NAS購入者向けポート転送リスク評価

NASは、セットアップウィザードでルーターポートを開放できるというだけで、購入を推奨できるものではありません。ポートフォワーディングによって、指定したサービスがインターネットスキャナーから到達可能になるため、購入者はアプリケーション、認証、更新経路、ルーターの制御、監視、復旧を1つのシステムとして評価する必要があります。

誰が何にアクセスできる必要があるかを定義する

各リモートワークフローを一覧にします。ファイルアクセス、写真共有、メディア再生、モバイルバックアップ、管理、SSHなどが該当します。ユーザー、デバイスの種類、プロトコル、そして各デバイスでVPNクライアントを実行できるかどうかを記録します。

家族が利用するアプリケーションを、NASのコントロールパネルやストレージプロトコルから分離します。ルーターがルールを受け付けるからといって、SMB、NFS、SSH、ハイパーバイザーのインターフェース、NAS管理画面を公開してはいけません。

インターネット接続にパブリックアドレスが割り当てられているか、CGNATの背後にあるかを確認します。ISPの経路が対応していない、または文書化されていない回避策が必要なポートフォワーディング機能に、購入者は料金を支払うべきではありません。

公開範囲と保守の負担を評価する

転送を予定しているすべての項目について、待ち受けサービス、ソフトウェアの管理者、更新頻度、認証方式、多要素認証の対応、TLS終端、レート制限、ロックアウトの動作、ログの保存先を確認します。外部ポートを変更しても、そのサービスがスキャン対象から外れるわけではありません。

UPnP、自動ルーター設定、DMZモード、デフォルトアカウント、ベンダーリレーの動作、ルーター交換後もルールが表示され続けるかどうかを確認します。最も安全な構成は、明示的で範囲が限定され、元に戻せて、監査しやすいものです。

この表を使って、NASを購入する前にリモートアクセスの設計が要件を満たすか判断します。

転送を承認する前に、より安全なアクセス方式を比較する

プライベートVPNまたはメッシュVPNを使えば、アプリケーションの待ち受けポートをパブリックインターネットから切り離し、信頼できるデバイスを登録できます。管理者や、管理対象のスマートフォンとノートパソコンを使う少人数の家族には、通常こちらの方が分かりやすい選択肢です。

リバースプロキシまたはアウトバウンドトンネルを使うと、HTTPSと一元化された認証によって、1つのブラウザーアプリを公開できます。ただし、アプリケーション自体を速やかに更新し、バックエンドへの経路を制限する必要があります。ベンダーのリレーはローカル設定の負担を減らす代わりに、プロバイダーとアカウントのセキュリティに依存することになります。

関連するZimaSpaceのリモートアクセス購入チェックリストでは、サーバーをオンラインにする前に、ID、公開範囲、アクセス取り消し、代替手段を検証します。

独立したNASアクセス比較では、プライベートVPNアクセスと直接のポートフォワーディングを比較し、管理インターフェースを公開しないよう警告しています。

Featured

ZimaCube 2 パーソナルクラウドホームNAS

ZimaCube2

$799.00 - $2,499.00

Buy Now

リスクの運用上の責任者が決まっている場合にのみ購入する

直接のポートフォワーディングを承認するのは、ユーザーごとの強力な認証、迅速な更新、分離されたバックエンドアクセス、デバイス外へのログ保存、アラート、そしてルール削除手順のテストを備えた、特定のインターネット対応アプリケーションに限ります。

プライベートVPNアクセス、自動セキュリティ更新、設定のエクスポート、デバイスのアクセス取り消し、接続ログの可視化に対応したNASまたはサーバーを優先します。これらの機能は、ワンクリックで公開できる機能を長々と並べるよりも、継続的なリスクを低減します。

目的が曖昧、管理画面を公開することになる、UPnPしか制御手段がない、更新が確実でない、またはログインアラートを調査できる担当者がいない場合は、その設計を却下します。リモートアクセスの利便性を理由に、機器上のすべてのサービスを公開してはいけません。