NAS-ის ადმინისტრირება VPN-ით: შეინარჩუნეთ სახელი, დატოვეთ საჯარო პორტი
ადმინისტრირების გვერდს მიაღწიეთ გვირაბის გავლით, არა ახალი საჯარო პორტით. ამოხსენით ნამდვილი სახელი, შეუსაბამეთ სერტიფიკატი მას და დაუშვით ერთი სერვისი ერთი წყაროდან.
NAS-ის ადმინისტრირების გვერდი სახლში მუშაობს და წყვეტს მუშაობას იმ მომენტში, როცა ადმინისტრატორი მიემგზავრება, ამიტომ ვიღაც პორტს ხსნის და პრობლემა კონფიდენციალურობასთან ერთად ქრება. ამისთვის უკეთესი ფორმა არსებობს. დატოვეთ გვერდი იქ, სადაც არის, მიეცით გვირაბს ხელმისაწვდომობის უზრუნველყოფა, და რასაც ადასტურებთ, გახადეთ სრული URL დასახელებული ნებართვის ბილიკით და არა მოწყობილობის მისამართი, რომელიც შემთხვევით პასუხობს. ყველა გადაწყვეტილება ქვემოთ, სახელიდან სერტიფიკატამდე და ერთადერთ დაშვებულ პორტამდე, სწორედ ასე დაწერიდან გამომდინარეობს.
დიზაინის ერთეულია URL და არა მისამართი
ჩაწერეთ შესასვლელი როგორც სრული URL მისი პორტითა და სქემით, შემდეგ მიამაგრეთ პირობები: ვის შეუძლია მისი გამოყენება, რომელი ქსელიდან და რომელი ბილიკით. მაგალითი შეიძლება იყოს https://nas.corp.example:8443, რომელიც ქვეყნდება მხოლოდ დამტკიცებული კერძო კლიენტებისთვის, სადაც სახელი და პორტი წარმოადგენს იმას, რაზეც მოწყობილობა რეალურად უსმენს.
ეს ჩარჩო ადრეულად აიძულებს გადაწყვეტილებებს. URL გულისხმობს სახელს, სახელი გულისხმობს სერტიფიკატს, ხოლო სერტიფიკატი გულისხმობს ნდობის შეთანხმებას. მისამართი არცერთ მათგანს არ გულისხმობს და სწორედ ამიტომ მხოლოდ-მისამართიანი ვერსია ბრაუზერის პირველ გაფრთხილებამდე ძლებს, შემდეგ კი მასზე დაწკაპუნების ჩვევად იქცევა.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
შეინარჩუნეთ სახელი, რომლისთვისაც გაიცა სერტიფიკატი
კლიენტს სჭირდება დაშვებული მარშრუტი NAS-ის კერძო მისამართამდე, და კერძო DNS მოწყობა შეუძლია გადაჭრას განზრახული ჰოსტის სახელი ამ მისამართზე და შეინარჩუნოს ის სახელი, რომელსაც HTTPS სერვისი ელის. ორივე ნახევარი მნიშვნელოვანია: მარშრუტი პაკეტებს იქ მიიტანს, სახელი კლიენტს ეუბნება, რომელი იდენტობა შეამოწმოს.
რიცხვითი მისამართის აკრეფა სამაგიეროდ ცვლის იდენტობის მოთხოვნას. RFC 9525 ყოფს სახელს, რომელთანაც კლიენტი აპირებს დაკავშირებას, იმ იდენტობისგან, რომელსაც სერვისი წარმოადგენს, ამიტომ nas.corp.example-ისთვის გაცემული სერტიფიკატი შეიძლება კანონიერად ჩავარდეს, როცა ბრაუზერი 10.20.0.15-ზე იყო მიმართული. გაფრთხილება სწორია და გამოსწორება სახელია, არა გამონაკლისი.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleგაუშვით ორივე, სანამ გვირაბს დაადანაშაულებთ. პირველი აჩვენებს, იხსნება თუ არა კერძო სახელი იქ, სადაც ფიქრობთ, ხოლო მეორე აჩვენებს, რომელ სერტიფიკატსა და რომელ ალტერნატიულ საგნის სახელებს წარმოადგენს სერვისი რეალურად. კერძო CA შეიძლება იყოს სრულიად კარგად მართული არჩევანი; ჩვევად არ უნდა იქცეს ადამიანებისთვის იდენტობის გაფრთხილებების უგულებელყოფის სწავლება.
