VPN üzerinden NAS yönetimi: adı koruyun, genel portu bırakın
Yönetim sayfasına tünelden ulaşın, yeni bir genel porttan değil. Gerçek adı çözün, sertifikayı ona uygun hale getirin ve tek bir kaynaktan tek bir hizmete izin verin.
NAS yönetim sayfası evde çalışır ve yönetici yola çıktığı anda çalışmayı bırakır, bu yüzden biri bir port açar ve sorun mahremiyetle birlikte ortadan kalkar. Bunun için daha iyi bir biçim var. Sayfayı olduğu yerde bırakın, erişilebilirliği tünel sağlasın ve belgelediğiniz şeyi, rastlantıyla yanıt veren bir cihaz adresi değil, adlandırılmış izin yolu olan tam bir URL yapın. Aşağıdaki her karar, addan sertifikaya ve izin verilen tek porta kadar, bunu böyle yazmaktan doğar.
Tasarım birimi bir URL'dir, adres değil
Girişi portu ve şemasıyla tam bir URL olarak yazın, ardından koşulları ekleyin: kimin kullanabileceği, hangi ağdan ve hangi yoldan. Bir örnek, yalnızca onaylanmış özel istemcilere yayımlanan https://nas.corp.example:8443 olabilir; burada ad ve port, cihazın gerçekte dinlediği şeyi temsil eder.
Bu çerçeve kararları erken zorunlu kılar. Bir URL bir adı, bir ad bir sertifikayı, bir sertifika da bir güven düzenlemesini gerektirir. Bir adres bunların hiçbirini gerektirmez ve tam da bu yüzden yalnızca adres içeren sürüm, ilk tarayıcı uyarısına kadar yaşar ve ardından onu tıklayıp geçme alışkanlığına dönüşür.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Sertifikanın düzenlendiği adı koruyun
İstemcinin NAS'ın özel adresine izin verilen bir yola ihtiyacı vardır ve özel bir DNS düzenlemesi, HTTPS hizmetinin beklediği adı korurken amaçlanan ana bilgisayar adını o adrese çözebilir. Her iki yarı da önemlidir: yol paketleri oraya ulaştırır, ad istemciye hangi kimliğin doğrulanacağını söyler.
Bunun yerine sayısal adresi yazmak kimlik gereksinimini değiştirir. RFC 9525, istemcinin iletişim kurmak istediği adı bir hizmetin sunduğu kimlikten ayırır, bu yüzden nas.corp.example için düzenlenmiş bir sertifika, tarayıcı 10.20.0.15 adresine yönlendirildiğinde haklı olarak başarısız olabilir. Uyarı doğrudur ve çözüm istisna değil addır.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleTüneli suçlamadan önce ikisini de çalıştırın. Birincisi özel adın düşündüğünüz yerde çözülüp çözülmediğini, ikincisi hizmetin gerçekte hangi sertifikayı ve hangi alternatif konu adlarını sunduğunu gösterir. Özel bir CA tamamen iyi yönetilen bir seçim olabilir; alışkanlık haline gelmemesi gereken şey, insanlara kimlik uyarılarını yok saymayı öğretmektir.
Yönetim yolunu sınırlayın
Hem ağ geçidinde hem de NAS'ta, amaçlanan kaynaktan tam olarak yönetim hizmetine izin verin. O cümle ısıran bir ayrıntıyı saklar: yönlendirilmiş bir istemci havuzu ve kaynak çevirisi yapan bir ağ geçidi NAS'a farklı kaynak adreslerle ulaşır, bu yüzden biri için yazılmış izin kuralı diğeri için sessizce başarısız olur.
NAS'ın ayrıca dönüş yoluna ihtiyacı vardır ve tarayıcı, forum gönderisinden alınan üretici varsayılanı yerine yapılandırılmış portu ve şemayı kullanmalıdır. Cihaza ulaşmak, onun her portuna ulaşma izni değildir. Ping'e yanıt veren bir cihaz ile yüklenen bir yönetim sayfası arasındaki boşluk, iki ayrı kural arasındaki boşluktur. Bunları iki yorumlu iki kural olarak yazın, böylece sonraki kişi ikisinin de neden var olduğunu görsün.
VPN kabulünü NAS ayrıcalığından ayırın
Tünelden geçirilmek, cihazı yönetmeye izin verilmesiyle aynı şey değildir. Dosya depolamaya meşru olarak ihtiyaç duyan bir kullanıcı, ikisi de tek bir ağ geçidinin arkasında yaşadığı için cihaz yönetimini miras almamalıdır ve NAS'ın hesap modeli bu ayrımın uygulanması gereken yerdir.
Paylaşılan veya çevrilmiş bir çıkış adresi de tek bir yöneticiyi tanımlayamaz. Denetim izinin bir kişiyi adlandırması gerekiyorsa, kimlik birçok kişinin kullandığı bir tünelin kaynak adresinden değil, kimliği doğrulanmış bir hesaptan gelmelidir.
Yanlışlıkla neler yayımlanmamalı
Genel bir ters vekil sunucu ve üretici aktarımı ikisi de gerçek mimarilerdir ve her biri kendi güven ve maruz kalma kararlarını taşır. Hiçbiri bir yönetici evden uzakta olduğu için gerekli hale gelmez ve hiçbiri bir medya sunucusunun veya dosya paylaşımının açığa çıkarılmasının yan etkisi olarak ortaya çıkmamalıdır.
Dört şeyi belgeleyin ve durun: özel ad, eşlendiği dinleyici, kullanmasına izin verilen grup ve tünel kullanılamıyorsa kurtarma yolu. Bu dördü, bir olay incelemesinin soracağı soruları da yanıtlar; bu, bir port yönlendirme sayfasının ekran görüntüsü için geçerli değildir. Sonunda elinizde her özelliği internete bakan bir cihaz değil, tek ve istikrarlı bir yönetim giriş noktası kalır.