Stjórnun NAS yfir VPN: haltu nafninu, slepptu opinberu portinu
Náðu í stjórnunarsíðuna gegnum göngin, ekki nýtt opinbert port. Leystu raunverulega nafnið, passadu vottorðið við það og leyfðu eina þjónustu frá einni uppsprettu.
Stjórnunarsíða NAS virkar heima og hættir að virka á þeirri stundu sem stjórnandinn ferðast, svo einhver opnar port og vandamálið hverfur ásamt friðhelginni. Það er betri mynd á þessu. Láttu síðuna vera þar sem hún er, láttu göngin sjá fyrir aðgengi, og gerðu það sem þú skjalfestir að fullu URL með nefndri heimildarslóð í stað tækjaaðseturs sem svarar fyrir tilviljun. Sérhver ákvörðun hér fyrir neðan, frá nafninu til vottorðsins og hins eina leyfða ports, leiðir af því að skrifa það þannig.
Hönnunareiningin er URL, ekki aðsetur
Skrifaðu færsluna sem fullt URL með porti hennar og skema, festu síðan skilyrðin við: hver má nota hana, frá hvaða neti og eftir hvaða slóð. Dæmi gæti verið https://nas.corp.example:8443 sem er aðeins birt fyrir samþykktum einkaklientum, þar sem nafnið og portið standa fyrir það sem tækið hlustar í raun á.
Sá rammi þvingar ákvarðanirnar snemma. URL felur í sér nafn, nafn felur í sér vottorð, og vottorð felur í sér traustsfyrirkomulag. Aðsetur felur ekkert af þessu í sér, og einmitt þess vegna lifir útgáfan með aðeins aðsetri þar til fyrsta viðvörun vafrans kemur og verður þá að venju að smella í gegnum hana.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Haltu nafninu sem vottorðið var gefið út fyrir
Klientinn þarf leyfða leið að einka-aðsetri NAS, og einkarekstur DNS getur leyst fyrirhugaða hýsingarnafnið á það aðsetur og varðveitt jafnframt nafnið sem HTTPS-þjónustan væntir. Báðir helmingar skipta máli: leiðin kemur pakkunum þangað, nafnið segir klientnum hvaða auðkenni eigi að sannreyna.
Að slá inn tölulega aðsetrið í staðinn breytir auðkenniskröfunni. RFC 9525 aðgreinir nafnið sem klientur hyggst hafa samband við frá auðkenninu sem þjónusta sýnir, svo vottorð útgefið fyrir nas.corp.example getur lögmætlega mistekist þegar vafranum var beint að 10.20.0.15. Viðvörunin er rétt, og lagfæringin er nafnið, ekki undantekning.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleKeyrðu bæði áður en þú kennir göngunum um. Fyrra sýnir hvort einkanafnið leysist þar sem þú heldur, og síðara sýnir hvaða vottorð og hvaða varanlegu viðfangsefnisnöfn þjónustan sýnir í raun. Einkarekið CA getur verið fullkomlega vel stýrður kostur; það sem ætti ekki að verða venja er að kenna fólki að hunsa auðkennisviðvaranir.
Takmarkaðu stjórnunarslóðina
Leyfðu nákvæmlega stjórnunarþjónustunni frá fyrirhugaðri uppsprettu, bæði á gáttinni og á NAS. Þessi setning felur í sér smáatriði sem bítur: beint klientasafn og gátt með uppsprettuþýðingu koma á NAS með mismunandi uppsprettuaðsetrum, svo leyfisregla skrifuð fyrir aðra mistekst hljóðlaust fyrir hina.
NAS þarf líka afturleið, og vafrinn verður að nota stillta portið og skemað í stað sjálfgefins gildis framleiðandans úr spjallþráði. Að ná í tækið er ekki leyfi til að ná í hvert port á því. Bilið milli tækis sem svarar ping og stjórnunarsíðu sem hleðst er bilið milli tveggja aðskilinna reglna. Skrifaðu þær sem tvær reglur með tveimur athugasemdum, svo næsta manneskja sjái hvers vegna báðar eru til.
Aðskildu VPN-aðgang frá NAS-réttindum
Að fá að fara í gegnum göngin er ekki það sama og að mega stjórna tækinu. Notandi sem þarf löglega skráageymslu ætti ekki að erfa tækjastjórnun af því að bæði búa bak við eina gátt, og reikningalíkan NAS er staðurinn þar sem þessi aðskilnaður verður að vera tryggður.
Sameiginlegt eða þýtt útgangsaðsetur getur heldur ekki auðkennt einstakan stjórnanda. Ef endurskoðunarslóðin þarf að nefna manneskju verður auðkennið að koma frá sannvottuðum reikningi frekar en frá uppsprettuaðsetri ganga sem margir nota.
Hvað á ekki að birta fyrir slysni
Opinbert bakvarða milliþjónn og endursending framleiðanda eru báðir raunverulegar arkitektúr og hvor um sig ber sínar eigin trausts- og váhrifaákvarðanir. Hvorugt verður nauðsynlegt af því að stjórnandinn er fjarri heimili, og hvorugt ætti að birtast sem aukaverkun þess að afhjúpa miðlaraþjón eða skráadeilingu.
Skjalfestu fjóra hluti og stöðvaðu: einkanafnið, hlustandann sem það varpar á, hópinn sem hefur leyfi til að nota það, og endurheimtarslóðina ef göngin eru ekki tiltæk. Þessir fjórir svara líka spurningunum sem atvikaskoðun mun spyrja, sem er ekki rétt um skjáskot af porti-framsendingarsíðu. Það sem þú endar með er eitt stöðugt stjórnunarlegt inngangspunkt í stað tækis sem hver eiginleiki snýr að internetinu.