NAS-filer uten portvideresending: hva koster et relé

Ruteren tilhører noen andre, NAS-en står bak den, og filen må likevel kunne hentes utenfra. En full VPN inn i det LAN-et er ett svar, men ikke det eneste: et applikasjonsrelé fra NAS-leverandøren kan bære en nettleserbasert filflyt helt uten innkommende porttilordning. Det det ikke kan, er å gi den eksterne datamaskinen en generell rute inn i nettverket, så designet må passe flyten og ikke omvendt.

Bestem hva brukeren faktisk trenger: en fil i en nettleser, eller en tilordnet stasjon med innebygd filsystematferd.

Hva reléveien egentlig er

QuickConnect gjør det mulig å nå en Synology NAS gjennom leverandørens infrastruktur når det ikke finnes noen innkommende vei. Avhengig av hva nettverket tillater, kan det forhandle om en direkte forbindelse, forsøke hulltaking eller falle tilbake til et relé. Den fleksibiliteten er nyttig, og den betyr også at «ingen portvideresending» ikke er samme utsagn som «alltid via relé».

Skykontoen som registrerer tjenesten, QuickConnect-ID-en som lokaliserer NAS-en, og NAS-kontoen som autoriserer filoperasjoner er tre forskjellige ting. Å miste oversikten over hvilken du feilsøker er den vanligste måten dette oppsettet stopper på.

Registrer det som eieren, og begrens det deretter

På DSM 7 ligger kontrollene under Control Panel, External Access, og oppsettet gjøres med en godkjent Synology-konto. Registrer enheten gjennom eieren i stedet for gjennom delte påloggingsdata, og gå gjennom de avanserte tjenestevalgene mens du er der. Målet er den godkjente filflyten, ikke en demonstrasjon av at hver administrasjonsfunksjon kan nås fra et hotellnettverk. Hver tjeneste du aktiverer, er en ny flate det samme ID-et kan nå.

Registrer QuickConnect-ID-en og eierkontoen i aktivaregisteret. Et udokumentert relé er vanskelig å tilbakekalle når personen som satte det opp, slutter.

Bruk applikasjonen som faktisk støttes

Gi en dedikert NAS-konto applikasjonsprivilegiet og mappetillatelsene flyten trenger, og test deretter med den kontoen og en uskyldig fil. Ta med en nektet sti og fjerning av en konto i testen, fordi den interessante feilen vanligvis er en for bred tillatelse og ikke en ødelagt. En tjeneste-ID er en adresse, ikke et passord, og den erstatter ingen av de to kontrollene.

Ikke lim QuickConnect-ID-en inn i en SMB-montering. Synologys liste over støttede tjenester inkluderer File Station og utelukker vanlig Windows-stasjontilordning og Finder SMB-tilgang, så en opplasting fra nettleseren er ikke en erstatning for et tilordnet filsystem.

Forstå tillitsgrensen du har godtatt

Reléveien er ikke et blindt rør. Synologys nettleserportal kan avslutte nettlesertilkoblingen og åpne en separat beskyttet tilkobling mot NAS-en, noe som gjør portalen til en betrodd komponent i stedet for en enkel videresender. Bruk den støttede HTTPS-veien og la sertifikatvalideringen gjøre jobben sin; å klikke gjennom en advarsel fordi målet er «bare en NAS», flytter risikoen over på brukeren. Hvis policy forbyr UPnP eller automatiske ruterendringer, må du gå gjennom disse funksjonene separat under eieren deres.

En restriktiv brannmur kan fortsatt blokkere den utgående siden. En reléfunksjon er ikke tillatelse til å omgå en nettverkskontroll.

Test flyten, og dokumenter deretter avhengigheten

Gjenta den nødvendige filoperasjonen etter en godkjent omstart av NAS-en og etter en nettverksendring, og noter hvilken vei som ble brukt og hvordan den fungerte. Direkte og relébaserte økter kan variere merkbart, så en flyt som føles fin i laboratoriet, kan være smertefull over et relé. Legg overføringen til gjenopprettingstesten hvis filene betyr noe.

Registrer leverandøravhengigheten og forventet atferd under et avbrudd. Hvis det egentlige kravet er innebygd SMB, er de ærlige alternativene et godkjent overleggsnettverk eller en administrert VPN, og begge er nettverksdesign med egne registrerings- og brannmurkrav.