NAS-ի կառավարում VPN-ով՝ պահեք անունը, հրաժարվեք հանրային պորտից
Կառավարման էջին հասեք թունելով, ոչ թե նոր հանրային պորտով։ Լուծեք իրական անունը, համապատասխանեցրեք վկայականը դրան և թույլատրեք մեկ ծառայություն մեկ աղբյուրից։
NAS-ի կառավարման էջը աշխատում է տանը և դադարում է աշխատել այն պահին, երբ ադմինիստրատորը մեկնում է, ուստի ինչ-որ մեկը բացում է պորտ, և խնդիրը անհետանում է գաղտնիության հետ միասին։ Դրա համար ավելի լավ ձև կա։ Թողեք էջը իր տեղում, թող թունելը ապահովի հասանելիությունը, և այն, ինչ փաստաթղթավորում եք, դարձրեք ամբողջական URL՝ անվանված թույլտվության ուղով, այլ ոչ թե սարքի հասցեով, որը պատահաբար պատասխանում է։ Ստորև բոլոր որոշումները՝ անունից մինչև վկայական և միակ թույլատրված պորտը, բխում են հենց այդպես գրելուց։
Նախագծման միավորը URL-ն է, ոչ թե հասցեն
Գրեք մուտքը որպես ամբողջական URL՝ իր պորտով և սխեմայով, ապա կցեք պայմանները՝ ով կարող է օգտվել, որ ցանցից և որ ուղով։ Օրինակ կարող է լինել https://nas.corp.example:8443-ը, որը հրապարակվում է միայն հաստատված մասնավոր հաճախորդների համար, որտեղ անունը և պորտը ներկայացնում են այն, ինչ սարքը իրականում լսում է։
Այդ շրջանակը վաղ է պարտադրում որոշումները։ URL-ը ենթադրում է անուն, անունը ենթադրում է վկայական, իսկ վկայականը ենթադրում է վստահության կարգավորում։ Հասցեն ոչ մեկը չի ենթադրում, և հենց դրա համար միայն հասցեով տարբերակը գոյատևում է մինչև զննարկիչի առաջին նախազգուշացումը, ապա դառնում սովորություն՝ սեղմել դրա միջով։
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Պահեք այն անունը, որի համար տրվել է վկայականը
Հաճախորդին անհրաժեշտ է թույլատրված երթուղի դեպի NAS-ի մասնավոր հասցեն, և մասնավոր DNS կարգավորումը կարող է լուծել նախատեսված հոսթի անունը այդ հասցեին՝ պահպանելով այն անունը, որը սպասում է HTTPS ծառայությունը։ Երկու կեսերն էլ կարևոր են՝ երթուղին փաթեթները հասցնում է այնտեղ, անունը հաճախորդին ասում է, թե որ ինքնությունը ստուգել։
Թվային հասցեն մուտքագրելը փոխարենը փոխում է ինքնության պահանջը։ RFC 9525-ը բաժանում է այն անունը, որի հետ հաճախորդը մտադիր է կապվել, այն ինքնությունից, որը ներկայացնում է ծառայությունը, ուստի nas.corp.example-ի համար տրված վկայականը կարող է օրինականորեն ձախողվել, երբ զննարկիչն ուղղված էր 10.20.0.15-ին։ Նախազգուշացումը ճիշտ է, և լուծումը անունն է, ոչ թե բացառություն։
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleԳործարկեք երկուսն էլ նախքան թունելին մեղադրելը։ Առաջինը ցույց է տալիս՝ արդյոք մասնավոր անունը լուծվում է այնտեղ, որտեղ դուք կարծում եք, իսկ երկրորդը՝ թե ծառայությունն իրականում որ վկայականն ու որ այլընտրանքային սուբյեկտային անուններն է ներկայացնում։ Մասնավոր CA-ն կարող է լինել լիովին կառավարված ընտրություն՝ սովորություն չպետք է դառնա մարդկանց սովորեցնելը անտեսել ինքնության նախազգուշացումները։
Սահմանափակեք կառավարման ուղին
Թույլատրեք հենց կառավարման ծառայությունը նախատեսված աղբյուրից՝ և՛ դարպասում, և՛ NAS-ում։ Այդ նախադասությունը թաքցնում է մի մանրամասն, որ կծում է՝ երթուղավորված հաճախորդների լողավազանը և աղբյուրի թարգմանությամբ դարպասը NAS են հասնում տարբեր աղբյուրային հասցեներով, ուստի մեկի համար գրված թույլտվության կանոնը լուռ ձախողվում է մյուսի համար։
NAS-ին անհրաժեշտ է նաև վերադարձի ուղի, և զննարկիչը պետք է օգտագործի կարգավորված պորտն ու սխեման, այլ ոչ թե ֆորումի գրառումից վերցված արտադրողի լռելյայնը։ Սարքին հասնելը թույլտվություն չէ հասնելու դրա բոլոր պորտերին։ Ping-ին պատասխանող սարքի և բեռնվող կառավարման էջի միջև ընկած բացը երկու առանձին կանոնների միջև ընկած բացն է։ Գրեք դրանք որպես երկու կանոն՝ երկու մեկնաբանությամբ, որպեսզի հաջորդ մարդը տեսնի, թե ինչու են երկուսն էլ գոյություն ունեն։
Առանձնացրեք VPN ընդունելությունը NAS արտոնությունից
Թունելով անցնել թույլ տալը նույնը չէ, ինչ սարքը կառավարել թույլ տալը։ Այն օգտատերը, ով օրինականորեն ֆայլային պահոցի կարիք ունի, չպետք է ժառանգի սարքի կառավարումը միայն այն պատճառով, որ երկուսն էլ ապրում են մեկ դարպասի հետևում, և NAS-ի հաշվի մոդելն այն տեղն է, որտեղ այդ տարանջատումը պետք է պարտադրվի։
Համօգտագործվող կամ թարգմանված ելքային հասցեն նույնպես չի կարող նույնականացնել առանձին ադմինիստրատորի։ Եթե աուդիտի հետքը պետք է անվանի մարդու, ինքնությունը պետք է գա նույնականացված հաշվից, այլ ոչ թե շատերի կողմից օգտագործվող թունելի աղբյուրային հասցեից։
Ինչ չհրապարակել պատահաբար
Հանրային հակադարձ պրոքսին և արտադրողի ռելեը երկուսն էլ իրական ճարտարապետություններ են, և յուրաքանչյուրը կրում է վստահության և բացահայտման իր որոշումները։ Ոչ մեկը պարտադիր չի դառնում այն պատճառով, որ ադմինիստրատորը տնից հեռու է, և ոչ մեկը չպետք է հայտնվի որպես մեդիա սերվերի կամ ֆայլերի համօգտագործման բացահայտման կողմնակի ազդեցություն։
Փաստաթղթավորեք չորս բան և կանգ առեք՝ մասնավոր անունը, այն լսողը, որին այն քարտեզագրվում է, այն խումբը, որին թույլատրված է օգտագործել այն, և վերականգնման ուղին, եթե թունելը հասանելի չէ։ Այդ չորսը նաև պատասխանում են այն հարցերին, որ կտա միջադեպի վերանայումը, ինչը ճիշտ չէ պորտի փոխանցման էջի սքրինշոթի համար։ Ի վերջո դուք ունենում եք մեկ կայուն վարչական մուտքի կետ, այլ ոչ թե սարք, որի յուրաքանչյուր հատկություն նայում է ինտերնետին։