จัดการ NAS ผ่าน VPN: เก็บชื่อไว้ ปล่อยพอร์ตสาธารณะไป
เข้าถึงหน้าจัดการผ่านอุโมงค์ ไม่ใช่ผ่านพอร์ตสาธารณะใหม่ แก้ชื่อจริงให้ได้ จับคู่ใบรับรองกับชื่อนั้น และอนุญาตบริการเดียวจากแหล่งเดียว
หน้าจัดการของ NAS ใช้งานได้ที่บ้านและหยุดทำงานในทันทีที่ผู้ดูแลเดินทางออกไป จึงมีคนเปิดพอร์ตและปัญหาก็หายไปพร้อมกับความเป็นส่วนตัว มีรูปแบบที่ดีกว่านี้ เก็บหน้าไว้ที่เดิม ให้อุโมงค์เป็นผู้มอบการเข้าถึง และทำให้สิ่งที่คุณบันทึกเป็น URL แบบเต็มที่มีเส้นทางการอนุญาตที่ตั้งชื่อไว้ ไม่ใช่ที่อยู่ของอุปกรณ์ที่บังเอิญตอบสนอง ทุกการตัดสินใจด้านล่าง ตั้งแต่ชื่อจนถึงใบรับรองและพอร์ตเดียวที่อนุญาต ล้วนมาจากการเขียนเช่นนั้น
หน่วยของการออกแบบคือ URL ไม่ใช่ที่อยู่
เขียนทางเข้าเป็น URL แบบเต็มพร้อมพอร์ตและสคีมา แล้วแนบเงื่อนไข: ใครใช้ได้ จากเครือข่ายใด และผ่านเส้นทางใด ตัวอย่างเช่น https://nas.corp.example:8443 ที่เผยแพร่เฉพาะไคลเอนต์ส่วนตัวที่ได้รับอนุมัติ โดยชื่อและพอร์ตเป็นตัวแทนของสิ่งที่อุปกรณ์ฟังอยู่จริง
กรอบนั้นบังคับให้ตัดสินใจตั้งแต่เนิ่น ๆ URL สื่อถึงชื่อ ชื่อสื่อถึงใบรับรอง และใบรับรองสื่อถึงข้อตกลงความเชื่อถือ ที่อยู่ไม่สื่อถึงสิ่งใดในนั้น และนั่นคือเหตุผลที่เวอร์ชันที่มีแต่ที่อยู่ยังอยู่ได้จนถึงคำเตือนแรกของเบราว์เซอร์ แล้วกลายเป็นนิสัยในการคลิกผ่าน
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
เก็บชื่อที่ใบรับรองออกให้ไว้
ไคลเอนต์ต้องการเส้นทางที่อนุญาตไปยังที่อยู่ส่วนตัวของ NAS และการตั้งค่า DNS ส่วนตัวสามารถแก้ชื่อโฮสต์ที่ต้องการไปยังที่อยู่นั้นพร้อมกับรักษาชื่อที่บริการ HTTPS คาดหวังไว้ ทั้งสองส่วนสำคัญ เส้นทางพาแพ็กเก็ตไปถึงที่นั่น ชื่อบอกไคลเอนต์ว่าต้องตรวจสอบตัวตนใด
การพิมพ์ที่อยู่แบบตัวเลขแทนจะเปลี่ยนข้อกำหนดด้านตัวตน RFC 9525 แยกชื่อที่ไคลเอนต์ตั้งใจจะติดต่อออกจากตัวตนที่บริการนำเสนอ ดังนั้นใบรับรองที่ออกให้ nas.corp.example จึงล้มเหลวได้อย่างชอบธรรมเมื่อเบราว์เซอร์ชี้ไปที่ 10.20.0.15 คำเตือนนั้นถูกต้อง และวิธีแก้คือชื่อ ไม่ใช่ข้อยกเว้น
