File NAS senza inoltro di porta: quanto costa un relè

Il router è di qualcun altro, il NAS sta dietro, e il file deve comunque essere recuperabile dall’esterno. Una VPN completa verso quella LAN è una risposta, ma non l’unica: un relè applicativo fornito dal venditore del NAS può trasportare un flusso di file basato su browser senza alcuna mappatura di porta in ingresso. Quello che non può fare è dare al computer remoto una rotta generale verso la rete, quindi il progetto deve adattarsi al flusso di lavoro e non il contrario.

Decidi di cosa ha davvero bisogno l’utente: un file in un browser, o un’unità mappata con il comportamento nativo del file system.

Che cos’è davvero il percorso del relè

QuickConnect permette di raggiungere un NAS Synology attraverso l’infrastruttura del fornitore quando non è disponibile alcun percorso in ingresso. A seconda di ciò che la rete consente, può negoziare una connessione diretta, tentare il foro nel NAT o ripiegare su un relè. Questa flessibilità è utile, e significa anche che «nessun inoltro di porta» non è la stessa affermazione di «sempre tramite relè».

L’account cloud che registra il servizio, l’ID QuickConnect che localizza il NAS e l’account NAS che autorizza le operazioni sui file sono tre cose diverse. Perdere traccia di quale stai depurando è il modo più comune in cui questa configurazione si blocca.

Registralo come proprietario, poi restringilo

Su DSM 7 i controlli sono in Control Panel, External Access, e la configurazione avviene con un account Synology approvato. Registra il dispositivo tramite il suo proprietario invece che tramite credenziali condivise, e rivedi le opzioni avanzate dei servizi mentre sei lì. L’obiettivo è il flusso di file approvato, non una dimostrazione che ogni funzione di gestione sia raggiungibile da una rete d’albergo. Ogni servizio che abiliti è un’altra superficie che lo stesso ID può raggiungere.

Annota l’ID QuickConnect e l’account proprietario nel registro degli asset. Un relè non documentato è difficile da revocare quando la persona che lo ha configurato se ne va.

Usa l’applicazione che è davvero supportata

Concedi a un account NAS dedicato il privilegio dell’applicazione e i permessi sulle cartelle che il flusso richiede, poi prova con quell’account e un file innocuo. Includi nella prova un percorso negato e la rimozione di un account, perché il guasto interessante di solito è un permesso troppo ampio e non uno rotto. Un ID di servizio è un indirizzo, non una password, e non sostituisce nessuno dei due controlli.

Non incollare l’ID QuickConnect in un montaggio SMB. L’elenco dei servizi supportati di Synology include File Station ed esclude la normale mappatura delle unità Windows e l’accesso SMB di Finder, quindi un caricamento dal browser non sostituisce un file system mappato.

Comprendi il confine di fiducia che hai accettato

Il percorso del relè non è un tubo cieco. Il portale browser di Synology può terminare la connessione del browser e aprire una connessione protetta separata verso il NAS, il che rende il portale un componente fidato e non un semplice inoltro. Usa il percorso HTTPS supportato e lascia che la validazione del certificato faccia il suo lavoro; cliccare attraverso un avviso perché la destinazione è «solo un NAS» sposta il rischio sull’utente. Se la policy vieta UPnP o le modifiche automatiche del router, esamina quelle funzioni separatamente sotto il loro proprietario.

Un firewall restrittivo può comunque bloccare il lato in uscita. Una funzione di relè non è un permesso per aggirare un controllo di rete.

Prova il flusso, poi documenta la dipendenza

Ripeti l’operazione di file richiesta dopo un riavvio approvato del NAS e dopo un cambio di rete, e annota quale percorso è stato usato e come si è comportato. Le sessioni dirette e relayed possono differire in modo evidente, quindi un flusso che sembra a posto in laboratorio può essere penoso attraverso un relè. Aggiungi il trasferimento alla prova di ripristino se i file contano.

Annota la dipendenza dal fornitore e il comportamento atteso durante un’interruzione. Se il requisito reale è SMB nativo, le opzioni oneste sono una rete overlay approvata o una VPN gestita, entrambe progettazioni di rete con i propri requisiti di registrazione e firewall.