VPN арқылы NAS әкімшілендіру: атауды сақтаңыз, жария порттан бас тартыңыз
Әкімшілендіру бетіне туннель арқылы жетіңіз, жаңа жария порт арқылы емес. Нақты атауды шешіңіз, сертификатты соған сәйкестендіріңіз және бір көзден бір қызметке рұқсат беріңіз.
NAS әкімшілендіру беті үйде жұмыс істейді және әкімші сапарға шыққан сәтте жұмысын тоқтатады, сондықтан біреу порт ашады да, мәселе құпиялылықпен бірге жоғалады. Бұған жақсырақ пішін бар. Бетті орнында қалдырыңыз, қолжетімділікті туннель қамтамасыз етсін, ал құжаттайтын нәрсеңізді кездейсоқ жауап беретін құрылғы мекенжайы емес, аталған рұқсат жолы бар толық URL етіп жасаңыз. Төмендегі әрбір шешім атаудан сертификатқа және жалғыз рұқсат етілген портқа дейін дәл осылай жазудан туындайды.
Жобалау бірлігі — мекенжай емес, URL
Кіруді порты мен схемасымен толық URL ретінде жазыңыз, содан кейін шарттарды тіркеңіз: кім пайдалана алады, қай желіден және қай жолмен. Мысал ретінде тек мақұлданған жеке клиенттерге жарияланатын https://nas.corp.example:8443 болуы мүмкін, мұнда атау мен порт құрылғы шын мәнінде тыңдайтын нәрсені білдіреді.
Бұл шеңбер шешімдерді ертерек мәжбүрлейді. URL атауды білдіреді, атау сертификатты білдіреді, ал сертификат сенім келісімін білдіреді. Мекенжай олардың ешқайсысын білдірмейді, сондықтан тек мекенжай нұсқасы браузердің алғашқы ескертуіне дейін өмір сүреді де, кейін оны басып өту әдетіне айналады.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Сертификат берілген атауды сақтаңыз
Клиентке NAS-тың жеке мекенжайына рұқсат етілген маршрут керек, ал жеке DNS конфигурациясы көзделген хост атауын сол мекенжайға шеше алады және HTTPS қызметі күтетін атауды сақтайды. Екі жартысы да маңызды: маршрут пакеттерді сол жерге жеткізеді, атау клиентке қай сәйкестендіруді тексеру керектігін айтады.
Оның орнына сандық мекенжайды теру сәйкестендіру талабын өзгертеді. RFC 9525 клиент қосылғысы келетін атауды қызмет ұсынатын сәйкестендіруден бөледі, сондықтан nas.corp.example үшін берілген сертификат браузер 10.20.0.15 мекенжайына бағытталған кезде заңды түрде сәтсіз болуы мүмкін. Ескерту дұрыс, ал түзету — атау, ерекшелік емес.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleТуннельді кінәламас бұрын екеуін де орындаңыз. Біріншісі жеке атаудың сіз ойлаған жерде шешілетінін көрсетеді, ал екіншісі қызметтің шын мәнінде қай сертификатты және қандай балама субъект атауларын ұсынатынын көрсетеді. Жеке CA толық басқарылатын таңдау болуы мүмкін; әдетке айналмауы керек нәрсе — адамдарды сәйкестендіру ескертулерін елемеуге үйрету.
Басқару жолын шектеңіз
Шлюзде де, NAS-та да көзделген көзден дәл басқару қызметіне рұқсат беріңіз. Бұл сөйлем тістеп алатын бір бөлшекті жасырады: маршрутталған клиент пулы мен көзді аударатын шлюз NAS-қа әртүрлі көз мекенжайларымен келеді, сондықтан біреуі үшін жазылған рұқсат ережесі екіншісі үшін үнсіз сәтсіз болады.
NAS-қа қайтару жолы да керек, ал браузер форум жазбасынан алынған өндірушінің әдепкі мәнінің орнына конфигурацияланған порт пен схеманы пайдалануы тиіс. Құрылғыға жету — оның әрбір портына жетуге рұқсат емес. Ping-ке жауап беретін құрылғы мен жүктелетін әкімшілендіру беті арасындағы алшақтық — екі бөлек ереже арасындағы алшақтық. Оларды екі түсініктемемен екі ереже ретінде жазыңыз, келесі адам екеуінің не үшін бар екенін көрсін.
VPN рұқсатын NAS артықшылығынан бөліңіз
Туннельден өткізу — құрылғыны басқаруға рұқсат берумен бірдей емес. Файл сақтауға заңды түрде мұқтаж пайдаланушы екеуі бір шлюздің артында тұрғаны үшін құрылғы әкімшілігін мұрагерлікке алмауы керек, ал NAS-тың тіркелгі моделі — осы бөлінуді қамтамасыз ету керек орын.
Ортақ немесе аударылған шығу мекенжайы да жеке әкімшіні анықтай алмайды. Егер аудит ізі адамның атын атауы керек болса, сәйкестендіру көпшілік пайдаланатын туннельдің көз мекенжайынан емес, аутентификацияланған тіркелгіден келуі тиіс.
Абайсызда нені жарияламау керек
Жария кері прокси мен өндіруші релесі — екеуі де нақты архитектуралар және әрқайсысы өз сенім мен әсер ету шешімдерін алып жүреді. Ешқайсысы әкімші үйден тыс болғандықтан қажет болмайды және ешқайсысы медиа серверді немесе файл алмасуды ашуға байланысты жанама әсер ретінде пайда болмауы керек.
Төрт нәрсені құжаттап, тоқтаңыз: жеке атау, ол бейнеленетін тыңдаушы, оны пайдалануға рұқсат етілген топ және туннель қолжетімсіз болса қалпына келтіру жолы. Осы төртеуі оқиғаны қарау қоятын сұрақтарға да жауап береді, ал бұл портты бағыттау бетінің скриншотына қатысты дұрыс емес. Соңында сізде әр мүмкіндігі интернетке қарайтын құрылғы емес, бір тұрақты әкімшілік кіру нүктесі болады.