VPN मार्फत NAS प्रशासन: नाम राख्नुहोस्, सार्वजनिक पोर्ट छोड्नुहोस्
प्रशासन पृष्ठमा टनेलबाट पुग्नुहोस्, नयाँ सार्वजनिक पोर्टबाट होइन। वास्तविक नाम समाधान गर्नुहोस्, प्रमाणपत्र त्यससँग मिलाउनुहोस् र एउटै स्रोतबाट एउटै सेवालाई अनुमति दिनुहोस्।
NAS प्रशासन पृष्ठ घरमा काम गर्छ र प्रशासक यात्रा गर्ने क्षणमै काम गर्न छोड्छ, त्यसैले कसैले पोर्ट खोल्छ र समस्या गोपनीयतासँगै हराउँछ। यसका लागि राम्रो आकार छ। पृष्ठ जहाँ छ त्यहीँ राख्नुहोस्, टनेलले पहुँच प्रदान गरोस्, र तपाईंले दस्तावेज गर्ने कुरालाई संयोगवश जवाफ दिने यन्त्र ठेगाना नभई नाम दिइएको अनुमति मार्ग सहितको पूर्ण URL बनाउनुहोस्। तलको हरेक निर्णय, नामदेखि प्रमाणपत्र र एकमात्र अनुमति दिइएको पोर्टसम्म, यसरी लेख्नबाटै आउँछ।
डिजाइनको एकाइ URL हो, ठेगाना होइन
प्रवेशलाई पोर्ट र स्किमसहित पूर्ण URL का रूपमा लेख्नुहोस्, त्यसपछि सर्तहरू जोड्नुहोस्: कसले प्रयोग गर्न सक्छ, कुन नेटवर्कबाट र कुन मार्गबाट। उदाहरण https://nas.corp.example:8443 हुन सक्छ जो केवल स्वीकृत निजी ग्राहकहरूलाई प्रकाशित गरिन्छ, जहाँ नाम र पोर्टले यन्त्रले वास्तवमा सुन्ने कुराको प्रतिनिधित्व गर्छ।
त्यो ढाँचाले निर्णयहरू चाँडै बाध्य पार्छ। URL ले नाम जनाउँछ, नामले प्रमाणपत्र जनाउँछ, र प्रमाणपत्रले विश्वास व्यवस्था जनाउँछ। ठेगानाले यीमध्ये केही जनाउँदैन, र त्यसैले केवल-ठेगाना संस्करण पहिलो ब्राउजर चेतावनीसम्म टिक्छ र त्यसपछि त्यसमाथि क्लिक गरेर अगाडि बढ्ने बानी बन्छ।
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
प्रमाणपत्र जुन नामका लागि जारी भयो त्यो नाम राख्नुहोस्
ग्राहकलाई NAS को निजी ठेगानासम्म अनुमति दिइएको मार्ग चाहिन्छ, र निजी DNS व्यवस्थाले अभिप्रेत होस्टनाम त्यो ठेगानामा समाधान गर्न सक्छ र HTTPS सेवाले अपेक्षा गर्ने नाम जोगाउन सक्छ। दुवै आधा महत्त्वपूर्ण छन्: मार्गले प्याकेट त्यहाँ पुर्याउँछ, नामले ग्राहकलाई कुन पहिचान प्रमाणित गर्ने बताउँछ।
यसको सट्टा सङ्ख्यात्मक ठेगाना टाइप गर्दा पहिचानको आवश्यकता बदलिन्छ। RFC 9525 ले ग्राहकले सम्पर्क गर्न चाहेको नामलाई सेवाले प्रस्तुत गर्ने पहिचानबाट अलग गर्छ, त्यसैले nas.corp.example का लागि जारी प्रमाणपत्र ब्राउजर 10.20.0.15 तिर निर्देशित हुँदा वैध रूपमा असफल हुन सक्छ। चेतावनी सही छ, र समाधान नाम हो, अपवाद होइन।
