NASin ylläpito VPN:n yli: pidä nimi, luovu julkisesta portista
Saavuta ylläpitosivu tunnelin kautta, älä uuden julkisen portin kautta. Ratkaise oikea nimi, sovita varmenne siihen ja salli yksi palvelu yhdestä lähteestä.
NASin ylläpitosivu toimii kotona ja lakkaa toimimasta heti, kun ylläpitäjä matkustaa, joten joku avaa portin ja ongelma katoaa yksityisyyden mukana. Tähän on parempi muoto. Jätä sivu paikoilleen, anna tunnelin tarjota tavoitettavuus ja tee siitä, mitä dokumentoit, täydellinen URL, jossa on nimetty käyttöpolku, eikä laiteosoite, joka sattuu vastaamaan. Jokainen alla oleva päätös nimestä varmenteeseen ja ainoaan sallittuun porttiin seuraa siitä, että se kirjoitetaan näin.
Suunnitteluyksikkö on URL, ei osoite
Kirjoita merkintä täydellisenä URL:na portteineen ja skeemoineen ja liitä sitten ehdot: kuka saa käyttää sitä, mistä verkosta ja mitä polkua pitkin. Esimerkki voisi olla https://nas.corp.example:8443, joka julkaistaan vain hyväksytyille yksityisille asiakkaille, jolloin nimi ja portti edustavat sitä, mitä laite todella kuuntelee.
Tämä kehys pakottaa päätökset aikaisin. URL edellyttää nimeä, nimi edellyttää varmennetta ja varmenne edellyttää luottamusjärjestelyä. Osoite ei edellytä mitään niistä, ja juuri siksi pelkkään osoitteeseen perustuva versio säilyy ensimmäiseen selaimen varoitukseen asti ja muuttuu sitten tavaksi klikata sen läpi.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Pidä nimi, jolle varmenne myönnettiin
Asiakas tarvitsee sallitun reitin NASin yksityiseen osoitteeseen, ja yksityinen DNS-järjestely voi ratkaista aiotun isäntänimen siihen osoitteeseen säilyttäen samalla nimen, jota HTTPS-palvelu odottaa. Molemmat puolet ovat tärkeitä: reitti vie paketit sinne, nimi kertoo asiakkaalle, mitä identiteettiä tarkistaa.
Numeerisen osoitteen kirjoittaminen sen sijaan muuttaa identiteettivaatimusta. RFC 9525 erottaa nimen, johon asiakas aikoo ottaa yhteyttä, identiteetistä, jonka palvelu esittää, joten nas.corp.example-nimelle myönnetty varmenne voi perustellusti epäonnistua, kun selain osoitettiin osoitteeseen 10.20.0.15. Varoitus on oikea, ja korjaus on nimi, ei poikkeus.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleSuorita molemmat ennen kuin syytät tunnelia. Ensimmäinen näyttää, ratkeaako yksityinen nimi siellä, missä luulet, ja toinen näyttää, minkä varmenteen ja mitkä vaihtoehtoiset kohdenimet palvelu todella esittää. Yksityinen CA voi olla täysin hyvin hallittu valinta; tavaksi ei pitäisi tulla opettaa ihmisiä sivuuttamaan identiteettivaroituksia.
Rajaa hallintapolku
Salli täsmälleen hallintapalvelu aiotusta lähteestä sekä yhdyskäytävässä että NASissa. Tuo lause kätkee yksityiskohdan, joka puree: reititetty asiakaspooli ja lähdeosoitteen käännöksen tekevä yhdyskäytävä saapuvat NASiin eri lähdeosoitteilla, joten toiselle kirjoitettu sallintasääntö epäonnistuu toiselle ääneti.
NAS tarvitsee myös paluupolun, ja selaimen on käytettävä määritettyä porttia ja skeemaa eikä valmistajan oletusta foorumiviestistä. Laitteeseen pääseminen ei ole lupa päästä sen jokaiseen porttiin. Pingiin vastaavan laitteen ja latautuvan ylläpitosivun välinen ero on kahden erillisen säännön välinen ero. Kirjoita ne kahdeksi säännöksi kahdella kommentilla, jotta seuraava henkilö näkee, miksi molemmat ovat olemassa.
Erota VPN-pääsy NASin käyttöoikeudesta
Tunnelin läpi päästetyksi tuleminen ei ole sama kuin lupa hallita laitetta. Käyttäjän, joka laillisesti tarvitsee tiedostotallennusta, ei pitäisi periä laitehallintaa vain siksi, että molemmat elävät yhden yhdyskäytävän takana, ja NASin tilimalli on paikka, jossa tämä erottelu on pantava täytäntöön.
Jaettu tai käännetty lähtöosoite ei sekään voi tunnistaa yksittäistä ylläpitäjää. Jos auditointijäljen on nimettävä henkilö, identiteetin on tultava todennetusta tilistä eikä monen ihmisen käyttämän tunnelin lähdeosoitteesta.
Mitä ei pidä julkaista vahingossa
Julkinen käänteinen välityspalvelin ja toimittajan rele ovat molemmat todellisia arkkitehtuureja, ja kumpikin kantaa omat luottamus- ja altistumispäätöksensä. Kummastakaan ei tule tarpeellista siksi, että ylläpitäjä on poissa kotoa, eikä kumpaakaan pitäisi ilmaantua mediaserverin tai tiedostojen jakamisen paljastamisen sivuvaikutuksena.
Dokumentoi neljä asiaa ja lopeta: yksityinen nimi, kuuntelija johon se kartoitetaan, ryhmä jolla on lupa käyttää sitä, ja palautuspolku, jos tunneli ei ole käytettävissä. Ne neljä vastaavat myös kysymyksiin, joita tapahtuman jälkitarkastus kysyy, mikä ei pidä paikkaansa portin edelleenlähetyssivun kuvakaappauksesta. Lopuksi sinulla on yksi vakaa hallinnollinen sisääntulopiste sen sijaan, että laitteen jokainen ominaisuus osoittaisi internetiin.