Διαχείριση NAS μέσω VPN: κρατήστε το όνομα, αφήστε τη δημόσια θύρα
Φτάστε στη σελίδα διαχείρισης μέσα από το τούνελ, όχι μέσα από μια νέα δημόσια θύρα. Επιλύστε το πραγματικό όνομα, αντιστοιχίστε το πιστοποιητικό με αυτό και επιτρέψτε μία υπηρεσία από μία πηγή.
Η σελίδα διαχείρισης του NAS λειτουργεί στο σπίτι και σταματά να λειτουργεί τη στιγμή που ο διαχειριστής ταξιδεύει, οπότε κάποιος ανοίγει μια θύρα και το πρόβλημα εξαφανίζεται μαζί με το απόρρητο. Υπάρχει καλύτερη μορφή γι' αυτό. Κρατήστε τη σελίδα εκεί που είναι, αφήστε το τούνελ να παρέχει την προσβασιμότητα, και κάντε αυτό που τεκμηριώνετε ένα πλήρες URL με ονομασμένη διαδρομή άδειας αντί για μια διεύθυνση συσκευής που τυχαίνει να απαντά. Κάθε απόφαση παρακάτω, από το όνομα στο πιστοποιητικό και στη μοναδική επιτρεπόμενη θύρα, προκύπτει από το να το γράψετε έτσι.
Η μονάδα σχεδιασμού είναι ένα URL, όχι μια διεύθυνση
Γράψτε την καταχώριση ως πλήρες URL με τη θύρα και το σχήμα της και μετά προσθέστε τους όρους: ποιος μπορεί να το χρησιμοποιήσει, από ποιο δίκτυο και μέσω ποιας διαδρομής. Ένα παράδειγμα θα μπορούσε να είναι το https://nas.corp.example:8443 που δημοσιεύεται μόνο σε εγκεκριμένους ιδιωτικούς πελάτες, με το όνομα και τη θύρα να αντιπροσωπεύουν αυτό στο οποίο ακούει πραγματικά η συσκευή.
Αυτό το πλαίσιο επιβάλλει τις αποφάσεις νωρίς. Ένα URL συνεπάγεται ένα όνομα, ένα όνομα συνεπάγεται ένα πιστοποιητικό, και ένα πιστοποιητικό συνεπάγεται μια ρύθμιση εμπιστοσύνης. Μια διεύθυνση δεν συνεπάγεται τίποτα από αυτά, και γι' αυτό ακριβώς η εκδοχή μόνο με διεύθυνση επιβιώνει μέχρι την πρώτη προειδοποίηση του προγράμματος περιήγησης και μετά γίνεται συνήθεια να την προσπερνάτε με κλικ.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Κρατήστε το όνομα για το οποίο εκδόθηκε το πιστοποιητικό
Ο πελάτης χρειάζεται μια επιτρεπόμενη διαδρομή προς την ιδιωτική διεύθυνση του NAS, και μια ιδιωτική ρύθμιση DNS μπορεί να επιλύσει το επιδιωκόμενο όνομα κεντρικού υπολογιστή σε αυτή τη διεύθυνση διατηρώντας παράλληλα το όνομα που περιμένει η υπηρεσία HTTPS. Και τα δύο μισά μετράνε: η διαδρομή φέρνει τα πακέτα εκεί, το όνομα λέει στον πελάτη ποια ταυτότητα να επαληθεύσει.
Το να πληκτρολογήσετε αντί γι' αυτό την αριθμητική διεύθυνση αλλάζει την απαίτηση ταυτότητας. Το RFC 9525 διαχωρίζει το όνομα με το οποίο σκοπεύει να επικοινωνήσει ένας πελάτης από την ταυτότητα που παρουσιάζει μια υπηρεσία, οπότε ένα πιστοποιητικό που εκδόθηκε για το nas.corp.example μπορεί εύλογα να αποτύχει όταν το πρόγραμμα περιήγησης κατευθύνθηκε στο 10.20.0.15. Η προειδοποίηση είναι σωστή, και η διόρθωση είναι το όνομα, όχι μια εξαίρεση.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleΕκτελέστε και τα δύο πριν κατηγορήσετε το τούνελ. Το πρώτο δείχνει αν το ιδιωτικό όνομα επιλύεται εκεί που νομίζετε, και το δεύτερο δείχνει ποιο πιστοποιητικό και ποια εναλλακτικά ονόματα υποκειμένου παρουσιάζει πραγματικά η υπηρεσία. Μια ιδιωτική CA μπορεί να είναι μια απολύτως καλά διαχειριζόμενη επιλογή· αυτό που δεν πρέπει να γίνει ρουτίνα είναι να μαθαίνουμε στους ανθρώπους να αγνοούν τις προειδοποιήσεις ταυτότητας.