შეზღუდეთ მართვის ბილიკი
დაუშვით ზუსტად მართვის სერვისი განზრახული წყაროდან, როგორც კარიბჭეზე, ისე NAS-ზე. ეს წინადადება მალავს დეტალს, რომელიც კბენს: მარშრუტიზებული კლიენტების აუზი და წყაროს თარგმნის მქონე კარიბჭე NAS-ზე სხვადასხვა წყაროს მისამართებით აღწევს, ამიტომ ერთისთვის დაწერილი ნებართვის წესი მეორესთვის ჩუმად ჩავარდება.
NAS-ს ასევე სჭირდება დაბრუნების ბილიკი, და ბრაუზერმა უნდა გამოიყენოს კონფიგურირებული პორტი და სქემა და არა მწარმოებლის ნაგულისხმევი ფორუმის პოსტიდან. მოწყობილობამდე მიღწევა არ არის მის ყველა პორტამდე მიღწევის ნებართვა. სხვაობა ping-ზე მპასუხობ მოწყობილობასა და ჩატვირთულ ადმინისტრირების გვერდს შორის არის სხვაობა ორ ცალკე წესს შორის. ჩაწერეთ ისინი როგორც ორი წესი ორი კომენტარით, რომ შემდეგმა ადამიანმა დაინახოს, რატომ არსებობს ორივე.
გამოყავით VPN-ის დაშვება NAS-ის უფლებამოსილებისგან
გვირაბში გატარება არ არის იგივე, რაც მოწყობილობის ადმინისტრირების უფლება. მომხმარებელს, რომელსაც კანონიერად სჭირდება ფაილების საცავი, არ უნდა მიიღოს მოწყობილობის ადმინისტრირება მემკვიდრეობით მხოლოდ იმიტომ, რომ ორივე ერთი კარიბჭის უკან ცხოვრობს, და NAS-ის ანგარიშის მოდელი არის ადგილი, სადაც ეს გამიჯვნა უნდა აღსრულდეს.
საერთო ან თარგმნილი გასასვლელი მისამართი ასევე ვერ დაადგენს ცალკეულ ადმინისტრატორს. თუ აუდიტის კვალმა უნდა დაასახელოს ადამიანი, იდენტობა უნდა მოვიდეს ავთენტიფიცირებული ანგარიშიდან და არა ბევრის მიერ გამოყენებული გვირაბის წყაროს მისამართიდან.
რა არ უნდა გამოქვეყნდეს შემთხვევით
საჯარო შებრუნებული პროქსი და მწარმოებლის რელე ორივე რეალური არქიტექტურაა და თითოეული თავის ნდობისა და გამოვლენის გადაწყვეტილებებს ატარებს. არცერთი არ ხდება საჭირო იმიტომ, რომ ადმინისტრატორი სახლიდან შორს არის, და არცერთი არ უნდა გამოჩნდეს მედია სერვერის ან ფაილების გაზიარების გამოვლენის გვერდითი ეფექტად.
დაადასტურეთ ოთხი რამ და გაჩერდით: კერძო სახელი, მსმენელი, რომელზეც ის აისახება, ჯგუფი, რომელსაც ნებადართული აქვს მისი გამოყენება, და აღდგენის ბილიკი, თუ გვირაბი მიუწვდომელია. ეს ოთხი ასევე პასუხობს კითხვებს, რომლებსაც ინციდენტის მიმოხილვა დასვამს, რაც არ ეხება პორტის გადამისამართების გვერდის ეკრანის სურათს. საბოლოოდ გრჩებათ ერთი სტაბილური ადმინისტრაციული შესასვლელი წერტილი და არა მოწყობილობა, რომლის ყველა ფუნქცია ინტერნეტისკენ არის მიმართული.