NAS távoli elérés: céges fájlok biztonságosan otthonról

Ha a céges dokumentumok egy irodai NAS-on (Network Attached Storage, hálózati adattároló) vannak, előbb-utóbb felmerül, hogy otthonról vagy útközben is el kellene érni őket. A NAS távoli elérés többféleképpen megoldható, és a módszerek között nagy a különbség biztonságban és sebességben. Az alábbiakban végignézzük a lehetőségeket a QNAP eszközeinek példáján, és azt, hogyan érhetők el a céges fájlok biztonságosan otthonról is.

Miért kockázatos, ha a NAS nyitva áll az internet felé

A legkézenfekvőbbnek tűnő megoldás a porttovábbítás. Ezzel a router mögötti belső hálózat egy eszköze elérhetővé válik az internetről. A NAS minden szolgáltatása saját portot használ, ezért mindegyiket külön kell továbbítani:

• a webes kezelőfelület alapértelmezett portjai a 8080 és a 443;
• a fájlok Windows Fájlkezelőből, SMB (Server Message Block) protokollon át a 137, 138, 139 és 445-ös portot használják;
• az FTP (File Transfer Protocol, fájlátviteli protokoll) a 20-as és a 21-es portot.

Az irodán belül ez kisebb gond, mert a helyi hálózat eszközeiben meg lehet bízni. Az interneten viszont nem tudni, ki és milyen céllal próbálkozik a nyitott portokon. Minél több szolgáltatás érhető el kívülről, annál nagyobb a kockázat: a porttovábbítással a NAS az egész internet felé láthatóvá válik, és könnyebben támadható. Ezért a cél az, hogy a lehető legkevesebb szolgáltatás legyen kívülről elérhető.

A közvetlen eléréshez a routernek nyilvános IP-címre (Internet Protocol) van szüksége, ez lehet fix vagy dinamikus. Az internetszolgáltatók ezt általában csak felárért adják, ezért érdemes előre megkérdezni, mit tartalmaz az előfizetés.

A NAS távoli elérés három fő módja

Gyártói felhőszolgáltatás. A QNAP megoldása a myQNAPcloud, amellyel az interneten át lehet kapcsolódni a NAS-hoz. Előbb egy QNAP ID nevű fiókot kell létrehozni az account.qnap.com oldalon, aztán a NAS-on bekapcsolni a myQNAPcloud szolgáltatást, és a készüléket a fiókhoz rendelni. Ezután a NAS a myQNAPcloud weboldalán vagy a hozzá generált SmartURL címen érhető el, a QNAP mobilalkalmazásaiba pedig a QNAP ID-val lehet belépni. Előnye az egyszerűség. Hátránya, hogy a myQNAPcloud Link kapcsolat lassabb a közvetlen elérésnél, ami főleg videó, zene és nagy felbontású képek távoli megnyitásánál érezhető.

Közvetlen elérés nyilvános IP-címen. Ez általános módszer, nemcsak QNAP eszközökkel működik, és gyorsabb a myQNAPcloud Linknél. Cserébe a NAS szolgáltatásainak portjait továbbítani kell, ami a fent leírt kockázattal jár. Ha mégis így készül a beállítás, az alapértelmezett rendszerportot érdemes nem alapértelmezettre, például 27015-re cserélni.

VPN (Virtual Private Network, virtuális magánhálózat). A VPN-kapcsolatban a távoli gép úgy működik, mintha a helyi hálózaton lenne, így a NAS összes szolgáltatása elérhető anélkül, hogy azok portjait egyenként továbbítani kellene. A protokolltól függően egy-három portot kell nyitni, a WireGuard protokollnak egyetlen port elég. Ha a router tud VPN-szolgáltatást, érdemes azt használni, mert azon át a belső hálózat bármely eszköze elérhető. Ha nem tud, a NAS saját VPN-szolgáltatása (a QNAP-nál a QVPN) is megfelelő, és ilyenkor csak ennek a portját kell továbbítani, a rendszerportot nem.

VPN a NAS-on: a beállítás lépései

QNAP NAS-on a WireGuard VPN-szerver beállítása a következő sorrendben történik:

1. A QVPN Service telepítése a NAS-ra.
2. A WireGuard VPN-szerver beállítása; a figyelő portot jegyezzük fel, ez alapból az 51820.
3. VPN-jogosultság megadása azoknak a NAS-felhasználóknak, akik távolról dolgoznak.
4. A QuFirewall tűzfalban szabály, amely engedélyezi a VPN-kapcsolatokat.
5. A WireGuard kliens kipróbálása még a helyi hálózaton, hogy a kapcsolat felépül-e.
6. Porttovábbítás a routeren: a speciális beállítások között a „Port forwarding” vagy „Virtual server” menüben meg kell adni a NAS IP-címét, a portszámot és a protokollt, majd aktiválni és alkalmazni a beállítást.
7. A kapcsolat felépítése a WireGuard klienssel, már kívülről.

A routerek kezelőfelülete gyártónként és típusonként eltér, ezért a menüpont neve is más lehet. A QVPN alapértelmezett szolgáltatási portja az UDP (User Datagram Protocol) 443; ezt is érdemes nem alapértelmezett portra cserélni, például 27015-re.

Mire figyeljünk céges használatnál

• Csak az kapjon VPN-jogosultságot, akinek valóban távolról kell dolgoznia, és a kilépő munkatársak fiókját azonnal le kell tiltani.
• A NAS rendszerét és alkalmazásait rendszeresen frissíteni kell, mert a távolról elérhető eszköznél ez különösen fontos.
• A távoli elérés nem helyettesíti a mentést. A RAID egy lemez meghibásodása ellen véd, de egy véletlen törlés, egy zsarolóvírus vagy egy túlfeszültség ellen nem, ezért a NAS tartalmáról külön mentés is kell.
• Ha a router régi, vagy nem tud VPN-t, érdemes az irodai hálózat és wifi állapotát is átnézni, mielőtt a NAS-t kinyitjuk a távoli munkához.

Így állítjuk be a NAS távoli elérését

Synology és QNAP eszközöket telepítünk és állítunk be, az első indítástól a távoli elérésig. A biztonságos elérést otthonról vagy útközben úgy állítjuk be, hogy a NAS ne legyen nyitva az egész internet felé. Közben beállítjuk a felhasználókat, a közös mappákat és a jogosultságokat, valamint az automatikus mentést a számítógépekről és a telefonokról, és a NAS tartalmának mentését egy második helyre is.

Meglévő NAS-t is átnézünk, frissítünk és biztonságosan beállítunk; ez sokszor távolról is elvégezhető. Előbb egyeztetünk, hogy helyszínen vagy távolról dolgozunk-e, aztán beállítunk, és ellenőrizzük, hogy minden úgy működik, ahogy kell. A végén érthetően elmagyarázzuk, mi okozta a gondot, és hogyan kerülhető el legközelebb. A munka díja a cikk írásakor 15.000 Ft / óra.

A NAS-okkal kapcsolatos munkáinkat a NAS beállítás oldalon mutatjuk be.

Kép: Wikimedia Commons, forrás

Forrás: NAS távoli elérés: a céges fájlok biztonságosan, otthonról is (Hivatalos dokumentáció: docs.qnap.com, www.qnap.com)