Администрација на NAS преку VPN: задржете го името, откажете се од јавниот порт
До страницата за администрација стигнете преку тунелот, а не преку нов јавен порт. Решете го вистинското име, усогласете го сертификатот со него и дозволете една услуга од еден извор.
Страницата за администрација на NAS работи дома и престанува да работи во моментот кога администраторот патува, па некој отвора порт и проблемот исчезнува заедно со приватноста. За ова има подобра форма. Оставете ја страницата каде што е, нека тунелот обезбеди достапност, и тоа што го документирате направете го целосен URL со именувана патека за дозвола, а не адреса на уред што случајно одговара. Секоја одлука подолу, од името до сертификатот и единствениот дозволен порт, произлегува од тоа да се напише така.
Единицата на дизајнот е URL, а не адреса
Запишете го влезот како целосен URL со неговиот порт и шема, потоа прикачете ги условите: кој смее да го користи, од која мрежа и по која патека. Пример може да биде https://nas.corp.example:8443 објавен само за одобрени приватни клиенти, каде името и портот го претставуваат тоа на што уредот всушност слуша.
Таа рамка ги наметнува одлуките рано. URL подразбира име, името подразбира сертификат, а сертификатот подразбира договор за доверба. Адресата не подразбира ништо од тоа, и токму затоа верзијата само со адреса преживува до првото предупредување на прелистувачот и потоа станува навика да се кликне низ него.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Задржете го името за кое е издаден сертификатот
На клиентот му треба дозволена рута до приватната адреса на NAS, а приватно DNS уредување може да го реши предвиденото име на домаќинот на таа адреса и притоа да го зачува името што го очекува услугата HTTPS. Двете половини се важни: рутата ги носи пакетите таму, името му кажува на клиентот кој идентитет да го провери.
Внесувањето на нумеричката адреса наместо тоа го менува барањето за идентитет. RFC 9525 го одделува името со кое клиентот има намера да контактира од идентитетот што го претставува услугата, па сертификат издаден за nas.corp.example може легитимно да не успее кога прелистувачот е насочен кон 10.20.0.15. Предупредувањето е точно, а решението е името, не исклучок.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleИзвршете ги двете пред да го обвините тунелот. Првото покажува дали приватното име се решава таму каде што мислите, а второто покажува кој сертификат и кои алтернативни имиња на субјектот услугата всушност ги претставува. Приватен CA може да биде сосема добро управуван избор; она што не треба да стане рутина е да се учи луѓето да ги игнорираат предупредувањата за идентитет.
Ограничете ја патеката за управување
Дозволете точно управувачката услуга од предвидениот извор, и на порталот и на NAS. Таа реченица крие детал што каса: рутиран базен клиенти и портал со превод на изворот пристигнуваат на NAS со различни изворни адреси, па правило за дозвола напишано за едното тивко не успева за другото.
На NAS му треба и повратна патека, а прелистувачот мора да ги користи конфигурираниот порт и шемата наместо стандардната вредност на производителот од објава на форум. Да се стигне до уредот не е дозвола да се стигне до секој негов порт. Јазот помеѓу уред што одговара на ping и страница за администрација што се вчитува е јазот помеѓу две одделни правила. Запишете ги како две правила со два коментара, за следниот човек да види зошто постојат двете.
Одвојте го прифаќањето на VPN од привилегиите на NAS
Да бидеш пуштен низ тунелот не е исто што и да смееш да управуваш со уредот. Корисник на кого законски му треба складирање датотеки не треба да наследи администрација на уредот само затоа што двете живеат зад еден портал, а моделот на сметки на NAS е местото каде што тоа одвојување мора да се спроведе.
Споделена или преведена излезна адреса исто така не може да идентификува поединечен администратор. Ако аудиторската трага треба да именува личност, идентитетот мора да дојде од автентифицирана сметка, а не од изворната адреса на тунел што го користат многу луѓе.
Што не треба случајно да се објави
Јавниот обратен прокси и релето на производителот се и двете вистински архитектури, и секоја носи свои одлуки за доверба и изложеност. Ниту една не станува неопходна затоа што администраторот е далеку од дома, и ниту една не треба да се појави како несакан ефект од изложување на медиумски сервер или споделување датотеки.
Документирајте четири работи и застанете: приватното име, слушателот на кој се мапира, групата што смее да го користи и патеката за обновување ако тунелот е недостапен. Тие четири одговараат и на прашањата што ќе ги постави преглед на инцидент, што не важи за слика од екран на страница за пренасочување порти. На крајот добивате една стабилна административна влезна точка, а не уред чија секоја функција гледа кон интернетот.