Pentadbiran NAS melalui VPN: kekalkan nama, lepaskan port awam
Capai halaman pentadbiran melalui terowong, bukan port awam baharu. Selesaikan nama sebenar, padankan sijil dengannya dan benarkan satu perkhidmatan daripada satu sumber.
Halaman pentadbiran NAS berfungsi di rumah dan berhenti berfungsi pada saat pentadbir mengembara, jadi seseorang membuka port dan masalah itu hilang bersama privasi. Ada bentuk yang lebih baik untuk ini. Biarkan halaman itu di tempatnya, biarkan terowong menyediakan capaian, dan jadikan apa yang anda dokumentasikan sebagai URL lengkap dengan laluan kebenaran bernama dan bukan alamat peranti yang kebetulan menjawab. Setiap keputusan di bawah, daripada nama hingga sijil hingga satu-satunya port yang dibenarkan, mengikut cara menulisnya begitu.
Unit reka bentuk ialah URL, bukan alamat
Tulis entri sebagai URL lengkap dengan port dan skemanya, kemudian lampirkan syaratnya: siapa yang boleh menggunakannya, dari rangkaian mana dan melalui laluan mana. Satu contoh mungkin https://nas.corp.example:8443 yang diterbitkan hanya kepada klien peribadi yang diluluskan, dengan nama dan port mewakili apa yang sebenarnya didengar oleh peranti.
Rangka kerja itu memaksa keputusan lebih awal. URL membayangkan nama, nama membayangkan sijil, dan sijil membayangkan susunan kepercayaan. Alamat tidak membayangkan mana-mana daripadanya, dan itulah sebabnya versi hanya-alamat bertahan sehingga amaran pelayar pertama dan kemudian menjadi kebiasaan mengklik melaluinya.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Kekalkan nama yang sijil itu dikeluarkan untuknya
Klien memerlukan laluan yang dibenarkan ke alamat peribadi NAS, dan susunan DNS peribadi boleh menyelesaikan nama hos yang dimaksudkan ke alamat itu sambil mengekalkan nama yang dijangka oleh perkhidmatan HTTPS. Kedua-dua bahagian penting: laluan membawa paket ke sana, nama memberitahu klien identiti mana yang perlu disahkan.
Menulis alamat berangka sebaliknya mengubah keperluan identiti. RFC 9525 memisahkan nama yang ingin dihubungi klien daripada identiti yang dipersembahkan oleh perkhidmatan, jadi sijil yang dikeluarkan untuk nas.corp.example boleh gagal secara sah apabila pelayar dihalakan ke 10.20.0.15. Amaran itu betul, dan pembaikannya ialah nama, bukan pengecualian.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleJalankan kedua-duanya sebelum menyalahkan terowong. Yang pertama menunjukkan sama ada nama peribadi diselesaikan di tempat yang anda sangka, dan yang kedua menunjukkan sijil serta nama subjek alternatif yang sebenarnya dipersembahkan oleh perkhidmatan. CA peribadi boleh menjadi pilihan yang diuruskan dengan baik; yang tidak sepatutnya menjadi rutin ialah mengajar orang mengabaikan amaran identiti.
Hadkan laluan pengurusan
Benarkan tepat perkhidmatan pengurusan daripada sumber yang dimaksudkan, di gateway dan di NAS. Ayat itu menyembunyikan butiran yang menggigit: kumpulan klien yang dihalakan dan gateway dengan terjemahan sumber tiba di NAS dengan alamat sumber yang berbeza, jadi peraturan kebenaran yang ditulis untuk satu gagal secara senyap untuk yang lain.
NAS juga memerlukan laluan balik, dan pelayar mesti menggunakan port dan skema yang dikonfigurasikan dan bukannya lalai vendor daripada kiriman forum. Mencapai peranti bukan kebenaran untuk mencapai setiap port padanya. Jurang antara peranti yang menjawab ping dan halaman pentadbiran yang dimuatkan ialah jurang antara dua peraturan berasingan. Tulis kedua-duanya sebagai dua peraturan dengan dua ulasan, supaya orang seterusnya melihat mengapa kedua-duanya wujud.
Pisahkan kemasukan VPN daripada keistimewaan NAS
Dibenarkan melalui terowong bukan sama dengan dibenarkan mentadbir peranti. Pengguna yang secara sah memerlukan storan fail tidak sepatutnya mewarisi pentadbiran peranti hanya kerana kedua-duanya berada di belakang satu gateway, dan model akaun NAS ialah tempat pemisahan itu mesti dikuatkuasakan.
Alamat keluar yang dikongsi atau diterjemah juga tidak dapat mengenal pasti pentadbir individu. Jika jejak audit perlu menamakan seseorang, identiti mesti datang daripada akaun yang disahkan dan bukan daripada alamat sumber terowong yang digunakan oleh ramai orang.
Apa yang tidak patut diterbitkan secara tidak sengaja
Proksi songsang awam dan geganti vendor kedua-duanya seni bina sebenar, dan masing-masing membawa keputusan kepercayaan dan pendedahannya sendiri. Kedua-duanya tidak menjadi perlu kerana seorang pentadbir jauh dari rumah, dan kedua-duanya tidak patut muncul sebagai kesan sampingan mendedahkan pelayan media atau perkongsian fail.
Dokumentasikan empat perkara dan berhenti: nama peribadi, pendengar yang dipetakannya, kumpulan yang dibenarkan menggunakannya, dan laluan pemulihan jika terowong tidak tersedia. Keempat-empatnya juga menjawab soalan yang akan ditanya oleh semakan insiden, yang tidak benar bagi tangkapan skrin halaman pemajuan port. Apa yang anda dapat pada akhirnya ialah satu titik masuk pentadbiran yang stabil dan bukan peranti yang setiap cirinya menghadap internet.