Administracija NAS-a preko VPN-a: zadržite ime, odbacite javni port
Do stranice administracije dolazite kroz tunel, a ne kroz novi javni port. Razriješite pravo ime, uskladite certifikat s njim i dopustite jednu uslugu s jednog izvora.
Stranica administracije NAS-a radi kod kuće i prestaje raditi onog trenutka kada administrator otputuje, pa netko otvori port i problem nestane zajedno s privatnošću. Za to postoji bolji oblik. Ostavite stranicu gdje jest, neka tunel osigura dostupnost i neka ono što dokumentirate bude potpuni URL s imenovanom putanjom dopuštenja, a ne adresa uređaja koja slučajno odgovara. Svaka odluka ispod, od imena do certifikata i jedinog dopuštenog porta, proizlazi iz takvog zapisa.
Jedinica dizajna je URL, a ne adresa
Zapišite ulaz kao potpuni URL s njegovim portom i shemom, zatim dodajte uvjete: tko ga smije koristiti, s koje mreže i kojim putem. Primjer može biti https://nas.corp.example:8443 objavljen samo odobrenim privatnim klijentima, pri čemu ime i port zamjenjuju ono što uređaj stvarno sluša.
Takav okvir prisiljava odluke rano. URL podrazumijeva ime, ime podrazumijeva certifikat, a certifikat podrazumijeva aranžman povjerenja. Adresa ne podrazumijeva ništa od toga, i upravo zato verzija samo s adresom preživljava do prvog upozorenja preglednika i zatim postaje navika klikanja kroz njega.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Zadržite ime za koje je certifikat izdan
Klijentu treba dopuštena ruta do privatne adrese NAS-a, a privatni DNS aranžman može razriješiti predviđeno ime hosta na tu adresu i pritom sačuvati ime koje HTTPS usluga očekuje. Obje polovice su važne: ruta dovodi pakete tamo, a ime govori klijentu koji identitet provjeriti.
Upisivanje numeričke adrese umjesto toga mijenja zahtjev za identitetom. RFC 9525 razdvaja ime s kojim se klijent namjerava povezati od identiteta koji usluga predstavlja, pa certifikat izdan za nas.corp.example može legitimno propasti kada je preglednik usmjeren na 10.20.0.15. Upozorenje je ispravno, a rješenje je ime, a ne iznimka.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.examplePokrenite oboje prije nego što okrivite tunel. Prvo pokazuje razrješava li se privatno ime tamo gdje mislite, a drugo pokazuje koji certifikat i koja alternativna imena subjekta usluga stvarno predstavlja. Privatni CA može biti posve dobro upravljan izbor; ono što ne smije postati rutina jest učiti ljude da odbacuju upozorenja o identitetu.
Ograničite putanju upravljanja
Dopustite točno upravljačku uslugu s predviđenog izvora, i na pristupniku i na NAS-u. Ta rečenica skriva detalj koji ugrize: usmjeravani bazen klijenata i pristupnik s prevođenjem izvora dolaze na NAS s različitim izvornim adresama, pa pravilo dopuštenja napisano za jedno tiho zakaže za drugo.
NAS-u treba i povratna putanja, a preglednik mora koristiti konfigurirani port i shemu umjesto dobavljačeve zadane vrijednosti iz posta na forumu. Doći do uređaja nije dopuštenje da se dođe do svakog njegovog porta. Razmak između uređaja koji odgovara na ping i stranice administracije koja se učita razmak je između dva odvojena pravila. Zapišite ih kao dva pravila s dva komentara, da sljedeća osoba vidi zašto postoje oba.
Odvojite dopuštenje za VPN od privilegija na NAS-u
Biti propušten kroz tunel nije isto što i smjeti upravljati uređajem. Korisnik koji legitimno treba pohranu datoteka ne smije naslijediti administraciju uređaja samo zato što oboje živi iza jednog pristupnika, a model računa NAS-a mjesto je na kojem se to razdvajanje mora provesti.
Zajednička ili prevedena izlazna adresa također ne može identificirati pojedinog administratora. Ako revizijski trag treba imenovati osobu, identitet mora doći iz autentificiranog računa, a ne iz izvorne adrese tunela koji koristi mnogo ljudi.
Što ne treba slučajno objaviti
Javni obrnuti proxy i dobavljačev relay obje su stvarne arhitekture i svaka nosi svoje odluke o povjerenju i izloženosti. Nijedna ne postaje nužna zato što je administrator odsutan od kuće, i nijedna se ne smije pojaviti kao nuspojava izlaganja medijskog poslužitelja ili dijeljenja datoteka.
Dokumentirajte četiri stvari i stanite: privatno ime, slušatelj na koji se preslikava, grupu kojoj je dopušteno koristiti ga i putanju oporavka ako tunel nije dostupan. Te četiri odgovaraju i na pitanja koja će postaviti pregled incidenta, što ne vrijedi za snimku zaslona stranice za prosljeđivanje porta. Na kraju dobivate jednu stabilnu administrativnu ulaznu točku, a ne uređaj čija svaka značajka gleda na internet.