Správa NAS přes VPN: podržte jméno, zbavte se veřejného portu
K administrační stránce se dostávejte tunelem, ne novým veřejným portem. Přeložte skutečné jméno, sluďte s ním certifikát a povolte jednu službu z jednoho zdroje.
Administrační stránka NAS funguje doma a přestane fungovat ve chvíli, kdy administrátor odjede, takže někdo otevře port a problém zmizí spolu se soukromím. Existuje pro to lepší tvar. Nechte stránku tam, kde je, nechte tunel zajistit dostupnost a to, co dokumentujete, pište jako úplnou URL s pojmenovanou cestou oprávnění, ne jako adresu zařízení, které náhodou odpovídá. Každé rozhodnutí níže, od jména přes certifikát až po jediný povolený port, vyplývá z takového zápisu.
Jednotkou návrhu je URL, ne adresa
Zapište vstup jako úplnou URL s jejím portem a schématem a pak připojte podmínky: kdo ji smí používat, ze které sítě a kterou cestou. Ilustrací může být https://nas.corp.example:8443 zveřejněná jen schváleným privátním klientům, přičemž jméno a port zastupují to, na čem zařízení skutečně poslouchá.
Takový rámec vynucuje rozhodnutí brzy. URL implikuje jméno, jméno implikuje certifikát a certifikát implikuje uspořádání důvěry. Adresa neimplikuje nic z toho, a právě proto verze jen s adresou přežívá do prvního varování prohlížeče a pak se z ní stane zvyk proklikat se přes něj.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Podržte jméno, pro které byl certifikát vydán
Klient potřebuje povolenou trasu k privátní adrese NAS a privátní uspořádání DNS může přeložit zamýšlené jméno hostitele na tuto adresu a přitom zachovat jméno, které služba HTTPS očekává. Obě poloviny jsou důležité: trasa tam doručí pakety a jméno řekne klientovi, kterou identitu má ověřit.
Zadání číselné adresy místo toho mění požadavek na identitu. RFC 9525 odděluje jméno, se kterým se klient hodlá spojit, od identity, kterou služba předkládá, takže certifikát vydaný pro nas.corp.example může oprávněně selhat, když byl prohlížeč namířen na 10.20.0.15. Varování je správné a opravou je jméno, ne výjimka.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleSpusťte obojí, než obviníte tunel. První ukáže, zda se privátní jméno překládá tam, kde myslíte, a druhé ukáže, který certifikát a která alternativní jména subjektu služba skutečně předkládá. Privátní CA může být zcela dobře spravovaná volba; co by se nemělo stát rutinou, je učit lidi odbývat varování o identitě.
Ohraničte cestu správy
Povolte přesně správcovskou službu ze zamýšleného zdroje, a to na bráně i na NAS. Ta věta skrývá detail, který kouše: směrovaný fond klientů a brána s překladem zdroje dorazí na NAS s různými zdrojovými adresami, takže pravidlo povolení napsané pro jedno tiše selže pro druhé.
NAS také potřebuje zpáteční cestu a prohlížeč musí použít nakonfigurovaný port a schéma, ne výchozí hodnotu výrobce z příspěvku na fóru. Dostat se k zařízení není oprávnění dostat se na každý jeho port. Mezera mezi zařízením, které odpovídá na ping, a administrační stránkou, která se načte, je mezerou mezi dvěma oddělenými pravidly. Napište je jako dvě pravidla se dvěma komentáři, aby další člověk viděl, proč existují obě.
Oddělte vpuštění do VPN od oprávnění na NAS
Být vpuštěn tunelem není totéž jako smět spravovat zařízení. Uživatel, který oprávněně potřebuje úložiště souborů, by neměl zdědit správu zařízení jen proto, že obojí žije za jednou bránou, a model účtů NAS je místem, kde se toto oddělení musí prosadit.
Sdílená nebo přeložená výstupní adresa také nemůže identifikovat jednotlivého administrátora. Pokud má auditní stopa jmenovat osobu, musí identita přijít z ověřeného účtu, ne ze zdrojové adresy tunelu, který používá mnoho lidí.
Co nemáte zveřejnit omylem
Veřejná reverzní proxy a relay výrobce jsou obě skutečné architektury a každá nese vlastní rozhodnutí o důvěře a expozici. Ani jedna není nutná proto, že je administrátor pryč z domova, a ani jedna by se neměla objevit jako vedlejší účinek vystavení mediálního serveru nebo sdílení souborů.
Zdokumentujte čtyři věci a přestaňte: privátní jméno, listener, na který se mapuje, skupinu, která ho smí používat, a cestu obnovy, pokud je tunel nedostupný. Ty čtyři také odpovídají na otázky, které položí přezkum incidentu, což u snímku obrazovky stránky s přesměrováním portu neplatí. Nakonec máte jeden stabilní administrativní vstupní bod místo zařízení, jehož každá funkce hledí do internetu.