NAS-behear oer in VPN: hâld de namme, lit de iepenbiere poarte falle
Berik de behearspagina troch de tunnel, net troch in nije iepenbiere poarte. Los de echte namme op, lykje it sertifikaat dêrmei en tastean ien tsjinst fan ien boarne.
De NAS-behearspagina wurket thús en hâldt op te wurkjen op it stuit dat de behearder reizget, dus immen iepenet in poarte en it probleem ferdwynt tegearre mei de privacy. Dêr is in bettere foarm foar. Lit de pagina wêr't er is, lit de tunnel berikberens leverje, en meitsje wat jo dokumintearje in folsleine URL mei in neamde tastimmingpaad ynstee fan in apparaatadres dat tafallich antwurdet. Eltse beslissing hjirûnder, fan 'e namme oant it sertifikaat en de ienige tastiene poarte, folget út it sa opskriuwen.
De ûntwer-ienheid is in URL, gjin adres
Skriuw de yngong as in folsleine URL mei syn poarte en skema, en heakje dan de betingsten ta: wa't it brûke mei, fan hokker netwurk en fia hokker paad. In foarbyld kin wêze https://nas.corp.example:8443 dat allinnich foar goedkarde partikuliere kliïnten publisearre wurdt, wêrby't de namme en poarte steane foar wat it apparaat eins harket.
Dat kader twingt de beslissingen betiid. In URL betsjut in namme, in namme betsjut in sertifikaat, en in sertifikaat betsjut in fertrouwensregeling. In adres betsjut dêr neat fan, en dêrom krekt oerlibbet de ferzje mei allinnich adres oant de earste browserwarskôging en wurdt dan in gewoante om der trochhinne te klikken.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Hâld de namme dêr't it sertifikaat foar útjûn is
De kliïnt hat in tastiene rûte nedich nei it partikuliere adres fan 'e NAS, en in partikuliere DNS-regeling kin de bedoelde hostnamme nei dat adres oplosse en tagelyk de namme behâlde dy't de HTTPS-tsjinst ferwachtet. Beide helten binne wichtich: de rûte krijt pakketten dêrhinne, de namme fertelt de kliïnt hokker identiteit te ferifiearjen.
It numerike adres yntype ynstee feroaret de identiteitseask. RFC 9525 skiedt de namme dy't in kliïnt fan doel is te kontaktjen fan 'e identiteit dy't in tsjinst presintearret, dus in sertifikaat útjûn foar nas.corp.example kin legitima mislearje as de browser nei 10.20.0.15 rjochte is. De warskôging is korrekt, en de oplossing is de namme, net in útsûndering.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleFier beide út foar't jo de tunnel de skuld jouwe. De earste lit sjen oft de partikuliere namme oplost wêr't jo tinke, en de twadde lit sjen hokker sertifikaat en hokker alternative ûnderwerpnamme de tsjinst eins presintearret. In partikuliere CA kin in folslein goed beheard keuze wêze; wat gjin gewoante wurde moat, is minsken leare om identiteitswarskôgingen te negearjen.
Behein it behearpaad
Tastean krekt de beheartsjinst fan 'e bedoelde boarne, sawol by de gateway as by de NAS. Dy sin ferberget in detail dat byt: in routed kliïntpool en in gateway mei boarnfertaaling komme by de NAS oan mei ferskillende boarneadressen, dus in tastimmingregel skreaun foar de iene mislearret stil foar de oare.
De NAS hat ek in werompaad nedich, en de browser moat de konfigurearre poarte en skema brûke ynstee fan 'e standert fan 'e leveransier út in forumpost. It apparaat berikke is gjin tastimming om elke poarte derop te berikken. It gat tusken in apparaat dat op ping antwurdet en in behearspagina dy't laden wurdt is it gat tusken twa aparte regels. Skriuw se as twa regels mei twa kommentaren, sadat de folgjende persoan sjocht wêrom't beide bestean.
Skied VPN-tagong fan NAS-privileezje
Troch de tunnel talitten wurde is net itselde as it apparaat beheare meie. In brûker dy't legitima bestânopslach nedich hat, moat gjin apparaatbehear ervje om't beide efter ien gateway libje, en it akkountmodel fan 'e NAS is it plak dêr't dy skieding hanthavene wurde moat.
In dield of oerset útgongadres kin ek gjin yndividuele behearder identifisearje. As it auditspoar in persoan neame moat, moat de identiteit fan in autentisearre akkount komme ynstee fan fan it boarneadres fan in tunnel dy't in soad minsken brûke.
Wat jo net by ûngelok publisearje moatte
In iepenbiere omkearde proxy en in leveransiersrelay binne beide echte arsjitektueren, en elk draacht syn eigen fertrouwens- en bleatstellingsbeslissingen. Gjin fan beide wurdt nedich om't in behearder fan hûs is, en gjin fan beide moat ferskine as in by-effekt fan it bleatstellen fan in mediatsjinner of in bestânsdieling.
Dokumintearje fjouwer dingen en stop: de partikuliere namme, de listener dêr't er nei mapt, de groep dy't it brûke mei, en it herstelpaad as de tunnel net beskikber is. Dy fjouwer beantwurdzje ek de fragen dy't in ynsidintresinsje stelle sil, wat net jildt foar in skermprint fan in poartetrochstjoeringsside. Wat jo einigje is ien stabile bestjoerlike yngongspunt ynstee fan in apparaat wêrfan elke funksje nei it ynternet sjocht.