VPN द्वारे NAS प्रशासन: नाव ठेवा, सार्वजनिक पोर्ट सोडा
प्रशासन पृष्ठावर टनेलमधून पोहोचा, नवीन सार्वजनिक पोर्टमधून नाही. खरे नाव सोडवा, त्याशी प्रमाणपत्र जुळवा आणि एका स्रोताकडून एका सेवेस परवानगी द्या.
NAS प्रशासन पृष्ठ घरात काम करते आणि प्रशासक प्रवासाला निघताच काम करणे थांबवते, म्हणून कोणी पोर्ट उघडतो आणि समस्या गोपनीयतेसह नाहीशी होते. यासाठी एक चांगला आकार आहे. पृष्ठ जिथे आहे तिथेच ठेवा, टनेलने पोहोच देऊ करू द्या, आणि तुम्ही दस्तऐवजीकरण करता ते योगायोगाने उत्तर देणारा उपकरण पत्ता नसून नाव दिलेल्या परवानगी मार्गासह संपूर्ण URL करा. खालील प्रत्येक निर्णय, नावापासून प्रमाणपत्र आणि एकमेव परवानगी असलेल्या पोर्टपर्यंत, ते असे लिहिण्यातूनच येतो.
रचनेचे एकक URL आहे, पत्ता नाही
प्रवेश पोर्ट व स्कीमसह संपूर्ण URL म्हणून लिहा, नंतर अटी जोडा: कोण वापरू शकतो, कोणत्या नेटवर्कवरून आणि कोणत्या मार्गाने. उदाहरण https://nas.corp.example:8443 असू शकते जे केवळ मंजूर खासगी क्लायंटसाठी प्रकाशित केले जाते, जिथे नाव व पोर्ट उपकरण प्रत्यक्षात कशावर ऐकते त्याचे प्रतिनिधित्व करतात.
तो चौकट निर्णय लवकर लादतो. URL नाव सूचित करते, नाव प्रमाणपत्र सूचित करते, आणि प्रमाणपत्र विश्वास व्यवस्था सूचित करते. पत्ता यापैकी काहीही सूचित करत नाही, आणि म्हणूनच केवळ-पत्ता आवृत्ती पहिल्या ब्राउझर इशाऱ्यापर्यंत टिकते आणि नंतर त्यावर क्लिक करून पुढे जाण्याची सवय होते.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
प्रमाणपत्र ज्या नावासाठी दिले गेले ते नाव ठेवा
क्लायंटला NAS च्या खासगी पत्त्यापर्यंत परवानगी असलेला मार्ग हवा, आणि खासगी DNS व्यवस्था इच्छित होस्टनाव त्या पत्त्यावर सोडवू शकते आणि HTTPS सेवा ज्या नावाची अपेक्षा करते ते जतन करू शकते. दोन्ही अर्धे महत्त्वाचे: मार्ग पॅकेट तिथे पोहोचवतो, नाव क्लायंटला कोणती ओळख पडताळायची ते सांगते.
त्याऐवजी अंकीय पत्ता टाइप केल्यास ओळखीची आवश्यकता बदलते. RFC 9525 क्लायंट ज्या नावाशी संपर्क साधू इच्छितो ते सेवा जी ओळख सादर करते त्यापासून वेगळे करते, त्यामुळे nas.corp.example साठी दिलेले प्रमाणपत्र ब्राउझर 10.20.0.15 कडे वळवल्यास कायदेशीरपणे अयशस्वी होऊ शकते. इशारा बरोबर आहे, आणि उपाय हा नाव आहे, अपवाद नाही.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleटनेलला दोष देण्यापूर्वी दोन्ही चालवा. पहिले खासगी नाव तुम्हाला वाटते तिथे सोडवले जाते का हे दाखवते, आणि दुसरे सेवा प्रत्यक्षात कोणते प्रमाणपत्र व कोणती पर्यायी विषय-नावे सादर करते हे दाखवते. खासगी CA पूर्णपणे सुव्यवस्थित निवड असू शकते; सवय होऊ नये ती म्हणजे लोकांना ओळखीचे इशारे दुर्लक्ष करायला शिकवणे.
