Файлы NAS без проброса порта: сколько стоит ретранслятор

Маршрутизатор принадлежит кому-то другому, NAS стоит за ним, а файл всё равно должен быть доступен снаружи. Полноценный VPN в эту локальную сеть — один из ответов, но не единственный: прикладной ретранслятор от поставщика NAS может передавать файловый рабочий процесс в браузере вообще без входящего сопоставления порта. Чего он не может — дать удалённому компьютеру общий маршрут в сеть, поэтому проект должен соответствовать рабочему процессу, а не наоборот.

Решите, что пользователю действительно нужно: файл в браузере или подключённый диск с естественным поведением файловой системы.

Что на самом деле представляет собой путь через ретранслятор

QuickConnect позволяет достичь NAS Synology через инфраструктуру поставщика, когда входящего пути нет. В зависимости от того, что разрешает сеть, он может согласовать прямое соединение, попробовать пробить дыру или перейти на ретранслятор. Эта гибкость полезна, и она также означает, что «без проброса порта» — не то же утверждение, что «всегда через ретранслятор».

Облачная учётная запись, регистрирующая службу, QuickConnect ID, определяющий местоположение NAS, и учётная запись NAS, авторизующая файловые операции, — три разные вещи. Потеря понимания того, что именно вы отлаживаете, — самая частая причина, по которой эта настройка застревает.

Зарегистрируйте его как владельца, затем сузьте

В DSM 7 элементы управления находятся в Control Panel, External Access, а настройка выполняется одобренной учётной записью Synology. Регистрируйте устройство через его владельца, а не через общие учётные данные, и просмотрите расширенные параметры служб, пока вы там. Цель — одобренный файловый рабочий процесс, а не демонстрация того, что каждую функцию управления можно достичь из гостиничной сети. Каждая включённая служба — ещё одна поверхность, до которой может добраться тот же ID.

Запишите QuickConnect ID и учётную запись владельца в реестр активов. Незарегистрированный ретранслятор трудно отозвать, когда настроивший его человек уходит.

Используйте приложение, которое действительно поддерживается

Дайте выделенной учётной записи NAS привилегию приложения и права на папки, которые нужны рабочему процессу, затем проверьте с этой учётной записью и безвредным файлом. Включите в тест запрещённый путь и удаление учётной записи, потому что интересный сбой — обычно слишком широкое право, а не сломанное. ID службы — это адрес, а не пароль, и он не заменяет ни одну из двух проверок.

Не вставляйте QuickConnect ID в SMB-монтирование. Список поддерживаемых служб Synology включает File Station и исключает обычное сопоставление дисков Windows и SMB-доступ Finder, поэтому загрузка из браузера не заменяет подключённую файловую систему.

Поймите границу доверия, которую вы приняли

Путь через ретранслятор — не слепая труба. Браузерный портал Synology может завершить соединение браузера и открыть отдельное защищённое соединение к NAS, что делает портал доверенным компонентом, а не простым пересыльщиком. Используйте поддерживаемый путь HTTPS и позвольте проверке сертификата делать свою работу; проход через предупреждение потому, что пункт назначения «просто NAS», переносит риск на пользователя. Если политика запрещает UPnP или автоматические изменения маршрутизатора, рассмотрите эти функции отдельно под их владельцем.

Ограничительный межсетевой экран всё ещё может блокировать исходящую сторону. Функция ретранслятора — не разрешение обходить сетевой контроль.

Проверьте рабочий процесс, затем задокументируйте зависимость

Повторите необходимую файловую операцию после одобренной перезагрузки NAS и после изменения сети и отметьте, какой путь использовался и как он себя показал. Прямые и ретранслируемые сеансы могут заметно различаться, поэтому рабочий процесс, который хорошо выглядит в лаборатории, через ретранслятор может быть мучительным. Добавьте передачу в тест восстановления, если файлы важны.

Запишите зависимость от поставщика и ожидаемое поведение при сбое. Если реальное требование — нативный SMB, честные варианты — одобренная overlay-сеть или управляемый VPN, и оба являются сетевыми проектами с собственными требованиями к регистрации и межсетевому экрану.