د VPN له لارې د NAS اداره: نوم وساتئ، عامه پورټ پرېږدئ
د ادارې پاڼې ته د تونل له لارې ورسیږئ، نه د نوي عامه پورټ له لارې. ریښتینی نوم حل کړئ، سند ورسره سم کړئ او له یوې سرچینې یو خدمت ته اجازه ورکړئ.
د NAS اداري پاڼه کور کې کار کوي او په هغه شیبه چې مدیر سفر کوي کار کول بندوي، نو څوک یو پورټ پرانیزي او ستونزه له محرمیت سره یوځای ورکېږي۔ د دې لپاره غوره بڼه شته۔ پاڼه چېرې ده هماغلته پرېږدئ، تونل د رسېدو وړتیا برابره کړي، او هغه څه چې مستند کوئ په بشپړ URL بدل کړئ چې نومول شوې اجازې لاره ولري، نه د یوې وسیلې پته چې ناڅاپه ځواب وایي۔ لاندې هر تصمیم، له نوم څخه تر سند او یوازیني اجازه لرونکي پورټ پورې، له همدې ډول لیکلو څخه راځي۔
د ډیزاین واحد URL دی، نه پته
ننوتل د خپل پورټ او سکیم سره بشپړ URL ولیکئ، بیا شرایط ضمیمه کړئ: څوک یې کارولی شي، له کومې شبکې او د کومې لارې۔ بېلګه کېدای شي https://nas.corp.example:8443 وي چې یوازې تایید شوو خصوصي مراجعینو ته خپرېږي، چېرې چې نوم او پورټ هغه څه استازیتوب کوي چې وسیله واقعاً پرې اورېدل کوي۔
دا چوکاټ تصمیمونه ژر تحمیلوي۔ URL نوم ته اشاره کوي، نوم سند ته اشاره کوي، او سند د باور ترتیباتو ته اشاره کوي۔ پته له دې هیڅ ته اشاره نه کوي، او همدا لامل دی چې یوازې-پتې بڼه تر لومړني براوزر خبرداري پورې ژوندی پاتې کېږي او بیا پرې کلیک کولو عادت ته اوړي۔
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
هغه نوم وساتئ چې سند ورته صادر شوی دی
مراجعینو ته د NAS خصوصي پتې ته اجازه لرونکې لارې ته اړتیا ده، او خصوصي DNS ترتیب کولی شي ټاکل شوی کوربه نوم هغې پتې ته حل کړي او په هماغه وخت کې هغه نوم وساتي چې HTTPS خدمت یې تمه لري۔ دواړه نیمې مهمې دي: لاره کڅوړې هلته رسوي، نوم مراجعینو ته وایي کومه هوښیارتیا تصدیق کړي۔
د هغې پرځای عددي پته لیکل د هوښیارتیا اړتیا بدلوي۔ RFC 9525 هغه نوم چې مراجعین یې د اړیکې نیت لري له هغې هوښیارتیا څخه جلا کوي چې خدمت یې وړاندې کوي، نو د nas.corp.example لپاره صادر شوی سند کولی شي په قانوني ډول ناکام شي کله چې براوزر 10.20.0.15 ته اشاره شوی وي۔ خبرداری سم دی، او حل نوم دی، نه استثنا۔
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleدواړه وچلوئ مخکې له دې چې تونل ملامت کړئ۔ لومړی ښیي چې ایا خصوصي نوم هغه ځای کې حل کېږي چې تاسو فکر کوئ، او دویم ښیي چې خدمت واقعاً کوم سند او کوم بدیلي موضوعي نومونه وړاندې کوي۔ یو خصوصي CA کولی شي په بشپړ ډول سم مدیریت شوی انتخاب وي؛ هغه څه چې عادت نه باید شي دا دي چې خلکو ته د هوښیارتیا خبرداریو له پامه غورځول ور زده کړو۔
د اداره کولو لاره محدوده کړئ
د ګیټوې او NAS دواړو کې، له ټاکل شوې سرچینې څخه دقیقاً اداري خدمت ته اجازه ورکړئ۔ هغه جمله یو تفصیل پټوي چې چیچي: د لارښوونې شوې مراجعینو ټولګه او د سرچینې ژباړونکی ګیټوې NAS ته د بېلو سرچینې پتو سره رسیږي، نو د یو لپاره لیکل شوې اجازه قاعده د بل لپاره په غلیمو ناکامه کېږي۔
NAS ته د بېرته راتګ لاره هم اړینه ده، او براوزر باید تنظیم شوی پورټ او سکیم وکاروي نه د فورمې پوسټ څخه اخیستل شوی د تولیدوونکي اصلي ارزښت۔ وسیلې ته رسېدل د هغې هر پورټ ته رسېدو اجازه نه ده۔ د ping ته ځواب ویونکې وسیلې او د بارېدونکې اداري پاڼې ترمنځ واټن د دوو جلا قاعدو ترمنځ واټن دی۔ دواړه د دوو تبصرو سره د دوو قاعدو په توګه ولیکئ، ترڅو بل کس وویني چې دواړه ولې شته۔
د VPN منل له NAS امتیاز څخه جلا کړئ
د تونل له لارې تېرېدو ته اجازه ورکول د وسیلې اداره کولو اجازه له ځانه سره نه لري۔ هغه کاروونکی چې په قانوني ډول د فایل ذخیرې اړتیا لري باید د وسیلې اداره میراث نه کړي یوازې ځکه چې دواړه د یوې ګیټوې شاته ژوند کوي، او د NAS د حساب ماډل هغه ځای دی چې دا جلاوالی باید پلي شي۔
شریکه یا ژباړل شوې وتنې پته هم نشي کولی یو فردي مدیر وپېژني۔ که د پلټنې نښه باید د یو کس نوم واخلي، هوښیارتیا باید له تصدیق شوي حساب څخه راشي، نه د هغه تونل له سرچینې پتې چې ډېر خلک یې کاروي۔
څه باید په ناڅاپي ډول خپاره نه شي
عامه معکوس پروکسي او د تولیدوونکي ریلې دواړه ریښتیني معماریانې دي، او هر یو خپل د باور او ښکارېدو تصمیمونه لري۔ هیڅ یو یې د دې له امله اړین نه کېږي چې مدیر له کوره لیرې دی، او هیڅ یو یې باید د میډیا سرور یا د فایل شریکولو د ښکارېدو د اړخیز اغېزې په توګه راڅرګند نه شي۔
څلور شیان مستند کړئ او ودروئ: خصوصي نوم، هغه اورېدونکی چې ورته نقشه کېږي، هغه ډله چې د کارولو اجازه لري، او که تونل نه وي د بېرته راوستلو لاره۔ همدا څلور د هغو پوښتنو ځواب هم ورکوي چې د پېښې بیاکتنه به یې وپوښتي، کوم چې د پورټ لېږد پاڼې سکرینشاټ په اړه سم نه دی۔ په پای کې تاسو یو ثابت اداري ننوت ځای لرئ، نه هغه وسیله چې هر ځانګړتیا یې انټرنیټ ته مخه ده۔