Zapewnienie bezpieczeństwa NAS i aplikacji

CELE KURSU

Po ukończeniu tego kursu będziesz w stanie:

1. żywać odwrotnej domeny proxy, aby zabezpieczyć bezpieczne połączenie wielu serwerów NAS.
2. Używać odwrotnej domeny proxy, aby poprawić bezpieczeństwo połączenia HTTPS aplikacji.

WYMAGANIA WSTĘPNE

Wymagania wstępne kursu:

NAS 324: Używanie protokołu HTTPS do zabezpieczania komunikacji NAS

Od studentów oczekuje się praktycznej wiedzy w zakresie:

HTTP/HTTPS

AGENDA

1. Wstęp do odwrotnych serwerów proxy

2. Ochrona połączeń wielu urządzeń NAS

2.1 Dodawanie domen proxy

2.2 Dodawanie reguł do istniejących domen proxy

3. Aktualizacja zabezpieczeń aplikacji NAS

3.1 Konfigurowanie odwrotnych serwerów proxy do pracy z Jellyfin

3.2 Konfigurowanie ownCloud do pracy z odwrotnymi serwerami proxy

3.3 Konfiguracja połączenia HTTPS w Syncthing

3.4 Konfigurowanie Nextcloud do pracy z odwrotnymi serwerami proxy

3.5 Konfiguracja połączenia HTTPS w Plex Web

4. Edytowanie domen i reguł proxy

4.1 Edycja lub usuwanie domeny proxy

4.2 Edycja lub usuwanie reguły domeny proxy

1. Wstęp do odwrotnych serwerów proxy

Przeglądanie sieci staje się coraz bezpieczniejsze. Większość aplikacji na ASUSTOR NAS korzysta z przeglądarki internetowej w celu zapewnienia funkcjonalności, ale niekoniecznie obsługuje protokół HTTP Secure.
Odwrotne serwery proxy pomagają klientom dostarczać informacje internetowe, jednocześnie chroniąc bezpieczeństwo przesyłanych danych. Odwrotne serwery proxy na serwerze ASUSTOR NAS, który posiada ważny certyfikat HTTPS, chronią dane przesyłane przez zewnętrzne połączenie HTTPS.
ADM 3.5.2 dodaje nową funkcję odwrotnych serwerów proxy. Odwrotne serwery proxy są używane do implementacji połączeń HTTPS w treściach lub aplikacjach internetowych, które w przeciwnym razie nie byłyby chronione. Ustaw nazwę domeny na serwerze NAS, na którym ma być włączony odwrotny serwer proxy. I złóż wniosek o certyfikat prawny, zapoznaj się z metodą ustawiania:
NAS 324: Używanie protokołu HTTPS do zabezpieczania komunikacji NAS

2. Ochrona połączeń wielu urządzeń NAS

Gdy konfigurujesz wiele serwerów NAS w tej samej sieci lokalnej i chcesz bezpiecznie połączyć się z serwerem NAS z zewnątrz za pomocą protokołu HTTPS, włącz funkcję ADM i użyj odwrotnego serwera proxy jednego z serwerów NAS, aby zabezpieczyć bezpieczne połączenie wielu serwerów NAS. Nie jest konieczne otwieranie wszystkich NAS do sieci zewnętrznej i ubieganie się o różne nazwy domen.

2.1 Dodawanie domen proxy

Aby używać legalnej domeny tego serwera NAS do logowania się do ADM innego serwera NAS za pomocą protokołu HTTPS, należy najpierw dodać domeny proxy.

Krok 1

• Kliknij Reverse Proxy w Preferencjach ADM.

Krok 2

• Kliknij Dodaj na stronie odwrotnego proxy.
• Utwórz nową domenę proxy i kliknij Dalej.

Krok 3

• Wprowadź nazwę, aby ułatwić identyfikację tej domeny proxy. Przykład: ASUSTOR NAS ADM
• Wybierz HTTPS i nazwę serwera.
• Wprowadź nieużywany port komunikacyjny. Przykład: 8880
• Wybierz interfejs sieciowy do użycia.
• Wprowadź ścieżkę tej reguły domeny proxy. Przykład: /as6602t
• Włącz przekierowanie portów i naciśnij Dalej.

