مدیریت NAS از طریق VPN: نام را نگه دارید، پورت عمومی را رها کنید
از طریق تونل به صفحه مدیریت برسید، نه از طریق یک پورت عمومی تازه. نام واقعی را حل کنید، گواهی را با آن تطبیق دهید و یک سرویس را از یک منبع مجاز کنید.
صفحه مدیریت NAS در خانه کار می‌کند و همان لحظه‌ای که مدیر سفر می‌کند از کار می‌افتد، پس کسی یک پورت باز می‌کند و مشکل همراه با حریم خصوصی ناپدید می‌شود. شکل بهتری برای این کار وجود دارد. صفحه را همان‌جا که هست نگه دارید، بگذارید تونل دسترسی را فراهم کند، و آنچه مستند می‌کنید را یک URL کامل با مسیر مجوز نام‌دار بسازید، نه نشانی دستگاهی که تصادفاً پاسخ می‌دهد. هر تصمیمی در ادامه، از نام تا گواهی و تنها پورت مجاز، از نوشتن آن به این شکل ناشی می‌شود.
واحد طراحی یک URL است، نه یک نشانی
ورودی را به صورت یک URL کامل همراه با پورت و طرح آن بنویسید، سپس شرایط را ضمیمه کنید: چه کسی می‌تواند از آن استفاده کند، از کدام شبکه و از کدام مسیر. نمونه‌ای می‌تواند https://nas.corp.example:8443 باشد که فقط برای کارخواهان خصوصی تأییدشده منتشر می‌شود، و نام و پورت جایگزین چیزی هستند که دستگاه واقعاً روی آن گوش می‌دهد.
این چارچوب تصمیم‌ها را زود تحمیل می‌کند. URL به معنای نام است، نام به معنای گواهی است، و گواهی به معنای ترتیبات اعتماد است. نشانی هیچ‌یک از این‌ها را در بر ندارد، و دقیقاً به همین دلیل نسخه فقط-نشانی تا نخستین هشدار مرورگر دوام می‌آورد و سپس به عادت کلیک کردن از روی آن تبدیل می‌شود.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
نامی را که گواهی برای آن صادر شده نگه دارید
کارخواه به مسیری مجاز به نشانی خصوصی NAS نیاز دارد، و یک ترتیبات DNS خصوصی می‌تواند نام میزبان موردنظر را به آن نشانی حل کند و در همان حال نامی را که سرویس HTTPS انتظار دارد حفظ کند. هر دو نیمه مهم‌اند: مسیر بسته‌ها را به آنجا می‌رساند، نام به کارخواه می‌گوید کدام هویت را بررسی کند.
تایپ کردن نشانی عددی به جای آن، شرط هویت را تغییر می‌دهد. RFC 9525 نامی را که کارخواه قصد تماس با آن را دارد از هویتی که سرویس ارائه می‌کند جدا می‌کند، بنابراین گواهی صادرشده برای nas.corp.example می‌تواند به‌درستی شکست بخورد وقتی مرورگر به 10.20.0.15 اشاره شده باشد. هشدار درست است، و راه‌حل نام است، نه یک استثنا.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleپیش از سرزنش تونل، هر دو را اجرا کنید. اولی نشان می‌دهد آیا نام خصوصی همان‌جا که فکر می‌کنید حل می‌شود، و دومی نشان می‌دهد سرویس واقعاً کدام گواهی و کدام نام‌های جایگزین موضوع را ارائه می‌کند. یک CA خصوصی می‌تواند انتخابی کاملاً مدیریت‌شده باشد؛ آنچه نباید عادی شود این است که به مردم بیاموزیم هشدارهای هویت را نادیده بگیرند.
مسیر مدیریت را محدود کنید
دقیقاً سرویس مدیریت را از منبع موردنظر مجاز کنید، هم در دروازه و هم در NAS. آن جمله جزئیاتی را پنهان می‌کند که گاز می‌گیرد: مجموعه‌ای از کارخواهان مسیریابی‌شده و دروازه‌ای با ترجمه منبع با نشانی‌های مبدأ متفاوت به NAS می‌رسند، بنابراین قاعده مجوزی که برای یکی نوشته شده برای دیگری بی‌صدا شکست می‌خورد.
NAS به مسیر بازگشت هم نیاز دارد، و مرورگر باید از پورت و طرح پیکربندی‌شده استفاده کند نه پیش‌فرض فروشنده از یک پست انجمن. رسیدن به دستگاه مجوز رسیدن به هر پورت آن نیست. شکاف میان دستگاهی که به ping پاسخ می‌دهد و صفحه مدیریتی که بارگذاری می‌شود، شکاف میان دو قاعده جداگانه است. آن‌ها را به صورت دو قاعده با دو توضیح بنویسید تا نفر بعدی ببیند چرا هر دو وجود دارند.
پذیرش VPN را از اختیارات NAS جدا کنید
اجازه عبور از تونل با اجازه مدیریت دستگاه یکی نیست. کاربری که به‌طور مشروع به ذخیره‌سازی فایل نیاز دارد نباید به این دلیل که هر دو پشت یک دروازه زندگی می‌کنند مدیریت دستگاه را به ارث ببرد، و مدل حساب NAS همان جایی است که این جداسازی باید اعمال شود.
یک نشانی خروجی مشترک یا ترجمه‌شده هم نمی‌تواند یک مدیر مشخص را شناسایی کند. اگر ردپای حسابرسی باید نام یک شخص را بیاورد، هویت باید از یک حساب احراز هویت‌شده بیاید نه از نشانی مبدأ تونلی که بسیاری از مردم استفاده می‌کنند.
چه چیزی را نباید تصادفی منتشر کرد
پروکسی معکوس عمومی و رله فروشنده هر دو معماری واقعی‌اند و هرکدام تصمیم‌های اعتماد و مواجهه خود را دارند. هیچ‌کدام به این دلیل که مدیر دور از خانه است ضروری نمی‌شوند، و هیچ‌کدام نباید به عنوان عارضه جانبی افشای یک سرور رسانه یا اشتراک فایل ظاهر شوند.
چهار چیز را مستند کنید و بس: نام خصوصی، شنونده‌ای که به آن نگاشت می‌شود، گروهی که مجاز به استفاده از آن است، و مسیر بازیابی اگر تونل در دسترس نباشد. همان چهار مورد به پرسش‌هایی هم پاسخ می‌دهد که بازبینی حادثه خواهد پرسید، که درباره یک تصویر از صفحه ارسال پورت صادق نیست. آنچه در پایان دارید یک نقطه ورود اداری پایدار است نه دستگاهی که هر ویژگی‌اش رو به اینترنت دارد.