Περιορίστε τη διαδρομή διαχείρισης
Επιτρέψτε ακριβώς την υπηρεσία διαχείρισης από την προβλεπόμενη πηγή, και στην πύλη και στο NAS. Αυτή η φράση κρύβει μια λεπτομέρεια που δαγκώνει: μια δεξαμενή δρομολογημένων πελατών και μια πύλη με μετάφραση πηγής φτάνουν στο NAS με διαφορετικές διευθύνσεις πηγής, οπότε ένας κανόνας άδειας γραμμένος για το ένα αποτυγχάνει σιωπηλά για το άλλο.
Το NAS χρειάζεται επίσης μια διαδρομή επιστροφής, και το πρόγραμμα περιήγησης πρέπει να χρησιμοποιεί τη ρυθμισμένη θύρα και το σχήμα αντί για την προεπιλογή του κατασκευαστή από μια δημοσίευση σε φόρουμ. Το να φτάσετε στη συσκευή δεν είναι άδεια να φτάσετε σε κάθε θύρα της. Το χάσμα ανάμεσα σε μια συσκευή που απαντά σε ping και σε μια σελίδα διαχείρισης που φορτώνει είναι το χάσμα ανάμεσα σε δύο ξεχωριστούς κανόνες. Γράψτε τους ως δύο κανόνες με δύο σχόλια, ώστε το επόμενο άτομο να βλέπει γιατί υπάρχουν και οι δύο.
Διαχωρίστε την είσοδο στο VPN από το προνόμιο στο NAS
Το να σας αφήσουν να περάσετε από το τούνελ δεν είναι το ίδιο με το να σας επιτραπεί να διαχειρίζεστε τη συσκευή. Ένας χρήστης που χρειάζεται νόμιμα αποθήκευση αρχείων δεν πρέπει να κληρονομεί τη διαχείριση της συσκευής επειδή και τα δύο ζουν πίσω από μία πύλη, και το μοντέλο λογαριασμών του NAS είναι το σημείο όπου αυτός ο διαχωρισμός πρέπει να επιβληθεί.
Μια κοινόχρηστη ή μεταφρασμένη διεύθυνση εξόδου δεν μπορεί επίσης να ταυτοποιήσει έναν μεμονωμένο διαχειριστή. Αν το ίχνος ελέγχου πρέπει να ονομάσει ένα πρόσωπο, η ταυτότητα πρέπει να προέρχεται από πιστοποιημένο λογαριασμό και όχι από τη διεύθυνση πηγής ενός τούνελ που χρησιμοποιούν πολλοί.
Τι να μην δημοσιεύσετε κατά λάθος
Ένας δημόσιος αντίστροφος διακομιστής μεσολάβησης και ένα relay κατασκευαστή είναι και τα δύο πραγματικές αρχιτεκτονικές, και το καθένα φέρει τις δικές του αποφάσεις εμπιστοσύνης και έκθεσης. Κανένα δεν γίνεται απαραίτητο επειδή ένας διαχειριστής λείπει από το σπίτι, και κανένα δεν πρέπει να εμφανιστεί ως παρενέργεια της έκθεσης ενός διακομιστή μέσων ή μιας κοινής χρήσης αρχείων.
Τεκμηριώστε τέσσερα πράγματα και σταματήστε: το ιδιωτικό όνομα, τον ακροατή στον οποίο αντιστοιχίζεται, την ομάδα που επιτρέπεται να το χρησιμοποιεί και τη διαδρομή ανάκτησης αν το τούνελ δεν είναι διαθέσιμο. Αυτά τα τέσσερα απαντούν και στα ερωτήματα που θα θέσει μια ανασκόπηση περιστατικού, κάτι που δεν ισχύει για ένα στιγμιότυπο οθόνης μιας σελίδας προώθησης θυρών. Αυτό που καταλήγετε να έχετε είναι ένα σταθερό σημείο διοικητικής εισόδου αντί για μια συσκευή της οποίας κάθε λειτουργία κοιτά προς το διαδίκτυο.