VPN வழியாக NAS நிர்வாகம்: பெயரை வைத்திருங்கள், பொது போர்ட்டை விடுங்கள்
நிர்வாகப் பக்கத்தை சுரங்கப்பாதை வழியாக அடையுங்கள், புதிய பொது போர்ட் வழியாக அல்ல. உண்மையான பெயரைத் தீர்க்கவும், சான்றிதழை அதற்குப் பொருத்தவும், ஒரு மூலத்திலிருந்து ஒரு சேவைக்கு மட்டும் அனுமதி அளிக்கவும்.
NAS நிர்வாகப் பக்கம் வீட்டில் வேலை செய்கிறது, நிர்வாகி பயணம் செல்லும் கணத்தில் வேலை செய்வதை நிறுத்துகிறது, எனவே யாரோ ஒரு போர்ட்டைத் திறக்கிறார்கள், பிரச்சினை தனியுரிமையுடன் சேர்ந்து மறைந்துவிடுகிறது. இதற்கு ஒரு சிறந்த வடிவம் உள்ளது. பக்கத்தை இருக்கும் இடத்திலேயே வைத்திருங்கள், சுரங்கப்பாதை அணுகலை வழங்கட்டும், நீங்கள் ஆவணப்படுத்துவதை தற்செயலாகப் பதிலளிக்கும் சாதன முகவரியாக அல்லாமல், பெயரிடப்பட்ட அனுமதிப் பாதையுடன் கூடிய முழுமையான URL ஆக மாற்றுங்கள். கீழேயுள்ள ஒவ்வொரு முடிவும், பெயரிலிருந்து சான்றிதழ் மற்றும் ஒரே அனுமதிக்கப்பட்ட போர்ட் வரை, அதை அப்படி எழுதுவதிலிருந்தே வருகிறது.
வடிவமைப்பின் அலகு URL, முகவரி அல்ல
நுழைவை அதன் போர்ட் மற்றும் திட்டத்துடன் முழுமையான URL ஆக எழுதுங்கள், பின்னர் நிபந்தனைகளை இணையுங்கள்: யார் பயன்படுத்தலாம், எந்த நெட்வொர்க்கிலிருந்து, எந்தப் பாதையில். உதாரணமாக அனுமதிக்கப்பட்ட தனியார் வாடிக்கையாளர்களுக்கு மட்டும் வெளியிடப்படும் https://nas.corp.example:8443 ஆக இருக்கலாம், அங்கு பெயரும் போர்ட்டும் சாதனம் உண்மையில் கேட்பதைக் குறிக்கின்றன.
அந்தக் கட்டமைப்பு முடிவுகளை முன்கூட்டியே திணிக்கிறது. URL ஒரு பெயரைக் குறிக்கிறது, பெயர் சான்றிதழைக் குறிக்கிறது, சான்றிதழ் நம்பிக்கை ஏற்பாட்டைக் குறிக்கிறது. முகவரி இவற்றில் எதையும் குறிக்காது, அதனால்தான் முகவரி-மட்டும் பதிப்பு முதல் உலாவி எச்சரிக்கை வரை நீடிக்கிறது, பின்னர் அதைக் கிளிக் செய்து கடப்பது பழக்கமாகிறது.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
சான்றிதழ் வழங்கப்பட்ட பெயரை வைத்திருங்கள்
வாடிக்கையாளருக்கு NAS-இன் தனியார் முகவரிக்கு அனுமதிக்கப்பட்ட பாதை தேவை, தனியார் DNS ஏற்பாடு நோக்கமான ஹோஸ்ட்பெயரை அந்த முகவரிக்குத் தீர்க்க முடியும், அதே நேரத்தில் HTTPS சேவை எதிர்பார்க்கும் பெயரையும் பாதுகாக்கும். இரண்டு பகுதிகளும் முக்கியம்: பாதை பொதிகளை அங்கு கொண்டு சேர்க்கிறது, பெயர் வாடிக்கையாளருக்கு எந்த அடையாளத்தைச் சரிபார்க்க வேண்டும் என்பதைச் சொல்கிறது.
அதற்குப் பதிலாக எண் முகவரியைத் தட்டச்சு செய்வது அடையாளத் தேவையை மாற்றுகிறது. RFC 9525 வாடிக்கையாளர் தொடர்பு கொள்ள விரும்பும் பெயரை, சேவை வழங்கும் அடையாளத்திலிருந்து பிரிக்கிறது, எனவே nas.corp.example-க்கு வழங்கப்பட்ட சான்றிதழ், உலாவி 10.20.0.15-ஐ நோக்கித் திருப்பப்பட்டபோது சட்டப்பூர்வமாகத் தோல்வியடையலாம். எச்சரிக்கை சரியானது, தீர்வு பெயரே, விதிவிலக்கு அல்ல.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleசுரங்கப்பாதையைக் குறை சொல்வதற்கு முன் இரண்டையும் இயக்குங்கள். முதல் ஒன்று தனியார் பெயர் நீங்கள் நினைக்கும் இடத்தில் தீர்கிறதா என்பதைக் காட்டுகிறது, இரண்டாவது சேவை உண்மையில் எந்தச் சான்றிதழையும் எந்த மாற்று பொருள் பெயர்களையும் வழங்குகிறது என்பதைக் காட்டுகிறது. தனியார் CA முற்றிலும் நன்கு நிர்வகிக்கப்பட்ட தேர்வாக இருக்கலாம்; பழக்கமாகக் கூடாதது மக்களுக்கு அடையாள எச்சரிக்கைகளைப் புறக்கணிக்கக் கற்பிப்பதே.
