Administrasi NAS lewat VPN: pertahankan nama, lepaskan port publik
Capai halaman admin melalui terowongan, bukan port publik baru. Selesaikan nama sebenarnya, cocokkan sertifikat dengannya, dan izinkan satu layanan dari satu sumber.
Halaman administrasi NAS berfungsi di rumah dan berhenti berfungsi saat administrator bepergian, jadi seseorang membuka port dan masalahnya hilang bersama privasi. Ada bentuk yang lebih baik untuk ini. Biarkan halaman tetap di tempatnya, biarkan terowongan menyediakan keterjangkauan, dan jadikan yang Anda dokumentasikan sebagai URL lengkap dengan jalur izin bernama, bukan alamat perangkat yang kebetulan menjawab. Setiap keputusan di bawah, dari nama hingga sertifikat hingga satu port yang diizinkan, mengikuti dari menuliskannya seperti itu.
Satuan desainnya adalah URL, bukan alamat
Tulis entri sebagai URL lengkap dengan port dan skemanya, lalu lampirkan syaratnya: siapa yang boleh memakainya, dari jaringan mana, dan melalui jalur mana. Contohnya bisa https://nas.corp.example:8443 yang hanya diterbitkan untuk klien privat yang disetujui, dengan nama dan port mewakili apa yang sebenarnya didengarkan perangkat.
Kerangka itu memaksa keputusan lebih awal. URL menyiratkan nama, nama menyiratkan sertifikat, dan sertifikat menyiratkan pengaturan kepercayaan. Alamat tidak menyiratkan satu pun dari itu, dan itulah sebabnya versi hanya-alamat bertahan sampai peringatan peramban pertama lalu menjadi kebiasaan mengklik lewat.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Pertahankan nama tempat sertifikat itu diterbitkan
Klien memerlukan rute yang diizinkan ke alamat privat NAS, dan pengaturan DNS privat dapat menyelesaikan nama host yang dimaksud ke alamat itu sambil mempertahankan nama yang diharapkan layanan HTTPS. Kedua belahannya penting: rute mengantarkan paket ke sana, nama memberi tahu klien identitas mana yang harus diverifikasi.
Mengetik alamat numerik sebagai gantinya mengubah persyaratan identitas. RFC 9525 memisahkan nama yang ingin dihubungi klien dari identitas yang ditampilkan layanan, sehingga sertifikat yang diterbitkan untuk nas.corp.example dapat gagal secara sah ketika peramban diarahkan ke 10.20.0.15. Peringatannya benar, dan perbaikannya adalah nama, bukan pengecualian.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleJalankan keduanya sebelum menyalahkan terowongan. Yang pertama menunjukkan apakah nama privat terselesaikan di tempat yang Anda kira, dan yang kedua menunjukkan sertifikat serta nama alternatif subjek mana yang sebenarnya ditampilkan layanan. CA privat bisa menjadi pilihan yang dikelola dengan baik; yang tidak boleh menjadi rutin adalah mengajari orang mengabaikan peringatan identitas.
Batasi jalur manajemen
Izinkan tepat layanan manajemen dari sumber yang dimaksud, baik di gateway maupun di NAS. Kalimat itu menyembunyikan detail yang menggigit: kumpulan klien yang dirutekan dan gateway dengan terjemahan sumber tiba di NAS dengan alamat sumber berbeda, sehingga aturan izin yang ditulis untuk satu gagal diam-diam untuk yang lain.
NAS juga memerlukan jalur balik, dan peramban harus memakai port serta skema yang dikonfigurasi alih-alih bawaan vendor dari postingan forum. Menjangkau perangkat bukan izin untuk menjangkau setiap port di dalamnya. Jarak antara perangkat yang menjawab ping dan halaman admin yang termuat adalah jarak antara dua aturan terpisah. Tulis keduanya sebagai dua aturan dengan dua komentar, agar orang berikutnya melihat mengapa keduanya ada.
Pisahkan penerimaan VPN dari hak istimewa NAS
Diizinkan melewati terowongan bukan berarti diizinkan mengelola perangkat. Pengguna yang secara sah memerlukan penyimpanan berkas tidak boleh mewarisi administrasi perangkat hanya karena keduanya berada di balik satu gateway, dan model akun NAS adalah tempat pemisahan itu harus ditegakkan.
Alamat keluar yang dibagi atau diterjemahkan juga tidak dapat mengidentifikasi administrator individu. Jika jejak audit harus menyebut nama seseorang, identitasnya harus berasal dari akun terautentikasi, bukan dari alamat sumber terowongan yang dipakai banyak orang.
Apa yang tidak boleh diterbitkan secara tidak sengaja
Proksi terbalik publik dan relai vendor keduanya adalah arsitektur nyata, dan masing-masing membawa keputusan kepercayaan serta eksposurnya sendiri. Keduanya tidak menjadi perlu karena seorang administrator jauh dari rumah, dan keduanya tidak boleh muncul sebagai efek samping dari mengekspos server media atau berbagi berkas.
Dokumentasikan empat hal dan berhenti: nama privat, listener yang dipetakannya, grup yang diizinkan memakainya, dan jalur pemulihan jika terowongan tidak tersedia. Keempatnya juga menjawab pertanyaan yang akan diajukan tinjauan insiden, yang tidak berlaku untuk tangkapan layar halaman penerusan port. Yang Anda dapatkan pada akhirnya adalah satu titik masuk administratif yang stabil, bukan perangkat yang setiap fiturnya menghadap internet.