NAS-adminisztráció VPN-en át: tartsd meg a nevet, hagyd el a nyilvános portot
A tunelen keresztül érd el az adminisztrációs oldalt, ne egy új nyilvános porton. Oldd fel a valódi nevet, illeszd hozzá a tanúsítványt, és egy forrásból egy szolgáltatást engedj.
A NAS adminisztrációs oldala otthon működik, és abban a pillanatban leáll, amikor az adminisztrátor útra kel, ezért valaki megnyit egy portot, és a probléma eltűnik a magánélettel együtt. Erre van jobb forma. Hagyd az oldalt a helyén, hagyd, hogy a tunel biztosítsa az elérhetőséget, és tedd azt, amit dokumentálsz, teljes URL-lé nevesített engedélyúttal, ne pedig olyan eszközcímzé, amely véletlenül válaszol. Minden alábbi döntés, a névtől a tanúsítványon át az egyetlen engedélyezett portig, abból következik, hogy így írod le.
A tervezés egysége az URL, nem a cím
Írd le a belépési pontot teljes URL-ként a portjával és sémájával, majd csatold a feltételeket: ki használhatja, melyik hálózatról és melyik úton. Példa lehet https://nas.corp.example:8443, amelyet csak jóváhagyott privát klienseknek tesznek közzé, ahol a név és a port azt képviseli, amire az eszköz valójában figyel.
Ez a keret korán kikényszeríti a döntéseket. Az URL nevet feltételez, a név tanúsítványt feltételez, a tanúsítvány pedig bizalmi megállapodást feltételez. A cím ezek egyikét sem feltételezi, és éppen ezért él túl a csak címre épülő változat az első böngészőfigyelmeztetésig, majd válik szokássá, hogy átkattintunk rajta.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Tartsd meg a nevet, amelyre a tanúsítványt kiállították
A kliensnek engedélyezett útra van szüksége a NAS privát címéhez, és egy privát DNS-megoldás fel tudja oldani a szándékolt hosztnevet erre a címre, miközben megőrzi a nevet, amelyet a HTTPS-szolgáltatás elvár. Mindkét fél számít: az útvonal odajuttatja a csomagokat, a név megmondja a kliensnek, melyik identitást ellenőrizze.
A numerikus cím begépelése helyette megváltoztatja az identitáskövetelményt. Az RFC 9525 elválasztja azt a nevet, amelyet a kliens meg kíván keresni, attól az identitástól, amelyet a szolgáltatás bemutat, ezért a nas.corp.example számára kiállított tanúsítvány jogosan meghiúsulhat, ha a böngészőt a 10.20.0.15 címre irányították. A figyelmeztetés helyes, és a javítás a név, nem egy kivétel.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleFuttasd mindkettőt, mielőtt a tunelt hibáztatnád. Az első megmutatja, hogy a privát név ott oldódik-e fel, ahol gondolod, a második pedig azt, hogy a szolgáltatás valójában melyik tanúsítványt és milyen alternatív tárgyneveket mutat be. Egy privát CA lehet teljesen jól kezelt választás; az nem válhat rutinná, hogy embereket tanítunk az identitásfigyelmeztetések figyelmen kívül hagyására.
Határold be az adminisztrációs utat
Pontosan az adminisztrációs szolgáltatást engedélyezd a szándékolt forrásból, mind az átjárón, mind a NAS-on. Ez a mondat olyan részletet rejt, amely harap: egy útvonalazott klienspool és egy forrásfordítást végző átjáró különböző forráscímekkel érkezik a NAS-hoz, ezért az egyikre írt engedélyezési szabály csendben meghiúsul a másiknál.
A NAS-nak visszaútra is szüksége van, és a böngészőnek a beállított portot és sémát kell használnia, nem a gyártó alapértelmezését egy fórumbejegyzésből. Az eszköz elérése nem engedély minden portjának elérésére. A pingre válaszoló eszköz és a betöltődő adminisztrációs oldal közötti szakadék két külön szabály közötti szakadék. Írd le őket két szabályként két megjegyzéssel, hogy a következő ember lássa, miért létezik mindkettő.
Válaszd szét a VPN-belépést a NAS-jogosultságtól
Az, hogy beengednek a tunelen, nem ugyanaz, mint hogy adminisztrálhatod az eszközt. Annak a felhasználónak, akinek jogszerűen fájltárhelyre van szüksége, nem kellene örökölnie az eszközadminisztrációt csak azért, mert mindkettő egy átjáró mögött él, és a NAS fiókmodellje az a hely, ahol ezt a szétválasztást érvényesíteni kell.
Egy megosztott vagy fordított kilépési cím sem képes azonosítani egyéni adminisztrátort. Ha az auditnyomnak meg kell neveznie egy személyt, az identitásnak hitelesített fiókból kell jönnie, nem egy sokak által használt tunel forráscíméből.
Mit ne tegyél közzé véletlenül
A nyilvános fordított proxy és a gyártói relay egyaránt valódi architektúrák, és mindegyik saját bizalmi és kitettségi döntéseket hordoz. Egyik sem válik szükségessé azért, mert az adminisztrátor távol van otthonról, és egyik sem jelenhet meg egy médiaszerver vagy fájlmegosztás közzétételének mellékhatásaként.
Dokumentálj négy dolgot, és állj meg: a privát nevet, a listenert, amelyre leképeződik, a csoportot, amelynek engedélye van használni, és a helyreállítási utat, ha a tunel nem elérhető. Ez a négy megválaszolja azokat a kérdéseket is, amelyeket egy incidensvizsgálat fel fog tenni, ami egy porttovábbítási oldal képernyőképéről nem mondható el. Végül egyetlen stabil adminisztratív belépési pontod lesz, nem pedig egy eszköz, amelynek minden funkciója az internet felé néz.