Uwaga: jeśli w tej domenie proxy jest tylko jedna usługa, ścieżka może zawierać tylko znak „/”. Jeśli chcesz dodać inne reguły, możesz użyć opcji Edytuj, aby dodać ścieżkę dla pierwszej reguły.

Krok 4

• Wprowadź nazwę, aby łatwo zidentyfikować reguły domeny.
• Wybierz HTTP i wprowadź adres LAN domeny proxy. Przykład: [192.168.xxx.xxx].
• Wprowadź port domeny proxy. Przykład: 8000 (port logowania HTTP ADM).
• Wprowadź ścieżkę, jeśli domena proxy ma określoną ścieżkę. Logowanie ADM nie wymaga określonej ścieżki, wystarczy ukośnik (/).
• Kliknij opcję Testuj Połączenie, aby sprawdzić, czy powyższe informacje o domenie proxy są poprawne i czy adres URL wymaga ścieżki przekierowania. Kliknij Następny.

Krok 5

• Potwierdź, czy zestaw informacji jest poprawny i kliknij Zakończ.

• Po zakończeniu będziesz mógł zobaczyć informacje o domenie proxy na stronie odwrotnego proxy.

Krok 6

• Wpisz swoją domenę proxy w przeglądarce internetowej. Odwrotny serwer proxy poprowadzi połączenie do http://192.168.xxx.xxx:8000/.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z innym serwerem NAS i zalogować się do ADM. Użyj tej samej nazwy domeny MyASUSTOR, aby zalogować się do oryginalnego serwera NAS lub dodaj skonfigurowany port i ścieżkę, aby zalogować się do innego serwera NAS, aby zabezpieczyć to połączenie za pomocą protokołu HTTPS z ważnym certyfikatem HTTPS.
  Odwrotne serwery proxy mogą być używane do otwierania ADM i logowania się do innego NAS za pomocą HTTPS. Po zalogowaniu inne usługi i aplikacje będą musiały ustawić własne porty odwrotnego proxy, aby poprawnie korzystać z potrzebnych usług i aplikacji w bezpiecznym połączeniu.

W Chrome:

W Firefox:

2.2 Dodawanie reguł do istniejących domen proxy

Do istniejącej domeny proxy można dodać dodatkowe reguły, aby użyć innej ścieżki do otwarcia innej usługi. Te instrukcje pokazują, jak dodać regułę odwrotnego proxy, aby zalogować się do ADM innego serwera NAS w domenie dodanej w poprzednim rozdziale.

Krok 1

• Kliknij Dodaj na stronie Reverse Proxy.
• Kliknij Dodaj, aby dodać regułę do istniejącej domeny proxy. Kliknij Następny.

Krok 2

• Wybierz domenę proxy, do której chcesz dodać regułę, na przykład: [https://yourddns.myasustor.com:8880].
• Wprowadź ścieżkę nowej reguły, na przykład: /as5304t, kliknij Dalej.

Uwaga: Ponieważ ta funkcja służy do dodawania reguł do istniejącej domeny proxy, nazwa domeny i port domeny proxy nie mogą zostać zmienione podczas tego procesu, ale należy wprowadzić inną ścieżkę.

Krok 3

• Wprowadź nazwę, aby łatwo zidentyfikować regułę domeny dla odwrotnego serwera proxy. Przykład: AS5304T.
• Wybierz HTTP i wprowadź adres LAN domeny proxy. Przykład: [192.168.xx.xx].
• Wprowadź port domeny proxy. Przykład: 8000 (port logowania HTTP ADM).
• Wprowadź ścieżkę, jeśli domena proxy ma określoną ścieżkę. Logowanie ADM nie wymaga określonej ścieżki, wystarczy ukośnik (/).
• Kliknij opcję Testuj połączenie, aby sprawdzić, czy powyższe informacje o domenie proxy zostały pomyślnie połączone i czy jej adres URL wymaga ścieżki przekierowania. Kliknij Następny.

Krok 4

• Potwierdź, czy zestaw informacji jest poprawny i kliknij Zakończ.

• Po zakończeniu informacje o domenie proxy będą widoczne na stronie odwrotnego proxy.

