VPN દ્વારા NAS સંચાલન: નામ રાખો, જાહેર પોર્ટ છોડો
ટનલ દ્વારા સંચાલન પૃષ્ઠ પર પહોંચો, નવા જાહેર પોર્ટ દ્વારા નહીં. સાચું નામ ઉકેલો, તેની સાથે પ્રમાણપત્ર મેળવો અને એક સ્રોતમાંથી એક સેવાની પરવાનગી આપો.
NAS સંચાલન પૃષ્ઠ ઘરે કામ કરે છે અને સંચાલક મુસાફરી કરે તે ક્ષણે કામ કરવાનું બંધ કરે છે, તેથી કોઈ પોર્ટ ખોલે છે અને સમસ્યા ગોપનીયતા સાથે જ અદૃશ્ય થઈ જાય છે. આ માટે એક સારું સ્વરૂપ છે. પૃષ્ઠને જ્યાં છે ત્યાં જ રાખો, ટનલ પહોંચ પ્રદાન કરે, અને તમે જે દસ્તાવેજીકૃત કરો તેને નામવાળા પરવાનગી-માર્ગ સાથેનું સંપૂર્ણ URL બનાવો, કોઈ એવું ઉપકરણ સરનામું નહીં જે આકસ્મિક રીતે જવાબ આપે. નીચેનો દરેક નિર્ણય, નામથી પ્રમાણપત્ર અને એકમાત્ર મંજૂર પોર્ટ સુધી, તેને એ રીતે લખવાથી જ નીકળે છે.
રચનાનું એકમ URL છે, સરનામું નહીં
પ્રવેશને તેના પોર્ટ અને સ્કીમ સાથે સંપૂર્ણ URL તરીકે લખો, પછી શરતો જોડો: કોણ તેનો ઉપયોગ કરી શકે, કયા નેટવર્કથી અને કયા માર્ગે. ઉદાહરણ https://nas.corp.example:8443 હોઈ શકે, જે ફક્ત મંજૂર ખાનગી ક્લાયન્ટ્સ માટે પ્રકાશિત થાય છે, જ્યાં નામ અને પોર્ટ એ વસ્તુનું પ્રતિનિધિત્વ કરે છે જે ઉપકરણ ખરેખર સાંભળે છે.
એ ઢાંચો નિર્ણયોને વહેલા ફરજિયાત બનાવે છે. URL નામ સૂચવે છે, નામ પ્રમાણપત્ર સૂચવે છે, અને પ્રમાણપત્ર વિશ્વાસ-વ્યવસ્થા સૂચવે છે. સરનામું તેમાંથી કંઈ સૂચવતું નથી, અને તે જ કારણે ફક્ત-સરનામું આવૃત્તિ પ્રથમ બ્રાઉઝર ચેતવણી સુધી ટકે છે અને પછી તેમાંથી ક્લિક કરીને આગળ વધવાની ટેવ બની જાય છે.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
પ્રમાણપત્ર જે નામ માટે જારી કરાયું છે તે રાખો
ક્લાયન્ટને NAS ના ખાનગી સરનામા સુધી મંજૂર માર્ગની જરૂર છે, અને ખાનગી DNS વ્યવસ્થા ઇચ્છિત હોસ્ટનામને તે સરનામા પર ઉકેલી શકે છે અને સાથે જ HTTPS સેવા જે નામની અપેક્ષા રાખે છે તે જાળવી રાખે છે. બંને ભાગ મહત્વપૂર્ણ છે: માર્ગ પેકેટને ત્યાં પહોંચાડે છે, નામ ક્લાયન્ટને કહે છે કે કઈ ઓળખ ચકાસવી.
તેના બદલે સંખ્યાત્મક સરનામું લખવાથી ઓળખની આવશ્યકતા બદલાય છે. RFC 9525 ક્લાયન્ટ જે નામનો સંપર્ક કરવા માંગે છે તેને સેવા જે ઓળખ રજૂ કરે છે તેનાથી અલગ કરે છે, તેથી nas.corp.example માટે જારી કરાયેલું પ્રમાણપત્ર કાયદેસર રીતે નિષ્ફળ થઈ શકે છે જ્યારે બ્રાઉઝર 10.20.0.15 તરફ નિર્દેશિત હોય. ચેતવણી સાચી છે, અને ઉકેલ નામ છે, કોઈ અપવાદ નહીં.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleટનલને દોષ આપતા પહેલાં બંને ચલાવો. પ્રથમ દર્શાવે છે કે ખાનગી નામ તમે ધારો છો ત્યાં ઉકેલાય છે કે નહીં, અને બીજું દર્શાવે છે કે સેવા ખરેખર કયું પ્રમાણપત્ર અને કયા વૈકલ્પિક વિષય-નામો રજૂ કરે છે. ખાનગી CA સંપૂર્ણ સુવ્યવસ્થિત પસંદગી હોઈ શકે છે; ટેવ બનવી ન જોઈએ તે છે લોકોને ઓળખ-ચેતવણીઓ અવગણવાનું શીખવવું.
