Администрација NAS-а преко VPN-а: задржите име, одбаците јавни порт
До странице администрације долазите кроз тунел, а не кроз нови јавни порт. Разрешите право име, ускладите сертификат са њим и дозволите једну услугу са једног извора.
Страница администрације NAS-а ради код куће и престаје да ради оног тренутка када администратор одлази, па неко отвори порт и проблем нестане заједно са приватношћу. За то постоји бољи облик. Оставите страницу где јесте, нека тунел обезбеди доступност и нека оно што документујете буде потпуни URL са именованом путањом дозволе, а не адреса уређаја која случајно одговара. Свака одлука испод, од имена до сертификата и јединог дозвољеног порта, произлази из таквог записа.
Јединица дизајна је URL, а не адреса
Запишите улаз као потпуни URL са његовим портом и шемом, затим додајте услове: ко га сме користити, са које мреже и којим путем. Пример може бити https://nas.corp.example:8443 објављен само одобреним приватним клијентима, при чему име и порт замењују оно што уређај стварно слуша.
Такав оквир присиљава одлуке рано. URL подразумева име, име подразумева сертификат, а сертификат подразумева аранжман поверења. Адреса не подразумева ништа од тога, и управо зато верзија само са адресом преживљава до првог упозорења прегледача и затим постаје навика кликања кроз њега.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Задржите име за које је сертификат издат
Клијенту треба дозвољена рута до приватне адресе NAS-а, а приватни DNS аранжман може разрешити предвиђено име хоста на ту адресу и притом сачувати име које HTTPS услуга очекује. Обе половине су важне: рута доводи пакете тамо, а име говори клијенту који идентитет проверити.
Уписивање нумеричке адресе уместо тога мења захтев за идентитетом. RFC 9525 раздваја име са којим клијент намерава да се повеже од идентитета који услуга представља, па сертификат издат за nas.corp.example може легитимно пропасти када је прегледач усмерен на 10.20.0.15. Упозорење је исправно, а решење је име, а не изузетак.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleПокрените обоје пре него што окривите тунел. Прво показује да ли се приватно име разрешава тамо где мислите, а друго показује који сертификат и која алтернативна имена субјекта услуга стварно представља. Приватни CA може бити сасвим добро управљан избор; оно што не сме постати рутина јесте учити људе да одбацују упозорења о идентитету.
Ограничите путању управљања
Дозволите тачно управљачку услугу са предвиђеног извора, и на приступнику и на NAS-у. Та реченица крије детаљ који уједа: усмеравани базен клијената и приступник са превођењем извора долазе на NAS са различитим изворним адресама, па правило дозволе написано за једно тихо закаже за друго.
NAS-у треба и повратна путања, а прегледач мора користити конфигурисани порт и шему уместо добављачеве подразумеване вредности из поста на форуму. Доћи до уређаја није дозвола да се дође до сваког његовог порта. Размак између уређаја који одговара на ping и странице администрације која се учита размак је између два одвојена правила. Запишите их као два правила са два коментара, да следећа особа види зашто постоје оба.
Одвојите дозволу за VPN од привилегија на NAS-у
Бити пропуштен кроз тунел није исто што и смети управљати уређајем. Корисник коме легитимно треба складиштење датотека не сме наследити администрацију уређаја само зато што обоје живи иза једног приступника, а модел налога NAS-а место је на којем се то раздвајање мора спровести.
Заједничка или преведена излазна адреса такође не може идентификовати појединачног администратора. Ако ревизијски траг треба да именује особу, идентитет мора доћи из аутентификованог налога, а не из изворне адресе тунела који користи много људи.
Шта не треба случајно објавити
Јавни обрнути прокси и добављачев релеј обе су стварне архитектуре и свака носи сопствене одлуке о поверењу и изложености. Ниједна не постаје нужна зато што је администратор одсутан од куће, и ниједна не сме да се појави као нуспојава излагања медијског сервера или дељења датотека.
Документујте четири ствари и станите: приватно име, слушалац на који се пресликава, групу којој је дозвољено да га користи и путању опоравка ако тунел није доступан. Те четири одговарају и на питања која ће поставити преглед инцидента, што не важи за снимак екрана странице за прослеђивање портова. На крају добијате једну стабилну административну улазну тачку, а не уређај чија свака функција гледа на интернет.