NAS-filer utan portvidarebefordran: vad kostar en relay

Routern tillhör någon annan, NAS:en står bakom den, och filen måste ändå kunna hämtas utifrån. En fullständig VPN in i det LAN:et är ett svar, men inte det enda: en applikationsrelay från NAS-leverantören kan bära ett webbläsarbaserat filflöde helt utan inkommande portmappning. Det den inte kan är att ge fjärrdatorn en allmän väg in i nätverket, så designen måste passa flödet och inte tvärtom.

Bestäm vad användaren faktiskt behöver: en fil i en webbläsare eller en mappad enhet med inbyggt filsystembeteende.

Vad relayvägen egentligen är

QuickConnect gör det möjligt att nå en Synology NAS via leverantörens infrastruktur när det inte finns någon inkommande väg. Beroende på vad nätverket tillåter kan den förhandla om en direkt anslutning, försöka med hålgenombrott eller falla tillbaka på en relay. Den flexibiliteten är användbar, och den innebär också att «ingen portvidarebefordran» inte är samma påstående som «alltid via relay».

Molnkontot som registrerar tjänsten, QuickConnect-ID:t som lokaliserar NAS:en och NAS-kontot som auktoriserar filoperationer är tre olika saker. Att tappa bort vilket du felsöker är det vanligaste sättet som den här konfigurationen fastnar.

Registrera den som ägaren och begränsa den sedan

På DSM 7 ligger kontrollerna under Control Panel, External Access, och konfigurationen görs med ett godkänt Synology-konto. Registrera enheten via dess ägare i stället för via delade inloggningsuppgifter, och gå igenom de avancerade tjänstevalen medan du är där. Målet är det godkända filflödet, inte en demonstration av att varje administrationsfunktion går att nå från ett hotellnätverk. Varje tjänst du aktiverar är en ny yta som samma ID kan nå.

Registrera QuickConnect-ID:t och ägarkontot i tillgångsregistret. En odokumenterad relay är svår att återkalla när personen som konfigurerade den slutar.

Använd applikationen som faktiskt stöds

Ge ett dedikerat NAS-konto applikationsprivilegiet och de mappbehörigheter som flödet behöver, och testa sedan med det kontot och en ofarlig fil. Ta med en nekad sökväg och borttagning av ett konto i testet, eftersom det intressanta felet oftast är en för bred behörighet och inte en trasig. Ett tjänste-ID är en adress, inte ett lösenord, och det ersätter ingen av de två kontrollerna.

Klistra inte in QuickConnect-ID:t i en SMB-montering. Synologys lista över stödda tjänster innehåller File Station och utesluter vanlig Windows-enhetsmappning och Finder SMB-åtkomst, så en uppladdning från webbläsaren ersätter inte ett mappat filsystem.

Förstå den tillitsgräns du har accepterat

Relayvägen är inte ett blint rör. Synologys webbläsarportal kan avsluta webbläsaranslutningen och öppna en separat skyddad anslutning mot NAS:en, vilket gör portalen till en betrodd komponent i stället för en enkel vidarebefordrare. Använd den stödda HTTPS-vägen och låt certifikatvalideringen göra sitt jobb; att klicka sig förbi en varning eftersom målet är «bara en NAS» flyttar risken till användaren. Om policy förbjuder UPnP eller automatiska routerändringar ska du granska de funktionerna separat under deras ägare.

En restriktiv brandvägg kan ändå blockera den utgående sidan. En relayfunktion är inte tillstånd att kringgå en nätverkskontroll.

Testa flödet och dokumentera sedan beroendet

Upprepa den nödvändiga filoperationen efter en godkänd omstart av NAS:en och efter en nätverksändring, och notera vilken väg som användes och hur den presterade. Direkta och relayade sessioner kan skilja sig märkbart, så ett flöde som känns bra i labbet kan vara plågsamt via en relay. Lägg till överföringen i återställningstestet om filerna spelar roll.

Registrera leverantörsberoendet och förväntat beteende vid ett avbrott. Om det verkliga kravet är inbyggd SMB är de ärliga alternativen ett godkänt overlaynätverk eller en hanterad VPN, och båda är nätverksdesigner med egna registrerings- och brandväggskrav.