સંચાલન માર્ગ મર્યાદિત કરો
ગેટવે અને NAS બંને પર, ઇચ્છિત સ્રોતમાંથી બરાબર સંચાલન સેવાની પરવાનગી આપો. એ વાક્ય એક એવી વિગત છુપાવે છે જે ડંખે છે: રાઉટેડ ક્લાયન્ટ પૂલ અને સ્રોત-અનુવાદિત ગેટવે જુદા જુદા સ્રોત સરનામાં સાથે NAS પર પહોંચે છે, તેથી એક માટે લખાયેલો પરવાનગી-નિયમ બીજા માટે શાંતિથી નિષ્ફળ જાય છે.
NAS ને પરત માર્ગની પણ જરૂર છે, અને બ્રાઉઝરે ફોરમ પોસ્ટમાંથી મળેલા વેન્ડર ડિફોલ્ટને બદલે ગોઠવાયેલ પોર્ટ અને સ્કીમ વાપરવું પડે છે. ઉપકરણ સુધી પહોંચવું એ તેના દરેક પોર્ટ સુધી પહોંચવાની પરવાનગી નથી. પિંગનો જવાબ આપતા ઉપકરણ અને લોડ થતા સંચાલન પૃષ્ઠ વચ્ચેનું અંતર એ બે અલગ નિયમો વચ્ચેનું અંતર છે. તેમને બે ટિપ્પણી સાથે બે નિયમ તરીકે લખો, જેથી આગલી વ્યક્તિ જોઈ શકે કે બંને કેમ છે.
VPN પ્રવેશને NAS વિશેષાધિકારથી અલગ કરો
ટનલ દ્વારા પસાર થવા દેવું એ ઉપકરણનું સંચાલન કરવાની પરવાનગી હોવા જેવું નથી. જેને કાયદેસર રીતે ફાઇલ સંગ્રહની જરૂર છે તેને ફક્ત એટલા માટે ઉપકરણ સંચાલન વારસામાં ન મળવું જોઈએ કે બંને એક ગેટવે પાછળ રહે છે, અને NAS નું ખાતા મોડેલ એ જગ્યા છે જ્યાં એ અલગીકરણ લાગુ કરવું પડે.
વહેંચાયેલું કે અનુવાદિત એગ્ઝિટ સરનામું પણ વ્યક્તિગત સંચાલકને ઓળખી શકતું નથી. જો ઓડિટ ટ્રેઇલને વ્યક્તિનું નામ આપવું હોય, તો ઓળખ પ્રમાણિત ખાતામાંથી આવવી જોઈએ, ઘણા લોકો વાપરતી ટનલના સ્રોત સરનામાંથી નહીં.
શું આકસ્મિક રીતે પ્રકાશિત ન કરવું
જાહેર રિવર્સ પ્રોક્સી અને વેન્ડર રિલે બંને વાસ્તવિક આર્કિટેક્ચર છે, અને દરેક પોતાના વિશ્વાસ અને એક્સપોઝરના નિર્ણયો ધરાવે છે. સંચાલક ઘરથી દૂર હોવાને કારણે કોઈ પણ જરૂરી બનતું નથી, અને મીડિયા સર્વર કે ફાઇલ શેરિંગ જાહેર કરવાની આડઅસર તરીકે પણ કોઈ પણ દેખાવું ન જોઈએ.
ચાર વસ્તુઓનું દસ્તાવેજીકરણ કરો અને થોભો: ખાનગી નામ, જે લિસનર પર તે મેપ થાય છે, જે જૂથને તેનો ઉપયોગ કરવાની પરવાનગી છે, અને ટનલ ઉપલબ્ધ ન હોય તો પુનઃપ્રાપ્તિનો માર્ગ. એ ચાર એ પ્રશ્નોના પણ જવાબ આપે છે જે ઘટના-સમીક્ષા પૂછશે, જે પોર્ટ-ફોરવર્ડિંગ પૃષ્ઠની સ્ક્રીનશોટ વિશે સાચું નથી. અંતે તમારી પાસે એક સ્થિર વહીવટી પ્રવેશબિંદુ હોય છે, એવું ઉપકરણ નહીં જેની દરેક સુવિધા ઇન્ટરનેટ તરફ હોય.