VPN വഴി NAS നിർവഹണം: പേര് നിലനിർത്തുക, പൊതു പോർട്ട് ഉപേക്ഷിക്കുക
ടണൽ വഴി നിർവഹണ പേജിൽ എത്തുക, പുതിയ പൊതു പോർട്ട് വഴിയല്ല. യഥാർത്ഥ പേര് നിർണ്ണയിക്കുക, സർട്ടിഫിക്കറ്റ് അതുമായി ഒത്തുചേർക്കുക, ഒരു ഉറവിടത്തിൽ നിന്ന് ഒരു സേവനം മാത്രം അനുവദിക്കുക.
NAS നിർവഹണ പേജ് വീട്ടിൽ പ്രവർത്തിക്കുന്നു, അഡ്മിനിസ്ട്രേറ്റർ യാത്ര പോകുന്ന നിമിഷം പ്രവർത്തിക്കുന്നത് നിർത്തുന്നു, അതിനാൽ ആരോ ഒരു പോർട്ട് തുറക്കുന്നു, പ്രശ്നം സ്വകാര്യതയോടൊപ്പം അപ്രത്യക്ഷമാകുന്നു. ഇതിന് മികച്ച ഒരു രൂപമുണ്ട്. പേജ് ഇരിക്കുന്നിടത്ത് തന്നെ വയ്ക്കുക, എത്തിച്ചേരൽ ടണൽ നൽകട്ടെ, നിങ്ങൾ രേഖപ്പെടുത്തുന്നത് യാദൃച്ഛികമായി മറുപടി നൽകുന്ന ഉപകരണ വിലാസമല്ല, പേരുള്ള അനുമതി പാതയുള്ള പൂർണ്ണ URL ആക്കുക. താഴെയുള്ള ഓരോ തീരുമാനവും, പേരിൽ നിന്ന് സർട്ടിഫിക്കറ്റിലേക്കും ഏക അനുവദനീയ പോർട്ടിലേക്കും, ഇങ്ങനെ എഴുതുന്നതിൽ നിന്നാണ് ഉരുത്തിരിയുന്നത്.
രൂപകൽപ്പനയുടെ യൂണിറ്റ് URL ആണ്, വിലാസമല്ല
പ്രവേശനം അതിന്റെ പോർട്ടും സ്കീമും ഉൾപ്പെടെ പൂർണ്ണ URL ആയി എഴുതുക, തുടർന്ന് വ്യവസ്ഥകൾ ചേർക്കുക: ആർക്ക് ഉപയോഗിക്കാം, ഏത് നെറ്റ്വർക്കിൽ നിന്ന്, ഏത് പാതയിലൂടെ. ഉദാഹരണത്തിന് അംഗീകൃത സ്വകാര്യ ക്ലയന്റുകൾക്ക് മാത്രം പ്രസിദ്ധീകരിക്കുന്ന https://nas.corp.example:8443 ആകാം, അവിടെ പേരും പോർട്ടും ഉപകരണം യഥാർത്ഥത്തിൽ ശ്രവിക്കുന്നതിനെ പ്രതിനിധീകരിക്കുന്നു.
ആ ചട്ടക്കൂട് തീരുമാനങ്ങൾ നേരത്തെ അടിച്ചേൽപ്പിക്കുന്നു. URL പേരിനെ സൂചിപ്പിക്കുന്നു, പേര് സർട്ടിഫിക്കറ്റിനെ സൂചിപ്പിക്കുന്നു, സർട്ടിഫിക്കറ്റ് വിശ്വാസ ക്രമീകരണത്തെ സൂചിപ്പിക്കുന്നു. വിലാസം അവയൊന്നും സൂചിപ്പിക്കുന്നില്ല, അതുകൊണ്ടാണ് വിലാസം മാത്രമുള്ള പതിപ്പ് ആദ്യ ബ്രൗസർ മുന്നറിയിപ്പ് വരെ നിലനിൽക്കുന്നതും പിന്നീട് അതിൽ ക്ലിക്ക് ചെയ്ത് കടക്കുന്ന ശീലമാകുന്നതും.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
സർട്ടിഫിക്കറ്റ് നൽകിയ പേര് നിലനിർത്തുക
ക്ലയന്റിന് NAS-ന്റെ സ്വകാര്യ വിലാസത്തിലേക്ക് അനുവദനീയമായ ഒരു റൂട്ട് വേണം, സ്വകാര്യ DNS ക്രമീകരണത്തിന് ഉദ്ദേശിച്ച ഹോസ്റ്റ്നെയിം ആ വിലാസത്തിലേക്ക് പരിഹരിക്കാനും HTTPS സേവനം പ്രതീക്ഷിക്കുന്ന പേര് സംരക്ഷിക്കാനും കഴിയും. രണ്ട് പകുതികളും പ്രധാനമാണ്: റൂട്ട് പാക്കറ്റുകൾ അവിടെ എത്തിക്കുന്നു, പേര് ഏത് ഐഡന്റിറ്റി പരിശോധിക്കണമെന്ന് ക്ലയന്റിനോട് പറയുന്നു.