Krok 5

• Na przykład wprowadzenie tej domeny proxy zgodnie z poniższym obrazkiem spowoduje, że odwrotne proxy [https://yourddns.myasustor.com:8880/as5304t/] przekieruje połączenie do [http://192.168.xx.xx:8000 /].
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z innym nowo dodanym serwerem NAS i zalogować się do ADM.

W Chrome:

W Firefox:

3. Aktualizacja zabezpieczeń aplikacji NAS

Aplikacje, które nie mogą korzystać z protokołu HTTPS na serwerze NAS, mogą korzystać z odwrotnego serwera proxy, aby umożliwić zdalne połączenia HTTPS. W tym rozdziale przedstawiono kilka aplikacji, które wymagają określonych portów komunikacyjnych i nie mogą bezpośrednio korzystać z certyfikatu HTTPS zainstalowanego na serwerze NAS.

3.1 Konfigurowanie odwrotnych serwerów proxy do pracy z Jellyfin

Jellyfin w wersji Docker nie korzysta z domyślnego serwera WWW NAS. W celu obsługi zdalnych połączeń HTTPS należy skonfigurować serwer reverse proxy. Po złożeniu przez NAS wniosku o ważny certyfikat HTTPS, można teraz użyć serwera reverse proxy do skonfigurowania połączenia HTTPS Jellyfin.

Krok 1

• Kliknij Dodaj na stronie odwrotnego proxy.
• Utwórz nową domenę proxy i kliknij Dalej.

Krok 2

• Wprowadź nazwę, aby ułatwić identyfikację tej domeny proxy. Przykład: Jellyfin HTTPS
• Wybierz HTTPS i nazwę serwera. Przykład: [twójddns.myasustor.com].
• Wprowadź nieużywany numer portu. Musi też różnić się od oryginalnego portu komunikacyjnego Jellyfin. Przykład: 8196
• Wybierz interfejs sieciowy. Wybierz gwiazdkę jako domyślną.
• Wprowadź ścieżkę tej reguły domeny proxy lub pozostaw ukośnik (/). Włącz przekierowanie portów i kliknij Dalej.

Krok 3

• Opcjonalnie: wprowadź nazwę, aby łatwo zidentyfikować regułę domeny dla odwrotnego serwera proxy.
• Wybierz HTTP i wprowadź adres IP sieci LAN serwera NAS. Przykład: [192.168.xx.xx].
• Wprowadź port domeny proxy. Przykład: 8096 (port HTTP Jellyfin).
• Jeśli aplikacja domeny proxy ma określoną ścieżkę, wprowadź ją, w przeciwnym razie wpisz ukośnik (/).
• Kliknij opcję Testuj Połączenie, aby sprawdzić, czy powyższe informacje o domenie proxy zostały pomyślnie połączone i czy jej adres URL wymaga ścieżki przekierowania. Kliknij Następny.

Krok 4

• Potwierdź, czy zestaw informacji jest poprawny i kliknij Zakończ.

• Po zakończeniu informacje o domenie proxy będą widoczne na stronie odwrotnego proxy.

Krok 5

• Weźmy tę domenę proxy jako przykład, wprowadź [https://yourddns.myasustor.com:8196/] w przeglądarce internetowej, a odwrotny serwer proxy przekieruje połączenie do [http://192.168.xx.xxx:8096/], który jest lokalnym adresem URL Jellyfin.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z Jellyfin zainstalowanym na tym serwerze NAS i zalogować się.

W Chrome:

W Firefox:

3.2 Konfigurowanie ownCloud do pracy z odwrotnymi serwerami proxy

Wersja Docker ownCloud nie korzysta z domyślnego serwera WWW NAS. W celu obsługi połączeń zdalnych HTTPS należy skonfigurować serwer reverse proxy. Po uzyskaniu przez serwer NAS ważnego certyfikatu HTTPS można użyć serwera reverse proxy do skonfigurowania połączenia HTTPS ownCloud.

Krok 1

• Kliknij Dodaj na stronie odwrotnego proxy.
• Utwórz nową domenę proxy i kliknij Dalej.

Krok 2

• Wprowadź nazwę, aby ułatwić identyfikację tej domeny proxy. Przykład: ownCloud HTTPS
• Wybierz HTTPS i nazwę serwera. Przykład: [twójddns.myasustor.com].
• Wprowadź nieużywany numer portu. Musi też różnić się od oryginalnego portu komunikacyjnego ownCloud. Przykład: 32882
• Wybierz interfejs sieciowy. Wybierz gwiazdkę jako domyślną.
• Wprowadź ścieżkę tej reguły domeny proxy lub pozostaw ukośnik (/). Włącz przekierowanie portów i kliknij Dalej.

