NAS administrēšana caur VPN: saglabājiet vārdu, atsakieties no publiskā porta
Sasniedziet administrēšanas lapu pa tuneli, nevis caur jaunu publisku portu. Atrisiniet īsto vārdu, saskaņojiet ar to sertifikātu un atļaujiet vienu pakalpojumu no viena avota.
NAS administrēšanas lapa darbojas mājās un pārstāj darboties tajā brīdī, kad administrators dodas ceļojumā, tāpēc kāds atver portu un problēma pazūd kopā ar privātumu. Tam ir labāka forma. Atstājiet lapu tur, kur tā ir, ļaujiet tunelim nodrošināt sasniedzamību, un to, ko dokumentējat, veidojiet par pilnu URL ar nosauktu atļaujas ceļu, nevis ierīces adresi, kas nejauši atbild. Katrs lēmums zemāk, no vārda līdz sertifikātam un vienīgajam atļautajam portam, izriet no tā, ka to raksta šādi.
Dizaina vienība ir URL, nevis adrese
Ierakstiet ieeju kā pilnu URL ar tā portu un shēmu, pēc tam pievienojiet nosacījumus: kas to drīkst lietot, no kura tīkla un pa kuru ceļu. Piemērs varētu būt https://nas.corp.example:8443, kas publicēts tikai apstiprinātiem privātiem klientiem, kur vārds un ports pārstāv to, ko ierīce faktiski klausās.
Šis ietvars piespiež lēmumus pieņemt agri. URL nozīmē vārdu, vārds nozīmē sertifikātu, un sertifikāts nozīmē uzticības kārtību. Adrese nenozīmē neko no tā, un tieši tāpēc versija tikai ar adresi izdzīvo līdz pirmajam pārlūka brīdinājumam un pēc tam kļūst par ieradumu to vienkārši pārslēgt.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Saglabājiet vārdu, kuram sertifikāts tika izsniegts
Klientam ir nepieciešams atļauts maršruts uz NAS privāto adresi, un privāta DNS kārtība var atrisināt paredzēto resursdatora vārdu uz šo adresi, vienlaikus saglabājot vārdu, ko sagaida HTTPS pakalpojums. Abas puses ir svarīgas: maršruts nogādā paketes tur, vārds klientam pasaka, kuru identitāti pārbaudīt.
Tā vietā ievadot skaitlisko adresi, mainās identitātes prasība. RFC 9525 atdala vārdu, ar kuru klients plāno sazināties, no identitātes, ko pakalpojums uzrāda, tāpēc nas.corp.example izsniegts sertifikāts var likumīgi neizdoties, ja pārlūks tika vērsts uz 10.20.0.15. Brīdinājums ir pareizs, un risinājums ir vārds, nevis izņēmums.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleIzpildiet abus pirms tuneļa vainošanas. Pirmais parāda, vai privātais vārds tiek atrisināts tur, kur jūs domājat, un otrais parāda, kādu sertifikātu un kādus alternatīvos subjekta vārdus pakalpojums faktiski uzrāda. Privāts CA var būt pilnīgi labi pārvaldīta izvēle; par ieradumu nedrīkst kļūt cilvēku mācīšana ignorēt identitātes brīdinājumus.
Ierobežojiet pārvaldības ceļu
Atļaujiet tieši pārvaldības pakalpojumu no paredzētā avota gan vārtejā, gan NAS. Šis teikums slēpj detaļu, kas koda: maršrutēts klientu pūls un vārteja ar avota tulkošanu ierodas NAS ar atšķirīgām avota adresēm, tāpēc vienam rakstīts atļaujas noteikums klusi neizdodas otram.
NAS ir nepieciešams arī atgriešanās ceļš, un pārlūkam jāizmanto konfigurētais ports un shēma, nevis ražotāja noklusējums no foruma ieraksta. Sasniegt ierīci nav atļauja sasniegt katru tās portu. Atstarpe starp ierīci, kas atbild uz ping, un ielādējamu administrēšanas lapu ir atstarpe starp diviem atsevišķiem noteikumiem. Ierakstiet tos kā divus noteikumus ar diviem komentāriem, lai nākamais cilvēks redzētu, kāpēc pastāv abi.
Atdaliet VPN pielaišanu no NAS privilēģijām
Tikt ielaistam pa tuneli nav tas pats, kas drīkstēt administrēt ierīci. Lietotājam, kuram likumīgi nepieciešama failu krātuve, nevajadzētu mantot ierīces administrēšanu tikai tāpēc, ka abi atrodas aiz vienas vārtejas, un NAS kontu modelis ir vieta, kur šī atdalīšana ir jāievieš.
Kopīga vai tulkota izejas adrese arī nevar identificēt atsevišķu administratoru. Ja audita pēdai jānosauc persona, identitātei jānāk no autentificēta konta, nevis no daudzu cilvēku lietota tuneļa avota adreses.
Ko nevajadzētu publicēt nejauši
Publisks apgrieztais starpniekserveris un ražotāja relejs abi ir īstas arhitektūras, un katrs nes savus uzticības un pakļautības lēmumus. Neviens nekļūst nepieciešams tāpēc, ka administrators ir prom no mājām, un neviens nedrīkst parādīties kā blakusefekts, atklājot multivides serveri vai failu koplietošanu.
Dokumentējiet četras lietas un apstājieties: privāto vārdu, klausītāju, uz kuru tas tiek kartēts, grupu, kurai atļauts to lietot, un atkopšanas ceļu, ja tunelis nav pieejams. Šīs četras arī atbild uz jautājumiem, ko uzdos incidenta pārskats, kas gan nav attiecināms uz portu pāradresācijas lapas ekrānuzņēmumu. Galu galā jums ir viens stabils administratīvs ieejas punkts, nevis ierīce, kuras katra funkcija ir vērsta pret internetu.