நிர்வாகப் பாதையை வரம்பிடுங்கள்
நுழைவாயில் மற்றும் NAS இரண்டிலும், நோக்கமான மூலத்திலிருந்து சரியாக நிர்வாகச் சேவைக்கு அனுமதி அளியுங்கள். அந்த வாக்கியம் கடிக்கும் ஒரு விவரத்தை மறைக்கிறது: வழிமாற்றப்பட்ட வாடிக்கையாளர் குழு மற்றும் மூல மொழிபெயர்ப்பு செய்யும் நுழைவாயில் வெவ்வேறு மூல முகவரிகளுடன் NAS-ஐ அடைகின்றன, எனவே ஒன்றுக்கு எழுதப்பட்ட அனுமதி விதி மற்றொன்றுக்கு அமைதியாகத் தோல்வியடைகிறது.
NAS-க்கு திரும்பும் பாதையும் தேவை, உலாவி கட்டமைக்கப்பட்ட போர்ட்டையும் திட்டத்தையும் பயன்படுத்த வேண்டும், மன்ற இடுகையிலிருந்து எடுக்கப்பட்ட விற்பனையாளர் இயல்புநிலையை அல்ல. சாதனத்தை அடைவது அதன் ஒவ்வொரு போர்ட்டையும் அடையும் அனுமதி அல்ல. ping-க்கு பதிலளிக்கும் சாதனத்திற்கும் ஏற்றப்படும் நிர்வாகப் பக்கத்திற்கும் இடையிலான இடைவெளி இரண்டு தனித்தனி விதிகளுக்கு இடையிலான இடைவெளி. இரண்டு கருத்துகளுடன் இரண்டு விதிகளாக எழுதுங்கள், அடுத்த நபர் இரண்டும் ஏன் உள்ளன என்பதைப் பார்க்கட்டும்.
VPN அனுமதியை NAS சிறப்புரிமையிலிருந்து பிரிக்கவும்
சுரங்கப்பாதை வழியாக அனுமதிக்கப்படுவது சாதனத்தை நிர்வகிக்க அனுமதிக்கப்படுவதற்குச் சமம் அல்ல. கோப்புச் சேமிப்பு சட்டப்பூர்வமாகத் தேவைப்படும் பயனர், இரண்டும் ஒரே நுழைவாயிலுக்குப் பின்னால் இருப்பதால் சாதன நிர்வாகத்தை வாரிசாகப் பெறக்கூடாது, NAS-இன் கணக்கு மாதிரியே அந்தப் பிரிப்பைச் செயல்படுத்த வேண்டிய இடம்.
பகிரப்பட்ட அல்லது மொழிபெயர்க்கப்பட்ட வெளியேறும் முகவரியும் ஒரு தனிப்பட்ட நிர்வாகியை அடையாளம் காண முடியாது. தணிக்கைத் தடம் ஒரு நபரைப் பெயரிட வேண்டும் என்றால், அடையாளம் பலர் பயன்படுத்தும் சுரங்கப்பாதையின் மூல முகவரியிலிருந்து அல்ல, அங்கீகரிக்கப்பட்ட கணக்கிலிருந்து வர வேண்டும்.
தவறுதலாக எதை வெளியிடக்கூடாது
பொது தலைகீழ் ப்ராக்ஸி மற்றும் விற்பனையாளர் ரிலே இரண்டும் உண்மையான கட்டமைப்புகள், ஒவ்வொன்றும் அதன் சொந்த நம்பிக்கை மற்றும் வெளிப்பாட்டு முடிவுகளைக் கொண்டுள்ளன. நிர்வாகி வீட்டிலிருந்து வெளியே இருப்பதால் எதுவும் அவசியமாகாது, ஊடக சேவையகம் அல்லது கோப்புப் பகிர்வை வெளிப்படுத்துவதன் பக்கவிளைவாகவும் எதுவும் தோன்றக்கூடாது.
நான்கு விஷயங்களை ஆவணப்படுத்தி நிறுத்துங்கள்: தனியார் பெயர், அது வரைபடமாக்கப்படும் கேட்பான், அதைப் பயன்படுத்த அனுமதிக்கப்பட்ட குழு, சுரங்கப்பாதை கிடைக்காதபோது மீட்புப் பாதை. அந்த நான்கும் சம்பவ மறுஆய்வு கேட்கும் கேள்விகளுக்கும் பதிலளிக்கின்றன, இது போர்ட் பரிமாற்றப் பக்கத்தின் திரைப்பிடிப்புக்குப் பொருந்தாது. இறுதியில் உங்களிடம் ஒரு நிலையான நிர்வாக நுழைவுப் புள்ளி இருக்கும், ஒவ்வொரு அம்சமும் இணையத்தை நோக்கிய சாதனம் அல்ல.