Krok 3

• Opcjonalnie: wprowadź nazwę, aby łatwo zidentyfikować regułę domeny dla odwrotnego serwera proxy.
• Wybierz HTTP i wprowadź adres IP sieci LAN serwera NAS. Przykład: [192.168.xx.xx].
• Wprowadź port domeny proxy. Przykład: 32880 (port HTTP ownCloud).
• Jeśli aplikacja domeny proxy ma określoną ścieżkę, wprowadź ją, w przeciwnym razie wpisz ukośnik (/).
• Kliknij opcję Testuj Połączenie, aby sprawdzić, czy powyższe informacje o domenie proxy zostały pomyślnie połączone i czy jej adres URL wymaga ścieżki przekierowania. Kliknij Następny.

Krok 4

• Potwierdź, czy zestaw informacji jest poprawny i kliknij Zakończ.

• Po zakończeniu informacje o domenie proxy będą widoczne na stronie odwrotnego proxy.

Krok 5

ownCloud ma ścisłe ograniczenia dotyczące domen, do których może uzyskać dostęp. Podczas konfigurowania serwera reverse proxy dla ownCloud, należy dodać tę domenę do konfiguracji ownCloud "trusted_domains" do normalnego użytku.

• Pobierz /share/Docker/ownCloud/data/config/config.php na swój komputer, zmień nazwę pliku na "zz-user.config.php", a następnie otwórz edytor tekstu, aby go edytować.
• Zachowaj tylko ustawienie "trusted_domains" w pliku zz-user.config.php i dodaj domenę serwera reverse proxy NAS, [ 1 => "yourddns.myasustor.com", ] do zawartości, a następnie zarchiwizuj.

  

• Prześlij edytowany plik zz-user.config.php do folderu NAS [/share/Docker/ownCloud/data/config/].

  

Krok 6

• Weźmy tę domenę proxy jako przykład, wprowadź [https://yourddns.myasustor.com:32882/] w przeglądarce internetowej, a odwrotny serwer proxy przekieruje połączenie do [http://192.168.xx.xxx:32880/], który jest lokalnym adresem URL ownCloud.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z ownCloud zainstalowanym na tym serwerze NAS i zalogować się.

W Chrome:

W Firefox:

3.3 Konfiguracja połączenia HTTPS w Syncthing

Syncthing w wersji Docker nie korzysta z domyślnego serwera internetowego NAS. W celu obsługi połączeń zdalnych HTTPS należy skonfigurować serwer odwrotnego proxy. Po złożeniu przez NAS wniosku o ważny certyfikat HTTPS można teraz użyć serwera proxy do skonfigurowania połączenia HTTPS Syncthing.

Uwaga: W tym przykładzie do dodania reguł używana jest istniejąca domena proxy i nie ma potrzeby ustawiania dodatkowego portu. Użytkownicy mogą również użyć opcji „Utwórz nową domenę proxy” i dodać kolejny port, aby skonfigurować odwrotne proxy dla Portainer.

Krok 1

• Kliknij Dodaj na stronie Reverse Proxy.
• Kliknij Dodaj, aby dodać regułę do istniejącej domeny proxy. Kliknij Następny.

Krok 2

• Wybierz domenę proxy, do której chcesz dodać regułę, na przykład: [https://yourddns.myasustor.com:18862].
• Wprowadź ścieżkę nowej reguły, na przykład: /syncthing, kliknij Dalej.

Uwaga: Ponieważ ta funkcja służy do dodawania reguł do istniejącej domeny proxy, nazwa domeny i port domeny proxy nie mogą zostać zmienione podczas tego procesu, ale należy wprowadzić inną ścieżkę.

