Upravljanje NAS prek VPN: obdržite ime, opustite javna vrata
Do upravljalne strani pridite skozi tunel, ne skozi nova javna vrata. Razrešite pravo ime, uskladite potrdilo z njim in dovolite eno storitev iz enega vira.
Upravljalna stran NAS deluje doma in preneha delovati v trenutku, ko upravljavec odpotuje, zato nekdo odpre vrata in težava izgine skupaj z zasebnostjo. Za to obstaja boljša oblika. Pustite stran tam, kjer je, pustite tunelu, da zagotovi dosegljivost, in to, kar dokumentirate, naredite za popoln URL z imenovano potjo dovoljenja, ne pa za naslov naprave, ki slučajno odgovori. Vsaka odločitev spodaj, od imena prek potrdila do edinih dovoljenih vrat, izhaja iz takega zapisa.
Enota zasnove je URL, ne naslov
Vnos zapišite kot popoln URL z njegovimi vrati in shemo, nato priložite pogoje: kdo ga sme uporabljati, iz katerega omrežja in po kateri poti. Primer je lahko https://nas.corp.example:8443, objavljen samo odobrenim zasebnim odjemalcem, pri čemer ime in vrata predstavljata tisto, na kar naprava dejansko posluša.
Tak okvir sili odločitve zgodaj. URL implicira ime, ime implicira potrdilo, potrdilo pa implicira ureditev zaupanja. Naslov ne implicira ničesar od tega, in prav zato različica samo z naslovom preživi do prvega opozorila brskalnika in nato postane navada klikanja skozenj.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Obdržite ime, za katero je bilo potrdilo izdano
Odjemalec potrebuje dovoljeno pot do zasebnega naslova NAS, zasebna ureditev DNS pa lahko razreši predvideno ime gostitelja na ta naslov in hkrati ohrani ime, ki ga storitev HTTPS pričakuje. Obe polovici štejeta: pot pripelje pakete tja, ime pove odjemalcu, katero identiteto preveriti.
Če namesto tega vtipkate številčni naslov, se zahteva po identiteti spremeni. RFC 9525 ločuje ime, s katerim se odjemalec namerava povezati, od identitete, ki jo storitev predstavi, zato lahko potrdilo, izdano za nas.corp.example, upravičeno spodleti, ko je bil brskalnik usmerjen na 10.20.0.15. Opozorilo je pravilno, popravek pa je ime, ne izjema.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleZaženite oboje, preden krivite tunel. Prvo pokaže, ali se zasebno ime razreši tam, kjer mislite, drugo pa pokaže, katero potrdilo in katera alternativna imena subjekta storitev dejansko predstavi. Zasebna CA je lahko povsem dobro upravljana izbira; rutina pa ne bi smelo postati učenje ljudi, naj opozorila o identiteti kar prezrejo.
Omejite pot upravljanja
Dovolite natanko upravljalno storitev iz predvidenega vira, tako na prehodu kot na NAS. Ta stavek skriva podrobnost, ki ugrizne: usmerjeni nabor odjemalcev in prehod s prevajanjem vira prideta na NAS z različnimi izvornimi naslovi, zato pravilo dovoljenja, napisano za eno, tiho spodleti za drugo.
NAS potrebuje tudi povratno pot, brskalnik pa mora uporabiti nastavljena vrata in shemo, ne privzete vrednosti proizvajalca iz objave na forumu. Doseči napravo ni dovoljenje za dosego vsakih njenih vrat. Razlika med napravo, ki odgovori na ping, in upravljalno stranjo, ki se naloži, je razlika med dvema ločenima praviloma. Zapišite ju kot dve pravili z dvema komentarjema, da bo naslednja oseba videla, zakaj obstajata obe.
Ločite sprejem v VPN od pravic na NAS
Biti spuščen skozi tunel ni isto kot smeti upravljati napravo. Uporabnik, ki zakonito potrebuje shrambo datotek, ne bi smel podedovati upravljanja naprave samo zato, ker oboje živi za enim prehodom, in model računov NAS je mesto, kjer je treba to ločevanje uveljaviti.
Skupni ali prevedeni izhodni naslov tudi ne more prepoznati posameznega upravljavca. Če mora revizijska sled imenovati osebo, mora identiteta priti iz overjenega računa, ne pa iz izvornega naslova tunela, ki ga uporablja veliko ljudi.
Česa ne objaviti po nesreči
Javni obratni posrednik in proizvajalčev relej sta oba resnični arhitekturi in vsak nosi svoje odločitve o zaupanju in izpostavljenosti. Nobeden ni potreben zato, ker je upravljavec zdoma, in nobeden se ne bi smel pojaviti kot stranski učinek izpostavitve medijskega strežnika ali souporabe datotek.
Dokumentirajte štiri stvari in se ustavite: zasebno ime, poslušalca, na katerega se preslika, skupino, ki ga sme uporabljati, in pot obnovitve, če tunel ni na voljo. Te štiri odgovorijo tudi na vprašanja, ki jih bo postavil pregled incidenta, kar za posnetek zaslona strani s posredovanjem vrat ne velja. Na koncu imate eno stabilno upravljavsko vstopno točko namesto naprave, katere vsaka funkcija gleda v internet.