Gweinyddu NAS dros VPN: cadwch yr enw, rhowch y gorau i'r porth cyhoeddus
Cyrhaeddwch y dudalen weinyddu drwy'r twnnel, nid drwy borth cyhoeddus newydd. Datryswch yr enw go iawn, cyfatebwch y dystysgrif iddo, a chaniatáu un gwasanaeth o un ffynhonnell.
Mae tudalen weinyddu NAS yn gweithio gartref ac yn peidio â gweithio'r eiliad y bydd y gweinyddwr yn teithio, felly mae rhywun yn agor porth ac mae'r broblem yn diflannu ynghyd â'r preifatrwydd. Mae ffurf well ar hyn. Cadwch y dudalen lle mae, gadewch i'r twnnel ddarparu cyrhaeddiad, a gwnewch yr hyn a gofnodwch yn URL llawn gyda llwybr caniatâd wedi'i enwi yn hytrach nag yn gyfeiriad dyfais sy'n digwydd ateb. Daw pob penderfyniad isod, o'r enw i'r dystysgrif i'r un porth a ganiateir, o'i ysgrifennu felly.
Yr uned ddylunio yw URL, nid cyfeiriad
Ysgrifennwch y mynediad fel URL llawn gyda'i borth a'i gynllun, yna atodwch yr amodau: pwy gaiff ei ddefnyddio, o ba rwydwaith, a thrwy ba lwybr. Enghraifft allai fod https://nas.corp.example:8443 a gyhoeddir yn unig i gleientiaid preifat a gymeradwywyd, gyda'r enw a'r porth yn sefyll dros yr hyn y mae'r ddyfais yn gwrando arno mewn gwirionedd.
Mae'r fframwaith hwnnw'n gorfodi'r penderfyniadau'n gynnar. Mae URL yn awgrymu enw, mae enw yn awgrymu tystysgrif, ac mae tystysgrif yn awgrymu trefniant ymddiriedaeth. Nid yw cyfeiriad yn awgrymu unrhyw un o'r rheini, a dyna'n union pam mae'r fersiwn cyfeiriad yn unig yn goroesi tan y rhybudd porwr cyntaf ac yna'n troi'n arferiad o glicio trwyddo.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Cadwch yr enw y cyhoeddwyd y dystysgrif ar ei gyfer
Mae ar y cleient angen llwybr a ganiateir i gyfeiriad preifat NAS, a gall trefniant DNS preifat ddatrys yr enw gwesteiwr a fwriadwyd i'r cyfeiriad hwnnw tra'n cadw'r enw y mae'r gwasanaeth HTTPS yn ei ddisgwyl. Mae'r ddau hanner yn bwysig: mae'r llwybr yn cael pecynnau yno, mae'r enw'n dweud wrth y cleient pa hunaniaeth i'w gwirio.
Mae teipio'r cyfeiriad rhifol yn lle hynny yn newid y gofyniad hunaniaeth. Mae RFC 9525 yn gwahanu'r enw y mae cleient yn bwriadu cysylltu ag ef oddi wrth yr hunaniaeth y mae gwasanaeth yn ei chyflwyno, felly gall tystysgrif a gyhoeddwyd ar gyfer nas.corp.example fethu'n gyfreithlon pan fydd y porwr wedi'i gyfeirio at 10.20.0.15. Mae'r rhybudd yn gywir, a'r ateb yw'r enw, nid eithriad.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleGweithredwch y ddau orchymyn cyn beio'r twnnel. Mae'r cyntaf yn dangos a yw'r enw preifat yn datrys lle'r ydych chi'n meddwl, ac mae'r ail yn dangos pa dystysgrif a pha enwau testun amgen y mae'r gwasanaeth yn eu cyflwyno mewn gwirionedd. Gall CA preifat fod yn ddewis wedi'i reoli'n berffaith; yr hyn na ddylai ddod yn arferiad yw dysgu pobl i ddiystyru rhybuddion hunaniaeth.
Cyfyngwch y llwybr rheoli
Caniatáu'n union y gwasanaeth rheoli o'r ffynhonnell a fwriadwyd, ar y giât ac ar y NAS. Mae'r frawddeg honno'n cuddio manylyn sy'n brathu: mae cronfa cleientiaid wedi'i llwybro a giât â chyfieithu ffynhonnell yn cyrraedd y NAS gyda chyfeiriadau ffynhonnell gwahanol, felly mae rheol ganiatáu a ysgrifennwyd ar gyfer y naill yn methu'n dawel ar gyfer y llall.
Mae ar y NAS angen llwybr dychwelyd hefyd, ac mae'n rhaid i'r porwr ddefnyddio'r porth a'r cynllun a ffurfweddwyd yn hytrach na diofyn y gwerthwr o bost fforwm. Nid yw cyrraedd y ddyfais yn ganiatâd i gyrraedd pob porth arni. Y bwlch rhwng dyfais sy'n ateb ping a thudalen weinyddu sy'n llwytho yw'r bwlch rhwng dwy reol ar wahân. Ysgrifennwch nhw fel dwy reol gyda dau sylw, fel y gall y person nesaf weld pam mae'r ddwy'n bod.
Gwahanwch dderbyniad VPN oddi wrth fraint NAS
Nid yw cael eich derbyn drwy'r twnnel yr un peth â chael caniatâd i weinyddu'r ddyfais. Ni ddylai defnyddiwr sydd angen storfa ffeiliau'n gyfreithlon etifeddu gweinyddu'r ddyfais am fod y ddau'n byw y tu ôl i un giât, a model cyfrifon NAS yw'r lle y mae'n rhaid gorfodi'r gwahanu hwnnw.
Ni all cyfeiriad allan a rennir na chyfeiriad wedi'i gyfieithu adnabod gweinyddwr unigol ychwaith. Os oes angen i'r trywydd archwilio enwi person, rhaid i'r hunaniaeth ddod o gyfrif dilysedig yn hytrach nag o gyfeiriad ffynhonnell twnnel y mae llawer o bobl yn ei ddefnyddio.
Beth na ddylech ei gyhoeddi ar ddamwain
Mae procsi gwrthdro cyhoeddus a relay gwerthwr yn benseiriadau go iawn ill dau, ac mae pob un yn cario ei benderfyniadau ymddiriedaeth a datguddiad ei hun. Nid yw'r naill na'r llall yn dod yn angenrheidiol am fod gweinyddwr i ffwrdd o gartref, ac ni ddylai'r naill na'r llall ymddangos fel sgil-effaith datgelu gweinydd cyfryngau neu rannu ffeiliau.
Cofnodwch bedwar peth a stopiwch: yr enw preifat, y gwrandäwr y mae'n mapio iddo, y grŵp sydd â chaniatâd i'w ddefnyddio, a'r llwybr adfer os nad yw'r twnnel ar gael. Mae'r pedwar hynny hefyd yn ateb y cwestiynau y bydd adolygiad digwyddiad yn eu gofyn, nad yw'n wir am sgrinlun o dudalen anfon porth. Yr hyn a gewch yn y diwedd yw un pwynt mynediad gweinyddol sefydlog yn hytrach na dyfais y mae pob nodwedd ohoni'n wynebu'r rhyngrwyd.