Krok 3

• Wprowadź nazwę, aby ułatwić identyfikację tej domeny proxy. Przykład: Syncthing
• Wybierz HTTP i wprowadź adres IP sieci LAN serwera NAS. Przykład: [192.168.xx.xxx].
• Wprowadź port domeny proxy. Przykład: 28384 (port HTTP Syncthing).
• Jeśli aplikacja domeny proxy ma określoną ścieżkę, wprowadź ją, w przeciwnym razie wpisz ukośnik (/).
• Kliknij opcję Testuj połączenie, aby sprawdzić, czy powyższe informacje o domenie proxy zostały pomyślnie połączone i czy jej adres URL wymaga ścieżki przekierowania. Kliknij Następny.

Krok 4

• Potwierdź, czy zestaw informacji jest poprawny i kliknij Zakończ.

• Po zakończeniu informacje o domenie proxy będą widoczne na stronie odwrotnego proxy.

Krok 5

• Weźmy tę domenę proxy jako przykład, wprowadź [https://yourddns.myasustor.com:18862/syncthing/] w przeglądarce internetowej, a odwrotny serwer proxy poprowadzi połączenie do [http://192.168.xx.xxx :28384/], który jest lokalnym adresem URL firmy Syncthing.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z Syncthing zainstalowanym na tym serwerze NAS i zalogować się.

W Chrome:

W Firefox:

3.4 Konfigurowanie Nextcloud do pracy z odwrotnymi serwerami proxy

Domyślne odwrotne proxy dla Nextcloud zostało dodane w ADM 4.1, użytkownicy nie muszą już konfigurować go samodzielnie, jeśli NAS został zaktualizowany do ADM 4.1.0 lub nowszej wersji.
Obecnie domyślne odwrotne proxy nie może zezwalać użytkownikom na dodawanie nowych reguł.

• Weźmy tę domenę proxy jako przykład, wprowadź [https://yourddns.myasustor.com:8622/nextcloud-docker/] w przeglądarce internetowej, a odwrotny serwer proxy przekieruje połączenie do [http://192.168.xx.xxx:32680/], który jest lokalnym adresem URL Nextcloud.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z Nextcloud zainstalowanym na tym serwerze NAS i zalogować się.

W Chrome:

W Firefox:

3.5 Konfiguracja połączenia HTTPS w Plex Web

Domyślne odwrotne proxy dla Plex Media Server zostało dodane w ADM 4.1, użytkownicy nie muszą już konfigurować go samodzielnie, jeśli NAS został zaktualizowany do ADM 4.1.0 lub nowszego.
Obecnie domyślne odwrotne proxy nie może zezwalać użytkownikom na dodawanie nowych reguł.

• Weźmy tę domenę proxy jako przykład, wprowadź [https://yourddns.myasustor.com:8622/plexmediaserver/] w przeglądarce internetowej, a odwrotny serwer proxy przekieruje połączenie do [https://192.168.xx.xxx:32400/], który jest lokalnym adresem URL Plex Media Server.
• Użyj adresu URL HTTPS tej domeny proxy z zewnątrz, aby połączyć się z Plex Media Server zainstalowanym na tym serwerze NAS i zalogować się.

W Chrome:

W Firefox:

4. Edytowanie domen i reguł proxy

4.1 Edycja lub usuwanie domeny proxy

• Po wybraniu domeny proxy kliknij Edytuj, aby edytować nazwę, protokół sieciowy, nazwę serwera i/lub port odwrotnej domeny proxy. Po edycji domeny proxy wszystkie reguły w tej domenie proxy zostaną odpowiednio zmienione.
• Kliknij Usuń, aby usunąć domenę proxy i poniższe reguły.

4.2 Edycja lub usuwanie reguły domeny proxy

• Na stronie Reverse Proxy kliknij domenę proxy, aby rozwinąć reguły domeny proxy. Po wybraniu reguły kliknij Edytuj, aby edytować protokół sieciowy domeny odwrotnego proxy na stronie domeny proxy. Na tej stronie możesz edytować nazwę, protokół sieciowy, nazwę hosta, port i ścieżkę reguły, a także włączać i wyłączać reguły domeny proxy.
• Kliknij Usuń, aby usunąć tę regułę domeny proxy, a usunięcie ostatniej reguły spowoduje usunięcie jej domeny proxy.

• Jeśli chcesz tymczasowo wyłączyć połączenie zwrotnego serwera proxy, możesz wyłączyć regułę domeny zwrotnego serwera proxy na stronie edycji reguł zamiast usuwać tymczasowo wyłączoną regułę.