പകരം സംഖ്യാവിലാസം ടൈപ്പ് ചെയ്യുന്നത് ഐഡന്റിറ്റി ആവശ്യകത മാറ്റുന്നു. RFC 9525 ക്ലയന്റ് ബന്ധപ്പെടാൻ ഉദ്ദേശിക്കുന്ന പേരിനെ സേവനം അവതരിപ്പിക്കുന്ന ഐഡന്റിറ്റിയിൽ നിന്ന് വേർതിരിക്കുന്നു, അതിനാൽ nas.corp.example-ന് നൽകിയ സർട്ടിഫിക്കറ്റ് ബ്രൗസർ 10.20.0.15-ലേക്ക് ചൂണ്ടിയപ്പോൾ നിയമാനുസൃതമായി പരാജയപ്പെടാം. മുന്നറിയിപ്പ് ശരിയാണ്, പരിഹാരം പേരാണ്, ഒരു അപവാദമല്ല.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleടണലിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുൻപ് രണ്ടും പ്രവർത്തിപ്പിക്കുക. ആദ്യത്തേത് സ്വകാര്യ പേര് നിങ്ങൾ കരുതുന്നിടത്ത് പരിഹരിക്കുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു, രണ്ടാമത്തേത് സേവനം യഥാർത്ഥത്തിൽ ഏത് സർട്ടിഫിക്കറ്റും ഏത് ബദൽ വിഷയ നാമങ്ങളും അവതരിപ്പിക്കുന്നു എന്ന് കാണിക്കുന്നു. സ്വകാര്യ CA പൂർണ്ണമായി നന്നായി കൈകാര്യം ചെയ്യുന്ന ഒരു തിരഞ്ഞെടുപ്പാകാം; ശീലമാകരുതാത്തത് ആളുകളെ ഐഡന്റിറ്റി മുന്നറിയിപ്പുകൾ അവഗണിക്കാൻ പഠിപ്പിക്കുന്നതാണ്.
നിർവഹണ പാത പരിമിതപ്പെടുത്തുക
ഗേറ്റ്വേയിലും NAS-ലും ഉദ്ദേശിച്ച ഉറവിടത്തിൽ നിന്ന് കൃത്യമായി നിർവഹണ സേവനത്തിന് അനുമതി നൽകുക. ആ വാക്യം കടിക്കുന്ന ഒരു വിശദാംശം ഒളിപ്പിക്കുന്നു: റൂട്ട് ചെയ്ത ക്ലയന്റ് പൂൾ, ഉറവിട വിവർത്തനം ചെയ്യുന്ന ഗേറ്റ്വേ എന്നിവ വ്യത്യസ്ത ഉറവിട വിലാസങ്ങളോടെ NAS-ൽ എത്തുന്നു, അതിനാൽ ഒന്നിനായി എഴുതിയ അനുമതി നിയമം മറ്റൊന്നിന് നിശബ്ദമായി പരാജയപ്പെടുന്നു.
NAS-ന് മടക്കുപാതയും വേണം, ബ്രൗസർ ഫോറം പോസ്റ്റിൽ നിന്നുള്ള വെണ്ടർ ഡിഫോൾട്ടിന് പകരം കോൺഫിഗർ ചെയ്ത പോർട്ടും സ്കീമും ഉപയോഗിക്കണം. ഉപകരണത്തിൽ എത്തുന്നത് അതിലെ ഓരോ പോർട്ടിലും എത്താനുള്ള അനുമതിയല്ല. പിംഗിന് മറുപടി നൽകുന്ന ഉപകരണവും ലോഡ് ചെയ്യുന്ന നിർവഹണ പേജും തമ്മിലുള്ള വിടവ് രണ്ട് വേർതിരിച്ച നിയമങ്ങൾ തമ്മിലുള്ള വിടവാണ്. രണ്ട് കമന്റുകളോടെ രണ്ട് നിയമങ്ങളായി എഴുതുക, അടുത്ത ആൾ രണ്ടും എന്തിനുണ്ടെന്ന് കാണട്ടെ.
