NAS-filer uden portvideresendelse: hvad koster et relæ

Routeren tilhører en anden, NAS’et står bag den, og filen skal alligevel kunne hentes udefra. En fuld VPN ind i det LAN er et svar, men ikke det eneste: et applikationsrelæ fra NAS-leverandøren kan bære et browserbaseret filflow helt uden indgående portmapping. Det, det ikke kan, er at give den eksterne computer en generel rute ind i netværket, så designet skal passe til flowet og ikke omvendt.

Beslut, hvad brugeren faktisk har brug for: en fil i en browser eller et mappet drev med indbygget filsystemadfærd.

Hvad relævejen egentlig er

QuickConnect gør det muligt at nå et Synology NAS gennem leverandørens infrastruktur, når der ikke er nogen indgående vej. Afhængigt af hvad netværket tillader, kan det forhandle en direkte forbindelse, forsøge hulgennemtrængning eller falde tilbage til et relæ. Den fleksibilitet er nyttig, og det betyder også, at »ingen portvideresendelse« ikke er samme udsagn som »altid via relæ«.

Den cloudkonto, der registrerer tjenesten, det QuickConnect-ID, der lokaliserer NAS’et, og den NAS-konto, der autoriserer filoperationer, er tre forskellige ting. At miste overblikket over, hvilken du fejlretter, er den mest almindelige måde, denne opsætning går i stå på.

Tilmeld det som ejeren, og indsnævr det derefter

I DSM 7 findes kontrollerne under Control Panel, External Access, og opsætningen udføres med en godkendt Synology-konto. Tilmeld enheden gennem dens ejer i stedet for gennem en delt adgangskode, og gennemgå de avancerede tjenestevalg undervejs. Målet er det godkendte filflow, ikke en demonstration af, at hver administrationsfunktion kan nås fra et hotelnetværk. Hver tjeneste, du aktiverer, er endnu en overflade, som samme ID kan nå.

Registrer QuickConnect-ID’et og ejerkontoen i aktivregistret. Et udokumenteret relæ er svært at tilbagekalde, når personen, der konfigurerede det, forlader virksomheden.

Brug den applikation, der faktisk understøttes

Giv en dedikeret NAS-konto applikationsprivilegiet og de mappetilladelser, flowet kræver, og test derefter med den konto og en uskadelig fil. Medtag en nægtet sti og en kontofjernelse i testen, fordi den interessante fejl som regel er en for bred tilladelse og ikke en ødelagt. Et tjeneste-ID er en adresse, ikke en adgangskode, og det erstatter ingen af de to kontroller.

Indsæt ikke QuickConnect-ID’et i et SMB-mount. Synologys liste over understøttede tjenester inkluderer File Station og udelukker almindelig Windows-drevmapping og Finder SMB-adgang, så en browserupload er ikke en erstatning for et mappet filsystem.

Forstå den tillidsgrænse, du har accepteret

Relævejen er ikke et blindt rør. Synologys browserportal kan afslutte browserforbindelsen og åbne en separat beskyttet forbindelse mod NAS’et, hvilket gør portalen til en betroet komponent i stedet for en simpel videresender. Brug den understøttede HTTPS-vej, og lad certifikatvalideringen gøre sit arbejde; at klikke gennem en advarsel, fordi destinationen er »bare et NAS«, flytter risikoen over på brugeren. Hvis politik forbyder UPnP eller automatiske routerændringer, skal du gennemgå disse funktioner separat under deres ejer.

En restriktiv firewall kan stadig blokere den udgående side. En relæfunktion er ikke tilladelse til at omgå en netværkskontrol.

Test flowet, og dokumentér derefter afhængigheden

Gentag den krævede filoperation efter en godkendt NAS-genstart og efter en netværksændring, og noter, hvilken vej der blev brugt, og hvordan den klarede sig. Direkte og relæbaserede sessioner kan variere mærkbart, så et flow, der føles fint i laboratoriet, kan være smertefuldt over et relæ. Tilføj overførslen til gendannelsestesten, hvis filerne betyder noget.

Registrer leverandørafhængigheden og den forventede adfærd under et udfald. Hvis det egentlige krav er indbygget SMB, er de ærlige muligheder et godkendt overlay-netværk eller en administreret VPN, og begge er netværksdesign med deres egne tilmeldings- og firewallkrav.