VPN-ээр NAS удирдах: нэрийг хадгалж, нийтийн портыг орхи
Удирдлагын хуудсанд туннелээр хүрэх бөгөөд шинэ нийтийн портоор биш. Бодит нэрийг шийдэж, гэрчилгээг түүнд тохируулж, нэг эх сурвалжаас нэг үйлчилгээг зөвшөөр.
NAS-ийн удирдлагын хуудас гэртээ ажилладаг бөгөөд администратор аялалд гарах тэр мөчид ажиллахаа болино, тиймээс хэн нэгэн порт нээж, асуудал нууцлалын хамт алга болдог. Үүнд илүү сайн хэлбэр бий. Хуудсыг байгаа газарт нь үлдээж, хүртээмжийг туннел хангагчид, харин таны баримтжуулах зүйлийг санамсаргүй хариулдаг төхөөрөмжийн хаяг биш, нэрлэсэн зөвшөөрлийн зам бүхий бүрэн URL болго. Доорх шийдвэр бүр, нэрээс гэрчилгээ, цорын ганц зөвшөөрөгдсөн порт хүртэл, яг ингэж бичихээс гардаг.
Загварын нэгж нь хаяг биш, URL юм
Орцыг порт, схемтэйгээр нь бүрэн URL хэлбэрээр бичээд, дараа нь нөхцөлүүдийг хавсарга: хэн ашиглаж болох, аль сүлжээнээс, аль замаар. Жишээ нь зөвхөн зөвшөөрөгдсөн хувийн клиентүүдэд нийтлэгддэг https://nas.corp.example:8443 байж болох бөгөөд нэр, порт нь төхөөрөмжийн бодитоор сонсдог зүйлийг төлөөлнө.
Энэ хүрээ шийдвэрүүдийг эрт албаддаг. URL нь нэрийг илэрхийлнэ, нэр нь гэрчилгээг илэрхийлнэ, гэрчилгээ нь итгэлцлийн зохицуулалтыг илэрхийлнэ. Хаяг нь эдгээрийн алийг ч илэрхийлэхгүй, яг тиймээс зөвхөн хаягтай хувилбар хөтчийн анхны анхааруулга хүртэл тэсч, дараа нь түүнийг дарж өнгөрөх зуршил болдог.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Гэрчилгээ олгогдсон нэрийг хадгал
Клиентэд NAS-ийн хувийн хаяг руу зөвшөөрөгдсөн маршрут хэрэгтэй бөгөөд хувийн DNS зохицуулалт нь төлөвлөсөн хостын нэрийг тэр хаяг руу шийдэж, HTTPS үйлчилгээний хүлээдэг нэрийг хадгалж чадна. Хоёр тал нь чухал: маршрут пакетуудыг тэнд хүргэж, нэр нь клиентэд ямар таних тэмдгийг шалгахыг хэлнэ.
Оронд нь тоон хаяг бичих нь таних тэмдгийн шаардлагыг өөрчилнө. RFC 9525 нь клиентийн холбогдохыг хүсч буй нэрийг үйлчилгээний танилцуулж буй таних тэмдгээс тусгаарладаг тул nas.corp.example-д олгогдсон гэрчилгээ хөтөч 10.20.0.15 рүү чиглүүлсэн үед хууль ёсоор бүтэлгүйтэж болно. Анхааруулга зөв бөгөөд засвар нь нэр, үл хамаарах зүйл биш.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleТуннелийг буруутгахаас өмнө хоёуланг нь ажиллуул. Эхнийх нь хувийн нэр таны бодож байгаа газарт шийдэгдэж байгаа эсэхийг, хоёр дахь нь үйлчилгээ ямар гэрчилгээ, ямар өөр субъектийн нэрийг бодитоор танилцуулж байгааг харуулна. Хувийн CA нь бүрэн сайн удирддаг сонголт байж болно; зуршил болох ёсгүй зүйл бол хүмүүст таних тэмдгийн анхааруулгыг үл тоомсорлохыг заах юм.
Удирдлагын замыг хязгаарла
Гарц болон NAS дээр хоёуланд нь төлөвлөсөн эх сурвалжаас яг удирдлагын үйлчилгээг зөвшөөр. Тэр өгүүлбэр хазуулах нарийн ширийг нуудаг: маршрутлагдсан клиентийн сан ба эх сурвалжийг хөрвүүлдэг гарц нь NAS-д өөр өөр эх хаягаар ирдэг тул нэгэнд нь бичсэн зөвшөөрлийн дүрэм нөгөөд нь чимээгүйхэн бүтэлгүйтдэг.
NAS-д буцах зам ч хэрэгтэй бөгөөд хөтөч форумын нийтлэлээс авсан үйлдвэрлэгчийн анхдагч утгын оронд тохируулсан порт, схемийг ашиглах ёстой. Төхөөрөмжид хүрэх нь түүний бүх портод хүрэх зөвшөөрөл биш. Пингэд хариулдаг төхөөрөмж ба ачаалагдаж буй удирдлагын хуудасны хоорондох зай нь хоёр тусдаа дүрмийн хоорондох зай юм. Тэдгээрийг хоёр тайлбартай хоёр дүрэм болгон бич, дараагийн хүн хоёулаа яагаад байгааг харна.
VPN-ийн элсэлтийг NAS-ийн эрхээс тусгаарла
Туннелээр нэвтрүүлэх нь төхөөрөмжийг удирдах зөвшөөрөлтэй адилгүй. Файлын сан хадгалалт хууль ёсоор хэрэгтэй хэрэглэгч хоёулаа нэг гарцын ард амьдардаг гэсэн шалтгаанаар төхөөрөмжийн удирдлагыг өвлөх ёсгүй бөгөөд NAS-ийн бүртгэлийн загвар нь тэр тусгаарлалтыг хэрэгжүүлэх ёстой газар юм.
Хамтарсан эсвэл хөрвүүлсэн гарах хаяг ч хувь хүний администраторыг таних чадваргүй. Хэрэв аудитын мөр хүний нэрийг дурдах шаардлагатай бол таних тэмдэг нь олон хүний ашигладаг туннелийн эх хаягаас биш, баталгаажсан бүртгэлээс ирэх ёстой.
Санамсаргүйгээр юуг нийтлэх ёсгүй вэ
Нийтийн урвуу прокси ба үйлдвэрлэгчийн реле нь хоёулаа бодит архитектур бөгөөд тус бүр өөрийн итгэлцэл, илрэлийн шийдвэрийг агуулна. Аль нь ч администратор гэрээсээ хол байгаа учраас шаардлагагүй болохгүй, аль нь ч медиа сервер эсвэл файл хуваалцалтыг ил гаргасны гаж нөлөө болж харагдах ёсгүй.
Дөрвөн зүйлийг баримтжуулаад зогсо: хувийн нэр, түүнд буулгагдах сонсогч, түүнийг ашиглах зөвшөөрөлтэй бүлэг, туннель хүртээмжгүй бол сэргээх зам. Тэр дөрөв нь ослын хяналтын асуух асуултад ч хариулна, энэ нь порт дамжуулах хуудасны дэлгэцийн зурагт хамаарахгүй. Эцэст нь танд бүх боломж нь интернет рүү харсан төхөөрөмж биш, нэг тогтвортой захиргааны нэвтрэх цэг байна.