NAS-i haldamine VPN-i kaudu: jäta nimi alles, loobu avalikust pordist
Jõua halduslehele tunnelit mööda, mitte uue avaliku pordi kaudu. Lahenda tegelik nimi, sobi sertifikaat sellega kokku ja luba üks teenus ühest allikast.
NAS-i haldusleht töötab kodus ja lakkab töötamast hetkel, mil administraator reisib, seega keegi avab pordi ja probleem kaob koos privaatsusega. Selle jaoks on parem kuju. Jätke leht sinna, kus see on, laske tunnelil pakkuda kättesaadavust ja tehke see, mida dokumenteerite, täielikuks URL-iks, millel on nimetatud õigustustee, mitte seadme aadressiks, mis juhtumisi vastab. Iga allpool olev otsus, nimest sertifikaadi ja ainsa lubatud pordini, tuleneb sellest, et seda nii kirjutada.
Disainiühik on URL, mitte aadress
Kirjutage sisendpunkt täieliku URL-ina koos pordi ja skeemiga, seejärel lisage tingimused: kes tohib seda kasutada, millisest võrgust ja mis teed pidi. Näiteks võib olla https://nas.corp.example:8443, mis on avaldatud ainult heakskiidetud privaatsetele klientidele, kus nimi ja port esindavad seda, mida seade tegelikult kuulab.
See raamistik sunnib otsused varakult tegema. URL eeldab nime, nimi eeldab sertifikaati ja sertifikaat eeldab usalduskorraldust. Aadress ei eelda neist midagi, ja täpselt seetõttu elab ainult aadressiga versioon esimese brauserihoiatuseni ja muutub seejärel harjumuseks sellest läbi klõpsata.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Jätke alles nimi, mille jaoks sertifikaat välja anti
Kliendil on vaja lubatud marsruuti NAS-i privaatse aadressini ja privaatne DNS-korraldus saab lahendada kavandatud hostinime sellele aadressile, säilitades samal ajal nime, mida HTTPS-teenus ootab. Mõlemad pooled on olulised: marsruut viib paketid kohale, nimi ütleb kliendile, millist identiteeti kontrollida.
Numbrilise aadressi sisestamine muudab identiteedinõuet. RFC 9525 eraldab nime, mida klient kavatseb kontaktida, identiteedist, mida teenus esitab, seega nas.corp.example jaoks välja antud sertifikaat võib õiguspäraselt ebaõnnestuda, kui brauser oli suunatud aadressile 10.20.0.15. Hoiatus on õige ja parandus on nimi, mitte erand.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleKäivitage mõlemad enne, kui tunnelit süüdistate. Esimene näitab, kas privaatne nimi laheneb seal, kus te arvate, ja teine näitab, millist sertifikaati ja milliseid alternatiivseid subjektinimesid teenus tegelikult esitab. Privaatne CA võib olla täiesti korralikult hallatud valik; harjumuseks ei tohiks saada see, kui õpetada inimesi identiteedihoiatusi eirama.
Piirake haldusteed
Lubage täpselt haldusteenust kavandatud allikast, nii lüüsil kui ka NAS-is. See lause peidab detaili, mis hammustab: marsruuditud kliendikogum ja lähtetõlkega lüüs jõuavad NAS-i erinevate lähteaadressidega, seega ühe jaoks kirjutatud lubamisreegel ebaõnnestub teise jaoks vaikselt.
NAS vajab ka tagasiteed ja brauser peab kasutama konfigureeritud porti ja skeemi, mitte foorumipostitusest pärit tootja vaikeväärtust. Seadmeni jõudmine ei ole luba jõuda selle iga pordini. Vahe seadme vahel, mis vastab pingile, ja halduslehe vahel, mis laeb, on vahe kahe eraldi reegli vahel. Kirjutage need kahe reeglina kahe kommentaariga, et järgmine inimene näeks, miks mõlemad olemas on.
Eraldage VPN-i lubamine NAS-i õigustest
Tunnelist läbi lastud saamine ei ole sama mis seadme haldamise luba. Kasutaja, kes vajab seaduslikult failisalvestust, ei peaks seadme haldust pärima ainult sellepärast, et mõlemad elavad ühe lüüsi taga, ja NAS-i kontomudel on koht, kus see eraldamine tuleb kehtestada.
Jagatud või tõlgitud väljumisaadress ei suuda samuti üksikut administraatorit tuvastada. Kui auditijälg peab nimetama inimest, peab identiteet tulema autenditud kontolt, mitte paljude inimeste kasutatava tunneli lähteaadressilt.
Mida ei tohiks kogemata avaldada
Avalik pöördpuhverserver ja tarnija relee on mõlemad tõelised arhitektuurid ja kumbki kannab oma usaldus- ja kokkupuuteotsuseid. Kumbki ei muutu vajalikuks seetõttu, et administraator on kodust eemal, ja kumbki ei tohiks ilmuda meediaserveri või failijagamise avalikustamise kõrvalmõjuna.
Dokumenteerige neli asja ja lõpetage: privaatne nimi, kuulaja, millele see kaardistub, grupp, kellel on luba seda kasutada, ja taastetee, kui tunnel pole saadaval. Need neli vastavad ka küsimustele, mida intsidendi ülevaatus küsib, mis ei kehti portide edastamise lehe ekraanipildi kohta. Lõpuks on teil üks stabiilne halduslik sisenemispunkt, mitte seade, mille iga funktsioon vaatab internetti.