Administracija NAS-a preko VPN-a: zadržite ime, odbacite javni port
Do stranice administracije dolazite kroz tunel, a ne kroz novi javni port. Razrešite pravo ime, uskladite sertifikat s njim i dozvolite jednu uslugu sa jednog izvora.
Stranica administracije NAS-a radi kod kuće i prestaje da radi onog trenutka kada administrator otputuje, pa neko otvori port i problem nestane zajedno sa privatnošću. Za to postoji bolji oblik. Ostavite stranicu gde jeste, neka tunel obezbedi dostupnost i neka ono što dokumentujete bude potpuni URL sa imenovanom putanjom dozvole, a ne adresa uređaja koja slučajno odgovara. Svaka odluka ispod, od imena do sertifikata i jedinog dozvoljenog porta, proizlazi iz takvog zapisa.
Jedinica dizajna je URL, a ne adresa
Zapišite ulaz kao potpuni URL sa njegovim portom i šemom, zatim dodajte uslove: ko ga sme koristiti, sa koje mreže i kojim putem. Primer može biti https://nas.corp.example:8443 objavljen samo odobrenim privatnim klijentima, pri čemu ime i port zamenjuju ono što uređaj stvarno sluša.
Takav okvir prisiljava odluke rano. URL podrazumeva ime, ime podrazumeva sertifikat, a sertifikat podrazumeva aranžman poverenja. Adresa ne podrazumeva ništa od toga, i upravo zato verzija samo sa adresom preživljava do prvog upozorenja pregledača i zatim postaje navika klikanja kroz njega.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Zadržite ime za koje je sertifikat izdat
Klijentu treba dozvoljena ruta do privatne adrese NAS-a, a privatni DNS aranžman može razrešiti predviđeno ime hosta na tu adresu i pritom sačuvati ime koje HTTPS usluga očekuje. Obe polovine su važne: ruta dovodi pakete tamo, a ime govori klijentu koji identitet proveriti.
Upisivanje numeričke adrese umesto toga menja zahtev za identitetom. RFC 9525 razdvaja ime sa kojim klijent namerava da se poveže od identiteta koji usluga predstavlja, pa sertifikat izdat za nas.corp.example može legitimno propasti kada je pregledač usmeren na 10.20.0.15. Upozorenje je ispravno, a rešenje je ime, a ne izuzetak.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.examplePokrenite oboje pre nego što okrivite tunel. Prvo pokazuje da li se privatno ime razrešava tamo gde mislite, a drugo pokazuje koji sertifikat i koja alternativna imena subjekta usluga stvarno predstavlja. Privatni CA može biti sasvim dobro upravljan izbor; ono što ne sme postati rutina jeste učiti ljude da odbacuju upozorenja o identitetu.
Ograničite putanju upravljanja
Dozvolite tačno upravljačku uslugu sa predviđenog izvora, i na pristupniku i na NAS-u. Ta rečenica skriva detalj koji ujeda: usmeravani bazen klijenata i pristupnik sa prevođenjem izvora dolaze na NAS sa različitim izvornim adresama, pa pravilo dozvole napisano za jedno tiho zakaže za drugo.
NAS-u treba i povratna putanja, a pregledač mora koristiti konfigurisani port i šemu umesto dobavljačevog podrazumevanog iz posta na forumu. Doći do uređaja nije dozvola da se dođe do svakog njegovog porta. Razmak između uređaja koji odgovara na ping i stranice administracije koja se učita razmak je između dva odvojena pravila. Zapišite ih kao dva pravila sa dva komentara, da sledeća osoba vidi zašto postoje oba.
Odvojite dozvolu za VPN od privilegija na NAS-u
Biti propušten kroz tunel nije isto što i smeti upravljati uređajem. Korisnik kome legitimno treba skladištenje datoteka ne sme naslediti administraciju uređaja samo zato što oboje živi iza jednog pristupnika, a model naloga NAS-a mesto je na kojem se to razdvajanje mora sprovesti.
Zajednička ili prevedena izlazna adresa takođe ne može identifikovati pojedinačnog administratora. Ako revizijski trag treba da imenuje osobu, identitet mora doći iz autentifikovanog naloga, a ne iz izvorne adrese tunela koji koristi mnogo ljudi.
Šta ne treba slučajno objaviti
Javni obrnuti proxy i dobavljačev relej obe su stvarne arhitekture i svaka nosi sopstvene odluke o poverenju i izloženosti. Nijedna ne postaje nužna zato što je administrator odsutan od kuće, i nijedna ne sme da se pojavi kao nuspojava izlaganja medijskog servera ili deljenja datoteka.
Dokumentujte četiri stvari i stanite: privatno ime, slušalac na koji se preslikava, grupu kojoj je dozvoljeno da ga koristi i putanju oporavka ako tunel nije dostupan. Te četiri odgovaraju i na pitanja koja će postaviti pregled incidenta, što ne važi za snimak ekrana stranice za prosleđivanje portova. Na kraju dobijate jednu stabilnu administrativnu ulaznu tačku, a ne uređaj čija svaka funkcija gleda na internet.