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleटनेललाई दोष दिनुअघि दुवै चलाउनुहोस्। पहिलोले निजी नाम तपाईंले सोचेको ठाउँमा समाधान हुन्छ कि भनेर देखाउँछ, र दोस्रोले सेवाले वास्तवमा कुन प्रमाणपत्र र कुन वैकल्पिक विषय-नामहरू प्रस्तुत गर्छ देखाउँछ। निजी CA पूर्ण रूपमा राम्रोसँग व्यवस्थित विकल्प हुन सक्छ; बानी बन्नु नहुने कुरा भनेको मानिसहरूलाई पहिचान चेतावनी बेवास्ता गर्न सिकाउनु हो।
व्यवस्थापन मार्ग सीमित गर्नुहोस्
गेटवे र NAS दुवैमा अभिप्रेत स्रोतबाट ठ्याक्कै व्यवस्थापन सेवालाई अनुमति दिनुहोस्। त्यो वाक्यले टोक्ने विवरण लुकाउँछ: राउट गरिएको ग्राहक पूल र स्रोत-अनुवाद गर्ने गेटवे फरक स्रोत ठेगानासहित NAS मा पुग्छन्, त्यसैले एउटाका लागि लेखिएको अनुमति नियम अर्कोका लागि चुपचाप असफल हुन्छ।
NAS लाई फर्कने मार्ग पनि चाहिन्छ, र ब्राउजरले फोरम पोस्टबाट लिइएको विक्रेता पूर्वनिर्धारितको सट्टा कन्फिगर गरिएको पोर्ट र स्किम प्रयोग गर्नुपर्छ। यन्त्रसम्म पुग्नु भनेको त्यसको हरेक पोर्टसम्म पुग्ने अनुमति होइन। पिङमा जवाफ दिने यन्त्र र लोड हुने प्रशासन पृष्ठबीचको दूरी दुई अलग नियमबीचको दूरी हो। तिनीहरूलाई दुई टिप्पणीसहित दुई नियमका रूपमा लेख्नुहोस्, ताकि अर्को व्यक्तिले दुवै किन छन् देखोस्।
VPN प्रवेशलाई NAS विशेषाधिकारबाट अलग गर्नुहोस्
टनेलबाट जान दिनु भनेको यन्त्र व्यवस्थापन गर्न अनुमति दिनु होइन। जसलाई वैध रूपमा फाइल भण्डारण चाहिन्छ, उसले दुवै एउटै गेटवे पछाडि छन् भनेर यन्त्र व्यवस्थापन उत्तराधिकारमा पाउनु हुँदैन, र NAS को खाता मोडेल नै त्यो विभाजन लागू गर्नुपर्ने ठाउँ हो।
साझा वा अनुवादित निकास ठेगानाले पनि व्यक्तिगत प्रशासक पहिचान गर्न सक्दैन। यदि लेखापरीक्षण ट्रेलले व्यक्तिको नाम लिनुपर्छ भने, पहिचान प्रमाणित खाताबाट आउनुपर्छ, धेरैले प्रयोग गर्ने टनेलको स्रोत ठेगानाबाट होइन।
के गल्तीले प्रकाशित गर्नु हुँदैन
सार्वजनिक रिभर्स प्रोक्सी र विक्रेता रिले दुवै वास्तविक संरचना हुन्, र प्रत्येकले आफ्नै विश्वास र खुलासाका निर्णय बोक्छ। प्रशासक घरबाट टाढा हुनुका कारण कुनै पनि आवश्यक हुँदैन, र मिडिया सर्भर वा फाइल साझेदारी खोल्नुको साइड इफेक्टका रूपमा पनि कुनै देखिनु हुँदैन।
चार कुरा दस्तावेज गर्नुहोस् र रोकिनुहोस्: निजी नाम, यो जुन लिसनरमा म्याप हुन्छ, जुन समूहलाई यो प्रयोग गर्न अनुमति छ, र टनेल उपलब्ध नभएमा पुनःप्राप्तिको मार्ग। ती चारले घटना-समीक्षाले सोध्ने प्रश्नको पनि जवाफ दिन्छन्, जुन पोर्ट-फर्वार्डिङ पृष्ठको स्क्रिनसटको हकमा सत्य होइन। अन्तमा तपाईंसँग एउटा स्थिर प्रशासनिक प्रवेश बिन्दु हुन्छ, हरेक सुविधा इन्टरनेटतिर फर्केको यन्त्र होइन।