VPN പ്രവേശനം NAS പ്രത്യേകാവകാശത്തിൽ നിന്ന് വേർതിരിക്കുക
ടണലിലൂടെ കടത്തിവിടുന്നത് ഉപകരണം നിർവഹിക്കാൻ അനുവദിക്കുന്നതിന് തുല്യമല്ല. ഫയൽ സംഭരണം നിയമാനുസൃതമായി ആവശ്യമുള്ള ഉപയോക്താവിന് രണ്ടും ഒരേ ഗേറ്റ്വേയുടെ പിന്നിലായതിനാൽ ഉപകരണ നിർവഹണം പാരമ്പര്യമായി ലഭിക്കരുത്, NAS-ന്റെ അക്കൗണ്ട് മാതൃകയാണ് ആ വേർതിരിവ് നടപ്പിലാക്കേണ്ട സ്ഥലം.
പങ്കിട്ടതോ വിവർത്തനം ചെയ്തതോ ആയ എക്സിറ്റ് വിലാസത്തിനും ഒരു വ്യക്തിഗത അഡ്മിനിസ്ട്രേറ്ററെ തിരിച്ചറിയാൻ കഴിയില്ല. ഓഡിറ്റ് ട്രെയിൽ ഒരു വ്യക്തിയെ പേരെടുത്ത് പറയേണ്ടതുണ്ടെങ്കിൽ, ഐഡന്റിറ്റി പലരും ഉപയോഗിക്കുന്ന ടണലിന്റെ ഉറവിട വിലാസത്തിൽ നിന്നല്ല, പ്രാമാണീകരിച്ച അക്കൗണ്ടിൽ നിന്ന് വരണം.
അബദ്ധത്തിൽ എന്ത് പ്രസിദ്ധീകരിക്കരുത്
പൊതു റിവേഴ്സ് പ്രോക്സിയും വെണ്ടർ റിലേയും രണ്ടും യഥാർത്ഥ ആർക്കിടെക്ചറുകളാണ്, ഓരോന്നും അതിന്റേതായ വിശ്വാസ, എക്സ്പോഷർ തീരുമാനങ്ങൾ വഹിക്കുന്നു. അഡ്മിനിസ്ട്രേറ്റർ വീട്ടിൽ നിന്ന് അകലെയായതിനാൽ ഒന്നും ആവശ്യമാകുന്നില്ല, മീഡിയ സെർവറോ ഫയൽ പങ്കിടലോ വെളിപ്പെടുത്തുന്നതിന്റെ പാർശ്വഫലമായും ഒന്നും പ്രത്യക്ഷപ്പെടരുത്.
നാല് കാര്യങ്ങൾ രേഖപ്പെടുത്തി നിർത്തുക: സ്വകാര്യ പേര്, അത് മാപ്പ് ചെയ്യുന്ന ശ്രോതാവ്, അത് ഉപയോഗിക്കാൻ അനുമതിയുള്ള ഗ്രൂപ്പ്, ടണൽ ലഭ്യമല്ലെങ്കിൽ വീണ്ടെടുക്കാനുള്ള പാത. ആ നാലും സംഭവ അവലോകനം ചോദിക്കുന്ന ചോദ്യങ്ങൾക്കും ഉത്തരം നൽകുന്നു, ഇത് പോർട്ട് ഫോർവേഡിംഗ് പേജിന്റെ സ്ക്രീൻഷോട്ടിന് ശരിയല്ല. അവസാനം നിങ്ങൾക്ക് ലഭിക്കുന്നത് ഓരോ സവിശേഷതയും ഇന്റർനെറ്റിലേക്ക് അഭിമുഖീകരിക്കുന്ന ഉപകരണമല്ല, ഒരു സ്ഥിരമായ ഭരണപരമായ പ്രവേശന പോയിന്റാണ്.