritza les operacions amb fitxers són tres coses diferents. Perdre el fil de quin estàs depurant és la manera més habitual que aquesta configuració s’encalli.

Inscriviu-lo com a propietari i després restrinhiu-lo

A DSM 7 els controls són a Control Panel, External Access, i la configuració es fa amb un compte de Synology aprovat. Inscriviu el dispositiu a través del seu propietari i no d’una credencial compartida, i reviseu les opcions avançades de serveis mentre hi sou. L’objectiu és el flux de fitxers aprovat, no una demostració que cada funció de gestió es pot assolir des d’una xarxa d’hotel. Cada servei que activeu és una altra superfície a què pot arribar aquest mateix ID.

Anoteu l’ID de QuickConnect i el compte propietari al registre d’actius. Un retransmissor no documentat és difícil de revocar quan se’n va la persona que el va configurar.

Feu servir l’aplicació que realment té suport

Doneu a un compte NAS dedicat el privilegi d’aplicació i els permisos de carpeta que necessita el flux de treball, i proveu-ho amb aquest compte i un fitxer inofensiu. Incloeu una ruta denegada i la retirada d’un compte a la prova, perquè la fallada interessant sol ser un permís massa ampli i no un de trencat. Un ID de servei és una adreça, no una contrasenya, i no substitueix cap de les dues comprovacions.

No enganxeu l’ID de QuickConnect en un muntatge SMB. La llista de serveis amb suport de Synology inclou File Station i exclou el mapatge ordinari d’unitats de Windows i l’accés SMB del Finder, així que una càrrega des del navegador no substitueix un sistema de fitxers mapejat.

Enteneu la frontera de confiança que heu acceptat

El camí del retransmissor no és una canonada cega. El portal de navegador de Synology pot acabar la connexió del navegador i obrir una connexió protegida separada cap al NAS, cosa que fa del portal un component de confiança i no un simple reenviador. Feu servir el camí HTTPS amb suport i deixeu que la validació del certificat faci la seva feina; clicar a través d’un avís perquè la destinació és «només un NAS» trasllada el risc a l’usuari. Si la política prohibeix UPnP o els canvis automàtics del router, reviseu aquestes funcions per separat sota el seu propietari.

Un tallafocs restrictiu encara pot bloquejar el costat sortint. Una funció de retransmissió no és permís per saltar-se un control de xarxa.

Proveu el flux de treball i després documenteu la dependència

Repetiu l’operació de fitxer necessària després d’un reinici del NAS aprovat i després d’un canvi de xarxa, i anoteu quin camí es va fer servir i com va anar. Les sessions directes i les retransmeses poden diferir notablement, així que un flux de treball que al laboratori sembla bé pot ser penós a través d’un retransmissor. Afegiu la transferència a la prova de restauració si els fitxers importen.

Anoteu la dependència del proveïdor i el comportament esperat durant una caiguda. Si el requisit real és SMB natiu, les opcions honestes són una xarxa overlay aprovada o una VPN gestionada, totes dues dissenys de xarxa amb els seus propis requisits d’inscripció i tallafocs.