व्यवस्थापन मार्ग मर्यादित करा
गेटवे आणि NAS दोन्हीकडे इच्छित स्रोताकडून नेमकी व्यवस्थापन सेवा परवानगी द्या. ते वाक्य चावणारी एक तपशील लपवते: राउटेड क्लायंट पूल आणि स्रोत-भाषांतर करणारा गेटवे वेगवेगळ्या स्रोत पत्त्यांसह NAS वर पोहोचतात, त्यामुळे एकासाठी लिहिलेला परवानगी नियम दुसऱ्यासाठी शांतपणे अयशस्वी होतो.
NAS ला परतीचा मार्गही हवा, आणि ब्राउझरने फोरम पोस्टमधून घेतलेल्या विक्रेता डीफॉल्टऐवजी संरचित पोर्ट व स्कीम वापरावी. उपकरणापर्यंत पोहोचणे म्हणजे त्यावरील प्रत्येक पोर्टपर्यंत पोहोचण्याची परवानगी नाही. पिंगला उत्तर देणारे उपकरण आणि लोड होणारे प्रशासन पृष्ठ यातील अंतर हे दोन वेगळ्या नियमांमधील अंतर आहे. ते दोन टिप्पण्यांसह दोन नियम म्हणून लिहा, जेणेकरून पुढच्या व्यक्तीला दोन्ही का आहेत ते दिसेल.
VPN प्रवेशाला NAS विशेषाधिकारापासून वेगळे करा
टनेलमधून जाऊ देणे म्हणजे उपकरणाचे व्यवस्थापन करण्याची परवानगी असणे नाही. ज्याला कायदेशीरपणे फाइल साठवण हवी आहे त्याला दोन्ही एकाच गेटवेमागे आहेत म्हणून उपकरण व्यवस्थापन वारसाने मिळू नये, आणि NAS चे खाते मॉडेल हेच ते विभाजन लागू करायचे ठिकाण आहे.
सामायिक किंवा भाषांतरित निर्गम पत्ताही वैयक्तिक प्रशासक ओळखू शकत नाही. जर लेखापरीक्षण नोंदीत व्यक्तीचे नाव घ्यायचे असेल, तर ओळख प्रमाणित खात्यातून आली पाहिजे, अनेकजण वापरत असलेल्या टनेलच्या स्रोत पत्त्यातून नाही.
काय चुकून प्रकाशित करू नये
सार्वजनिक रिव्हर्स प्रॉक्सी आणि विक्रेता रिले दोन्ही खऱ्या रचना आहेत, आणि प्रत्येक आपले विश्वास व उघडकीचे निर्णय घेऊन येते. प्रशासक घरापासून दूर असल्यामुळे यापैकी कोणीही आवश्यक ठरत नाही, आणि मीडिया सर्व्हर किंवा फाइल शेअरिंग उघड केल्याचा दुष्परिणाम म्हणूनही कोणीही दिसू नये.
चार गोष्टी दस्तऐवजीकरण करा आणि थांबा: खासगी नाव, ते ज्या लिसनरवर मॅप होते, ज्या गटाला ते वापरण्याची परवानगी आहे, आणि टनेल उपलब्ध नसल्यास पुनर्प्राप्तीचा मार्ग. त्या चार गोष्टी घटना-आढावा विचारेल त्या प्रश्नांचीही उत्तरे देतात, जे पोर्ट-फॉरवर्डिंग पृष्ठाच्या स्क्रीनशॉटबाबत खरे नाही. शेवटी तुमच्याकडे एक स्थिर प्रशासकीय प्रवेशबिंदू असतो, प्रत्येक वैशिष्ट्य इंटरनेटकडे असलेले उपकरण नाही.