Správa NAS cez VPN: podržte meno, zbavte sa verejného portu
K administračnej stránke sa dostávajte tunelom, nie novým verejným portom. Preložte skutočné meno, zlaďte s ním certifikát a povoľte jednu službu z jedného zdroja.
Administračná stránka NAS funguje doma a prestane fungovať v okamihu, keď administrátor odcestuje, takže niekto otvorí port a problém zmizne spolu so súkromím. Existuje na to lepší tvar. Nechajte stránku tam, kde je, nechajte tunel zabezpečiť dostupnosť a to, čo dokumentujete, píšte ako úplnú URL s pomenovanou cestou oprávnenia, nie ako adresu zariadenia, ktorá náhodou odpovedá. Každé rozhodnutie nižšie, od mena cez certifikát až po jediný povolený port, vyplýva z takého zápisu.
Jednotkou návrhu je URL, nie adresa
Zapíšte vstup ako úplnú URL s jej portom a schémou a potom pripojte podmienky: kto ju smie používať, z ktorej siete a ktorou cestou. Ilustráciou môže byť https://nas.corp.example:8443 zverejnená len schváleným privátnym klientom, pričom meno a port zastupujú to, na čom zariadenie skutočne počúva.
Taký rámec vynucuje rozhodnutia skoro. URL implikuje meno, meno implikuje certifikát a certifikát implikuje usporiadanie dôvery. Adresa neimplikuje nič z toho, a práve preto verzia len s adresou prežíva do prvého varovania prehliadača a potom sa z nej stane zvyk preklikať sa cez ňu.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Podržte meno, pre ktoré bol certifikát vydaný
Klient potrebuje povolenú trasu k privátnej adrese NAS a privátne usporiadanie DNS môže preložiť zamýšľané meno hostiteľa na túto adresu a pritom zachovať meno, ktoré služba HTTPS očakáva. Obe polovice sú dôležité: trasa tam doručí pakety a meno povie klientovi, ktorú identitu má overiť.
Zadanie číselnej adresy namiesto toho mení požiadavku na identitu. RFC 9525 oddeľuje meno, s ktorým sa klient hodlá spojiť, od identity, ktorú služba predkladá, takže certifikát vydaný pre nas.corp.example môže oprávnene zlyhať, keď bol prehliadač namierený na 10.20.0.15. Varovanie je správne a opravou je meno, nie výnimka.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleSpustite oboje, kým obviníte tunel. Prvé ukáže, či sa privátne meno prekladá tam, kde myslíte, a druhé ukáže, ktorý certifikát a ktoré alternatívne mená subjektu služba skutočne predkladá. Privátna CA môže byť úplne dobre spravovaná voľba; čo by sa nemalo stať rutinou, je učiť ľudí odbavovať varovania o identite.
Ohraničte cestu správy
Povoľte presne správcovskú službu zo zamýšľaného zdroja, a to na bráne aj na NAS. Tá veta skrýva detail, ktorý hryzie: smerovaný fond klientov a brána s prekladom zdroja dorazia na NAS s rôznymi zdrojovými adresami, takže pravidlo povolenia napísané pre jedno ticho zlyhá pre druhé.
NAS potrebuje aj spätnú cestu a prehliadač musí použiť nakonfigurovaný port a schému, nie predvolenú hodnotu výrobcu z príspevku na fóre. Dostať sa k zariadeniu nie je oprávnenie dostať sa na každý jeho port. Medzera medzi zariadením, ktoré odpovedá na ping, a administračnou stránkou, ktorá sa načíta, je medzerou medzi dvoma oddelenými pravidlami. Napíšte ich ako dve pravidlá s dvoma komentármi, aby ďalší človek videl, prečo existujú obe.
Oddeľte vpustenie do VPN od oprávnenia na NAS
Byť vpustený tunelom nie je to isté ako smieť spravovať zariadenie. Používateľ, ktorý oprávnene potrebuje úložisko súborov, by nemal zdediť správu zariadenia len preto, že oboje žije za jednou bránou, a model účtov NAS je miestom, kde sa toto oddelenie musí presadiť.
Zdieľaná alebo preložená výstupná adresa tiež nemôže identifikovať jednotlivého administrátora. Ak má audítorská stopa menovať osobu, identita musí prísť z overeného účtu, nie zo zdrojovej adresy tunela, ktorý používa veľa ľudí.
Čo nemáte zverejniť omylom
Verejná reverzná proxy a relay výrobcu sú obe skutočné architektúry a každá nesie vlastné rozhodnutia o dôvere a expozícii. Ani jedna nie je potrebná preto, že je administrátor preč z domu, a ani jedna by sa nemala objaviť ako vedľajší účinok vystavenia mediálneho servera alebo zdieľania súborov.
Zdokumentujte štyri veci a prestaňte: privátne meno, listener, na ktorý sa mapuje, skupinu, ktorá ho smie používať, a cestu obnovy, ak je tunel nedostupný. Tie štyri tiež odpovedajú na otázky, ktoré položí preskúmanie incidentu, čo pri snímke obrazovky stránky s presmerovaním portu neplatí. Nakoniec máte jeden stabilný administratívny vstupný bod namiesto zariadenia, ktorého každá funkcia hľadí do internetu.