NAS administravimas per VPN: išsaugokite vardą, atsisakykite viešo prievado
Pasiekite administravimo puslapį per tunelį, o ne per naują viešą prievadą. Išspręskite tikrąjį vardą, suderinkite sertifikatą su juo ir leiskite vieną paslaugą iš vieno šaltinio.
NAS administravimo puslapis veikia namuose ir nustoja veikti tą akimirką, kai administratorius išvyksta, todėl kas nors atidaro prievadą ir problema dingsta kartu su privatumu. Tam yra geresnė forma. Palikite puslapį ten, kur jis yra, leiskite tuneliui užtikrinti pasiekiamumą, o tai, ką dokumentuojate, padarykite visu URL su pavadintu leidimo keliu, o ne įrenginio adresu, kuris atsitiktinai atsako. Kiekvienas toliau esantis sprendimas, nuo vardo iki sertifikato ir vienintelio leidžiamo prievado, kyla iš to, kad taip užrašote.
Dizaino vienetas yra URL, o ne adresas
Užrašykite įėjimą kaip visą URL su jo prievadu ir schema, tada pridėkite sąlygas: kas gali juo naudotis, iš kurio tinklo ir kokiu keliu. Pavyzdys galėtų būti https://nas.corp.example:8443, skelbiamas tik patvirtintiems privatiems klientams, kur vardas ir prievadas atstoja tai, ką įrenginys iš tikrųjų klausosi.
Tokia struktūra verčia sprendimus priimti anksti. URL reiškia vardą, vardas reiškia sertifikatą, o sertifikatas reiškia pasitikėjimo susitarimą. Adresas nereiškia nieko iš to, ir būtent todėl versija tik su adresu išgyvena iki pirmojo naršyklės įspėjimo ir tada tampa įpročiu jį praleisti.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Išsaugokite vardą, kuriam buvo išduotas sertifikatas
Klientui reikia leidžiamo maršruto į privatų NAS adresą, o privati DNS tvarka gali išspręsti numatytą pagrindinio kompiuterio vardą į tą adresą ir išsaugoti vardą, kurio tikisi HTTPS paslauga. Abi pusės svarbios: maršrutas nugabena paketus ten, vardas pasako klientui, kurią tapatybę tikrinti.
Užuot įvedus skaitmeninį adresą, pasikeičia tapatybės reikalavimas. RFC 9525 atskiria vardą, su kuriuo klientas ketina susisiekti, nuo tapatybės, kurią pateikia paslauga, todėl nas.corp.example išduotas sertifikatas gali teisėtai nepavykti, kai naršyklė buvo nukreipta į 10.20.0.15. Įspėjimas teisingas, o sprendimas yra vardas, o ne išimtis.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.examplePaleiskite abu prieš kaltindami tunelį. Pirmasis parodo, ar privatus vardas išsprendžiamas ten, kur manote, o antrasis parodo, kokį sertifikatą ir kokius alternatyvius subjekto vardus paslauga iš tikrųjų pateikia. Privatus CA gali būti visiškai tvarkingai valdomas pasirinkimas; įpročiu neturėtų tapti mokymas žmonių ignoruoti tapatybės įspėjimus.
Apribokite valdymo kelią
Leiskite tiksliai valdymo paslaugą iš numatyto šaltinio tiek šliuze, tiek NAS. Tas sakinys slepia detalę, kuri kandžiojasi: maršrutizuotas klientų telkinys ir šliuzas su šaltinio vertimu atvyksta į NAS su skirtingais šaltinio adresais, todėl vienam parašyta leidimo taisyklė tyliai nepavyksta kitam.
NAS taip pat reikia grįžimo kelio, o naršyklė turi naudoti sukonfigūruotą prievadą ir schemą, o ne gamintojo numatytąją reikšmę iš forumo įrašo. Pasiekti įrenginį nėra leidimas pasiekti kiekvieną jo prievadą. Atotrūkis tarp įrenginio, kuris atsako į ping, ir administravimo puslapio, kuris įkeliamas, yra atotrūkis tarp dviejų atskirų taisyklių. Užrašykite jas kaip dvi taisykles su dviem komentarais, kad kitas žmogus matytų, kodėl egzistuoja abi.
Atskirkite VPN priėmimą nuo NAS privilegijų
Būti įleistas per tunelį nėra tas pats, kas turėti teisę administruoti įrenginį. Vartotojas, kuriam teisėtai reikia failų saugyklos, neturėtų paveldėti įrenginio administravimo vien todėl, kad abu gyvena už vieno šliuzo, o NAS paskyrų modelis yra vieta, kur tas atskyrimas turi būti užtikrintas.
Bendras ar išverstas išėjimo adresas taip pat negali identifikuoti atskiro administratoriaus. Jei audito pėdsakas turi įvardyti asmenį, tapatybė turi ateiti iš autentifikuotos paskyros, o ne iš daugelio naudojamo tunelio šaltinio adreso.
Ko nereikėtų paskelbti netyčia
Viešas atvirkštinis tarpinis serveris ir gamintojo relė yra abi tikros architektūros, ir kiekviena neša savo pasitikėjimo ir ekspozicijos sprendimus. Nė viena netampa būtina todėl, kad administratorius yra toli nuo namų, ir nė viena neturėtų atsirasti kaip šalutinis poveikis atskleidus medijos serverį ar failų bendrinimą.
Dokumentuokite keturis dalykus ir sustokite: privatų vardą, klausytoją, į kurį jis susiejamas, grupę, kuriai leidžiama juo naudotis, ir atkūrimo kelią, jei tunelis nepasiekiamas. Tie keturi taip pat atsako į klausimus, kuriuos užduos incidento apžvalga, o tai netinka prievadų peradresavimo puslapio ekrano kopijai. Galiausiai turite vieną stabilų administracinį įėjimo tašką, o ne įrenginį, kurio kiekviena funkcija žiūri į internetą.