NAS administrazioa VPN baten bidez: gorde izena, utzi portu publikoa
Iritsi administrazio orrialdera tunelaren bidez, ez portu publiko berri baten bidez. Ebatzi benetako izena, egokitu ziurtagiria hari eta baimendu zerbitzu bat iturri batetik.
NAS administrazio orrialdeak etxean funtzionatzen du eta administratzailea bidaiatzen duen unean funtzionatzeari uzten dio, beraz norbaitek portu bat irekitzen du eta arazoa pribatutasunarekin batera desagertzen da. Horretarako forma hobea dago. Utzi orrialdea dagoen tokian, utzi tunelari irisgarritasuna ematen, eta egin dokumentatzen duzuna URL oso bat izeneko baimen-bide batekin, kasualitatez erantzuten duen gailu-helbide bat izan beharrean. Beheko erabaki bakoitza, izenetik ziurtagirira eta baimendutako portu bakarrera, horrela idaztetik dator.
Diseinu-unitatea URL bat da, ez helbide bat
Idatzi sarrera URL oso gisa, bere portu eta eskemarekin, eta gero erantsi baldintzak: nork erabil dezakeen, zein saretatik eta zein bidetatik. Adibide bat https://nas.corp.example:8443 izan liteke, onartutako bezero pribatuei soilik argitaratua, non izenak eta portuak gailuak benetan entzuten duena ordezkatzen duten.
Esparru horrek erabakiak goiz behartzen ditu. URL batek izen bat dakar, izen batek ziurtagiri bat dakar, eta ziurtagiri batek konfiantza-akordio bat dakar. Helbide batek ez du horietako ezer dakar, eta horregatik hain zuzen helbide hutseko bertsioak lehenengo nabigatzaile-abisua arte irauten du eta gero hura gainditzen klik egiteko ohitura bihurtzen da.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Gorde ziurtagiria eman zitzaion izena
Bezeroak NASaren helbide pribaturako baimendutako ibilbide bat behar du, eta DNS konfigurazio pribatu batek aurreikusitako ostalari-izena helbide horretara ebatz dezake, HTTPS zerbitzuak espero duen izena mantenduz. Bi erdiak garrantzitsuak dira: ibilbideak paketeak hara eramaten ditu, izenak bezeroari zer identitate egiaztatu esaten dio.
Helbide numerikoa idazteak identitate-betekizuna aldatzen du. RFC 9525 arauak bereizten ditu bezeroak kontaktatu nahi duen izena eta zerbitzu batek aurkezten duen identitatea, beraz nas.corp.example-entzat emandako ziurtagiri batek zilegi du huts egitea nabigatzailea 10.20.0.15 helbidera zuzendu zenean. Abisua zuzena da, eta konponbidea izena da, ez salbuespen bat.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleExekutatu biak tunela errudun egin aurretik. Lehenengoak erakusten du izen pribatua zuk uste duzun tokian ebazten den, eta bigarrenak zerbitzuak benetan zein ziurtagiri eta subjektu-izen alternatibo aurkezten dituen. CA pribatu bat aukera ondo kudeatua izan daiteke; ohitura bihurtu behar ez duena jendeari identitate-abisuak baztertzen irakastea da.
Mugatu kudeaketa-bidea
Baimendu zehazki kudeaketa-zerbitzua aurreikusitako iturritik, bai atebidean bai NASean. Esaldi horrek hozka egiten duen xehetasun bat ezkutatzen du: bideratutako bezero-pool bat eta iturri-itzulpena duen atebide bat helbide desberdinekin iristen dira NASera, beraz bataz idatzitako baimen-araua isilki huts egiten du bestearentzat.
NASak itzulera-bide bat ere behar du, eta nabigatzaileak konfiguratutako portua eta eskema erabili behar ditu, foro-mezu bateko saltzailearen balio lehenetsia beharrean. Gailura iristea ez da bertako portu guztietara iristeko baimena. Ping-ari erantzuten dion gailu baten eta kargatzen den administrazio-orrialde baten arteko aldea bi arau bereizien arteko aldea da. Idatzi itzazu bi arau eta bi iruzkin gisa, hurrengo pertsonak biak zergatik dauden ikus dezan.
Bereizi VPN sarrera NAS pribilegiotik
Tunelaren bidez pasatzen uztea ez da gailua administratzeko baimena izatea. Fitxategi-biltegiratzea zilegi behar duen erabiltzaile batek ez luke gailu-administrazioa heredatu behar biak atebide baten atzean bizi direlako, eta NASaren kontu-eredua da bereizketa hori betearazi behar den tokia.
Irteera-helbide partekatu edo itzuli batek ere ezin du administrari indibidual bat identifikatu. Auditoria-trazak pertsona bat izendatu behar badu, identitatea kontu autentifikatu batetik etorri behar da, jende askok erabiltzen duen tunel baten iturri-helbidetik beharrean.
Zer ez argitaratu ustekabean
Proxy alderantziz publiko bat eta saltzailearen errele bat bi arkitektura erreal dira, eta bakoitzak bere konfiantza- eta esposizio-erabakiak dakartza. Bat ere ez da beharrezkoa bihurtzen administratzailea etxetik kanpo dagoelako, eta bat ere ez litzateke agertu behar media-zerbitzari bat edo fitxategi-partekatze bat agerian uztearen albo-ondorio gisa.
Dokumentatu lau gauza eta gelditu: izen pribatua, horri mapatzen zaion entzulea, erabiltzeko baimena duen taldea eta tunela erabilgarri ez badago berreskuratzeko bidea. Lau horiek ere erantzuten dituzte gorabehera-berrikuspen batek egingo dituen galderak, eta hori ez da egia portu-birbidalketa orrialde baten pantaila-argazki batentzat. Amaieran administrazio-sarrera puntu egonkor bat duzu, funtzio guztiak internetera begira dituen gailu bat beharrean.