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleรันทั้งสองคำสั่งก่อนตำหนิอุโมงค์ คำสั่งแรกแสดงว่าชื่อส่วนตัวแก้ได้ในที่ที่คุณคิดหรือไม่ และคำสั่งที่สองแสดงว่าใบรับรองและชื่อเรื่องทางเลือกใดที่บริการนำเสนอจริง CA ส่วนตัวอาจเป็นทางเลือกที่บริหารจัดการได้อย่างสมบูรณ์ สิ่งที่ไม่ควรกลายเป็นกิจวัตรคือการสอนให้ผู้คนเพิกเฉยต่อคำเตือนเรื่องตัวตน
จำกัดเส้นทางการจัดการ
อนุญาตบริการจัดการอย่างเจาะจงจากแหล่งที่ตั้งใจ ทั้งที่เกตเวย์และที่ NAS ประโยคนั้นซ่อนรายละเอียดที่กัด: พูลไคลเอนต์ที่ผ่านการกำหนดเส้นทางและเกตเวย์ที่แปลแหล่งที่มาจะมาถึง NAS ด้วยที่อยู่ต้นทางที่ต่างกัน กฎการอนุญาตที่เขียนไว้สำหรับอันหนึ่งจึงล้มเหลวอย่างเงียบ ๆ สำหรับอีกอัน
NAS ยังต้องการเส้นทางขากลับ และเบราว์เซอร์ต้องใช้พอร์ตและสคีมาที่กำหนดไว้ ไม่ใช่ค่าเริ่มต้นของผู้จำหน่ายจากโพสต์ในฟอรัม การเข้าถึงอุปกรณ์ไม่ใช่การอนุญาตให้เข้าถึงทุกพอร์ตของอุปกรณ์ ช่องว่างระหว่างอุปกรณ์ที่ตอบ ping กับหน้าจัดการที่โหลดขึ้นมาคือช่องว่างระหว่างกฎสองข้อที่แยกจากกัน เขียนเป็นสองกฎพร้อมสองความคิดเห็น เพื่อให้คนถัดไปเห็นว่าเหตุใดทั้งสองจึงมีอยู่
แยกการรับเข้า VPN ออกจากสิทธิ์ของ NAS
การได้รับอนุญาตให้ผ่านอุโมงค์ไม่เหมือนกับการได้รับอนุญาตให้จัดการอุปกรณ์ ผู้ใช้ที่ต้องการที่เก็บไฟล์อย่างชอบธรรมไม่ควรได้รับสิทธิ์จัดการอุปกรณ์เพราะทั้งสองอยู่หลังเกตเวย์เดียวกัน และโมเดลบัญชีของ NAS คือจุดที่ต้องบังคับใช้การแยกนั้น
ที่อยู่ขาออกที่ใช้ร่วมกันหรือถูกแปลก็ไม่สามารถระบุผู้ดูแลรายบุคคลได้ หากเส้นทางการตรวจสอบต้องระบุชื่อบุคคล ตัวตนต้องมาจากบัญชีที่ผ่านการรับรองความถูกต้อง ไม่ใช่จากที่อยู่ต้นทางของอุโมงค์ที่คนจำนวนมากใช้
สิ่งที่ไม่ควรเผยแพร่โดยไม่ตั้งใจ
พร็อกซีย้อนกลับสาธารณะและรีเลย์ของผู้จำหน่ายต่างเป็นสถาปัตยกรรมจริง และแต่ละอย่างมีความเชื่อถือและการเปิดเผยของตนเอง ไม่มีอันใดกลายเป็นสิ่งจำเป็นเพราะผู้ดูแลอยู่ห่างบ้าน และไม่มีอันใดควรปรากฏเป็นผลข้างเคียงของการเปิดเผยเซิร์ฟเวอร์สื่อหรือการแชร์ไฟล์
บันทึกสี่สิ่งแล้วหยุด: ชื่อส่วนตัว ผู้รับฟังที่มันแมปไปถึง กลุ่มที่ได้รับอนุญาตให้ใช้ และเส้นทางการกู้คืนหากอุโมงค์ไม่พร้อมใช้งาน สี่สิ่งนี้ยังตอบคำถามที่การทบทวนเหตุการณ์จะถาม ซึ่งไม่จริงสำหรับภาพหน้าจอของหน้าการส่งต่อพอร์ต สิ่งที่คุณได้ในที่สุดคือจุดเข้าสู่ระบบบริหารหนึ่งจุดที่มั่นคง ไม่ใช่อุปกรณ์ที่ทุกฟีเจอร์หันสู่อินเทอร์เน็ต