VPN orqali NAS boshqaruvi: nomni saqlang, ommaviy portdan voz keching
Boshqaruv sahifasiga tunnel orqali yeting, yangi ommaviy port orqali emas. Haqiqiy nomni aniqlang, sertifikatni unga moslang va bitta manbadan bitta xizmatga ruxsat bering.
NAS boshqaruv sahifasi uyda ishlaydi va administrator sayohatga chiqqan paytda ishlashdan to'xtaydi, shuning uchun kimdir port ochadi va muammo maxfiylik bilan birga yo'qoladi. Buning uchun yaxshiroq shakl bor. Sahifani o'z joyida qoldiring, tunnel yetib borishni ta'minlasin, va siz hujjatlashtirgan narsani tasodifan javob beradigan qurilma manzili emas, nomlangan ruxsat yo'li bo'lgan to'liq URL qiling. Quyidagi har bir qaror, nomdan sertifikat va yagona ruxsat etilgan portgacha, aynan shunday yozishdan kelib chiqadi.
Dizayn birligi — manzil emas, URL
Kirishni porti va sxemasi bilan to'liq URL sifatida yozing, so'ng shartlarni qo'shing: kim foydalanishi mumkin, qaysi tarmoqdan va qaysi yo'l bilan. Misol sifatida faqat tasdiqlangan xususiy mijozlarga e'lon qilinadigan https://nas.corp.example:8443 bo'lishi mumkin, bunda nom va port qurilma aslida tinglaydigan narsani ifodalaydi.
Bu ramka qarorlarni erta majbur qiladi. URL nomni, nom sertifikatni, sertifikat esa ishonch kelishuvini bildiradi. Manzil bulardan hech birini bildirmaydi, shuning uchun faqat manzilli versiya brauzerning birinchi ogohlantirishigacha yashaydi va keyin undan o'tib ketish odatiga aylanadi.
| Entry point | What it costs | When it fits |
|---|---|---|
| Private name over the tunnel | A private DNS zone and a certificate for that name | Administrators who already hold VPN access |
| Public reverse proxy | An exposed front end to patch and monitor | A documented, reviewed need for public reach |
| Vendor relay service | Trust in a third party path | A supported product design, not a workaround |
Sertifikat berilgan nomni saqlang
Mijozga NASning xususiy manziliga ruxsat etilgan marshrut kerak, xususiy DNS tartibi esa mo'ljallangan xost nomini shu manzilga hal qilishi va HTTPS xizmati kutgan nomni saqlab qolishi mumkin. Ikkala yarmi ham muhim: marshrut paketlarni u yerga yetkazadi, nom mijozga qaysi identifikatsiyani tekshirishni aytadi.
Buning o'rniga raqamli manzilni yozish identifikatsiya talabini o'zgartiradi. RFC 9525 mijoz bog'lanmoqchi bo'lgan nomni xizmat taqdim etadigan identifikatsiyadan ajratadi, shuning uchun nas.corp.example uchun berilgan sertifikat brauzer 10.20.0.15 manziliga yo'naltirilganda qonuniy ravishda muvaffaqiyatsiz bo'lishi mumkin. Ogohlantirish to'g'ri, va yechim — nom, istisno emas.
dig +short nas.corp.example
openssl s_client -connect nas.corp.example:8443 -servername nas.corp.exampleTunnelni ayblashdan oldin ikkalasini ham ishga tushiring. Birinchisi xususiy nom siz o'ylagan joyda hal bo'ladimi-yo'qmi ko'rsatadi, ikkinchisi xizmat aslida qaysi sertifikat va qaysi muqobil subyekt nomlarini taqdim etishini ko'rsatadi. Xususiy CA to'liq yaxshi boshqariladigan tanlov bo'lishi mumkin; odatga aylanmasligi kerak narsa — odamlarga identifikatsiya ogohlantirishlarini e'tiborsiz qoldirishni o'rgatish.
Boshqaruv yo'lini cheklang
Shlyuzda ham, NASda ham mo'ljallangan manbadan aynan boshqaruv xizmatiga ruxsat bering. Bu jumla tishlaydigan bir tafsilotni yashiradi: marshrutlangan mijozlar havzasi va manbani tarjima qiluvchi shlyuz NASga turli manba manzillari bilan yetib keladi, shuning uchun biri uchun yozilgan ruxsat qoidasi ikkinchisi uchun jimgina muvaffaqiyatsiz bo'ladi.
NASga qaytish yo'li ham kerak, brauzer esa forum postidan olingan ishlab chiqaruvchi standarti o'rniga sozlangan port va sxemadan foydalanishi shart. Qurilmaga yetish uning har bir portiga yetish ruxsati emas. Pingga javob beradigan qurilma va yuklanadigan boshqaruv sahifasi orasidagi farq ikki alohida qoida orasidagi farqdir. Ularni ikki izoh bilan ikki qoida sifatida yozing, keyingi odam ikkalasi nima uchun borligini ko'rsin.
VPN qabulini NAS imtiyozidan ajrating
Tunneldan o'tkazish qurilmani boshqarishga ruxsat berish bilan bir xil emas. Fayl saqlashga qonuniy muhtoj foydalanuvchi ikkalasi bitta shlyuz ortida yashaydi deb qurilma boshqaruvini meros olmasligi kerak, va NASning hisob modeli — bu ajratishni ta'minlash kerak bo'lgan joy.
Umumiy yoki tarjima qilingan chiqish manzili ham alohida administratorni aniqlay olmaydi. Agar audit izi shaxsni nomlashi kerak bo'lsa, identifikatsiya ko'pchilik ishlatadigan tunnelning manba manzilidan emas, autentifikatsiya qilingan hisobdan kelishi kerak.
Tasodifan nima e'lon qilinmasligi kerak
Ommaviy teskari proksi va ishlab chiqaruvchi releysi ikkalasi ham haqiqiy arxitekturalar va har biri o'z ishonch va ta'sir qilish qarorlarini olib yuradi. Hech biri administrator uydan uzoqda bo'lgani uchun zarur bo'lmaydi va hech biri media server yoki fayl almashinuvini ochishning yon ta'siri sifatida ko'rinmasligi kerak.
To'rt narsani hujjatlashtiring va to'xtang: xususiy nom, u bog'lanadigan tinglovchi, undan foydalanishga ruxsat berilgan guruh va tunnel mavjud bo'lmasa tiklash yo'li. Bu to'rttasi hodisani ko'rib chiqish so'raydigan savollarga ham javob beradi, bu esa port yo'naltirish sahifasining skrinshotiga to'g'ri kelmaydi. Oxirida sizda har bir funksiyasi internetga qaragan qurilma emas, bitta barqaror ma'muriy kirish nuqtasi bo'ladi.