Amministrazzjoni tan-NAS fuq VPN: żomm l-isem, warrab il-port pubbliku
Ilħaq il-paġna tal-amministrazzjoni mit-tunnel, mhux minn port pubbliku ġdid. Issolvi l-isem veru, qabbel iċ-ċertifikat miegħu u ppermetii servizz wieħed minn sors wieħed.
Il-paġna tal-amministrazzjoni tan-NAS taħdem id-dar u tieqaf taħdem fil-mument li l-amministratur jivvjaġġa, allura xi ħadd jiftaħ port u l-problema tisparixxi flimkien mal-privatezza. Hemm forma aħjar għal dan. Ħalli l-paġna fejn hi, ħalli t-tunnel jipprovdi l-aċċessibilità, u agħmel dak li tiddokumenta URL sħiħ b'perkors ta' permess bl-isem minflok indirizz tal-apparat li jwieġeb b'kumbinazzjoni. Kull deċiżjoni hawn taħt, mill-isem saċ-ċertifikat sal-uniku port permess, ġejja mill-kitba tiegħu hekk.
L-unità tad-disinn hija URL, mhux indirizz
Ikteb id-dħul bħala URL sħiħ bil-port u l-iskema tiegħu, imbagħad waħħal il-kundizzjonijiet: min jista' jużah, minn liema netwerk u b'liema perkors. Eżempju jista' jkun https://nas.corp.example:8443 ippubblikat biss għal klijenti privati approvati, bin-nom u l-port li jirrappreżentaw dak li l-apparat verament jisma'.
Dan il-qafas iġiegħel id-deċiżjonijiet kmieni. URL jimplika isem, isem jimplika ċertifikat, u ċertifikat jimplika arranġament ta' fiduċja. Indirizz ma jimplika xejn minn dawn, u għalhekk il-verżjoni biss bl-indirizz tibqa' ħajja sal-ewwel twissija tal-browser u mbagħad issir drawwa li tagħfas fuqha biex tgħaddi.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Żomm l-isem li għalih inħareġ iċ-ċertifikat
Il-klijent jeħtieġ perkors permess lejn l-indirizz privat tan-NAS, u arranġament tad-DNS privat jista' jissolvi l-isem tal-host maħsub għal dak l-indirizz filwaqt li jippreserva l-isem li s-servizz HTTPS jistenna. Iż-żewġ nofsijiet jgħoddu: il-perkors iwassal il-pakketti hemmhekk, l-isem jgħid lill-klijent liema identità għandu jivverifika.
Li tikteb l-indirizz numeriku minflok jibdel ir-rekwiżit tal-identità. RFC 9525 jifred l-isem li l-klijent bi ħsiebu jikkuntattja mill-identità li s-servizz jippreżenta, allura ċertifikat maħruġ għal nas.corp.example jista' legalment ifalli meta l-browser kien indirizzat lejn 10.20.0.15. It-twissija hija korretta, u r-rimedju huwa l-isem, mhux eċċezzjoni.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleĦaddem it-tnejn qabel ma tagħti tort lit-tunnel. L-ewwel juri jekk l-isem privat jiġix solvut fejn taħseb int, u t-tieni juri liema ċertifikat u liema ismijiet suġġett alternattivi s-servizz verament jippreżenta. CA privata tista' tkun għażla amministrata tajjeb ħafna; dak li m'għandux isir rutina huwa li tgħallem lin-nies jinjoraw it-twissijiet tal-identità.
Illimita l-perkors tal-amministrazzjoni
Ippermetti eżattament is-servizz tal-amministrazzjoni mis-sors maħsub, kemm fil-gateway kif ukoll fin-NAS. Dik il-frażi taħbi dettall li jigdim: ġabra ta' klijenti rrutati u gateway b'traduzzjoni tas-sors jaslu fin-NAS b'indirizzi tas-sors differenti, allura regola ta' permess miktuba għal waħda tonqos bil-kwiet għall-oħra.
In-NAS għandu bżonn ukoll perkors ta' ritorn, u l-browser irid juża l-port u l-iskema konfigurati minflok il-valur awtomatiku tal-fornitur minn post fil-forum. Li tilħaq l-apparat mhuwiex permess li tilħaq kull port tiegħu. Il-vojt bejn apparat li jwieġeb għall-ping u paġna tal-amministrazzjoni li tgħabbi huwa l-vojt bejn żewġ regoli separati. Iktibhom bħala żewġ regoli b'żewġ kummenti, biex il-persuna li jmiss tara għaliex jeżistu t-tnejn.
Issepara d-dħul fil-VPN mill-privileġġ tan-NAS
Li titħalla tgħaddi mit-tunnel mhuwiex l-istess bħal li titħalla tamministra l-apparat. Utent li għandu bżonn leġittimu ta' ħażna tal-fajls m'għandux jiret l-amministrazzjoni tal-apparat għax it-tnejn jgħixu wara gateway wieħed, u l-mudell tal-kontijiet tan-NAS huwa l-post fejn dik is-separazzjoni trid tiġi infurzata.
Indirizz tal-ħruġ maqsum jew tradott lanqas ma jista' jidentifika amministratur individwali. Jekk it-traċċa tal-awditjar trid issemmi persuna, l-identità trid tiġi minn kont awtentikat u mhux mill-indirizz tas-sors ta' tunnel li jużaw ħafna nies.
X'ma għandux jiġi ppubblikat bl-aċċident
Prokura inversa pubblika u relay tal-fornitur huma t-tnejn arkitetturi veri, u kull waħda ġġorr id-deċiżjonijiet tagħha dwar fiduċja u espożizzjoni. Lanqas waħda ma ssir meħtieġa għax amministratur ikun 'il bogħod mid-dar, u lanqas waħda m'għandha tidher bħala effett sekondarju li tesponi server tal-midja jew qsim tal-fajls.
Iddokumenta erba' affarijiet u waqfa: l-isem privat, il-listener li miegħu jiġi mmappat, il-grupp li hu permess jużah, u l-perkors tal-irkupru jekk it-tunnel mhux disponibbli. Dawk l-erbgħa jwieġbu wkoll il-mistoqsijiet li se tagħmel reviżjoni ta' inċident, li mhuwiex minnu għal screenshot ta' paġna ta' forwarding tal-port. Fl-aħħar ikollok punt ta' dħul amministrattiv stabbli wieħed minflok apparat li kull karatteristika tiegħu tħares lejn l-internet.