Een lêer ophaal vereis nie 'n volledige netwerk-VPN nie

'n Versoek om VPN-toegang verberg dikwels een gids en een lêer. 'n Roete na die hele kantoornetwerk te gee beantwoord die versoek en gee baie meer oor as wat die taak vereis. Om 'n gekarteerde deel met 'n oplaaisbladsy te vervang, kan net so verkeerd wees in die ander rigting, want dit verander hoe mense werk. Die besluit begin by wat met die lêer moet gebeur.

Drie vereistes lyk hier eenders en gedra hulle baie anders: 'n voltooide PDF kopieer, 'n dokument in plek wysig en 'n toepassing teen 'n gedeelde gids laat loop.

Begin by die wysiging, nie by die gids nie

As die lêer voltooi is en net gelees moet word, is 'n oordragrekening genoeg. As dit gewysig gaan word, word die vraag wie anders dit wysig en hoe konflikte opgelos word, wat 'n werkvloeivraag is eerder as 'n netwerkvraag. As die toepassing dokumente direk uit die gids oopmaak, maak die latensie en sluitgedrag van die stoormlaag saak. Om dit eerste te beantwoord verhoed 'n oplossing wat perfek verbind en tog nie gebruik kan word nie.

Gedeelde wysiging bring 'n probleem wat geen oordrag kan oplos nie. 'n Gebruiker laai 'n sigblad af, wysig dit vanlyn en laai dit op nadat iemand anders die oorspronklike verander het, en die geënkripteerde verbinding het geen mening oor die oorskryf nie. Ooreenkoms oor oorskryf, konflik of weergawes moet bestaan voordat die toegangsmetode daar is.

SFTP is 'n oordragprotokol, nie 'n deel nie

SFTP beweeg lêers oor 'n geënkripteerde SSH-vervoer, wat presies is wat 'n kopie nodig het en nie wat 'n gekarteerde skyf nodig het nie. Dit is nie FTP nie, en 'n produk wat FTPS bied, bied 'n ander protokol eerder as SFTP. Om 'n SFTP-gids deur 'n lêestelsellaag te monteer, beloof nie die sluit-, toestemmings- of toepassingsgedrag van die oorspronklike deel nie. Kontroleer die kliënttoepassing se vereistes voordat jy dit 'n direkte vervanging noem.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Dit is die hele werkvloei vir 'n voltooide lêer: verbind, sit, kry. 'n Slegs-oordrag-rekening het ook 'n beperkte SSH-diens nodig, nie net die lêestelsel nie. 'n chroot of ForceCommand internal-sftp beperk wat die sessie kan uitvoer, en om TCP-aansturing en tonneling te deaktiveer, sluit die paaie wat andersins 'n lêerekening in 'n netwerkinspringpunt sou omskep. Om net die sigbare gids te beperk, bewys niks oor wat die rekening kan bereik nie.

As jy die deel nodig het, moenie dit publiseer nie

Soms is die oorspronklike deel werklik die vereiste, en die antwoord is nie om SMB aan arbitrêre internetkliënte bloot te stel nie. Microsoft se leiding is om direkte SMB-verkeer by die grens te blokkeer, en met goeie rede: die protokol is nie gebou om onbetroubare netwerke te trotseer nie. SMB oor QUIC en vergelykbare ontwerpe bestaan, met spesifieke platformsvereistes aan beide kante, en hulle is nie 'n universele skakelaar vir 'n arbitrêre Samba-bediener nie. As nie een van die twee van toepassing is nie, is die werk om 'n ondersteunde toegangspad eerder as 'n aangestuurde poort te verskaf.

Die blaaiergebaseerde opsie is 'n wettige derde antwoord wanneer die werk daarby pas. Dit bring sy eie besluite: rekeninge, deelskakels, vervaldatum, behoue weergawes en watter kopie gesaghebbend is. 'n Skakel wat enigiemand kan oopmaak en 'n werkruimte wat aanmelding vereis, verteenwoordig verskillende toegangsbeleide, en nie een moet per ongeluk gekies word nie.

Wat om te verifieer voordat jy toegang oorhandig

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Watter ontwerp jy ook kies, beperk dit tot die beoogde data en die beoogde bewerkings. Die eerste opdrag moet slaag en die tweede moet geweier word; as albei slaag, is die rekening wyer as die taak. Verwyder dan die rekening en herhaal die eerste, wat nou moet misluk. Hou die eienaar van die bronlêers identifiseerbaar, sodat 'n latere vraag oor die gesaghebbende kopie 'n antwoord het. Die uitkoms wat die moeite werd is om aan te teken, is 'n bruikbare en herroepte lêerwerkvloei, nie 'n ontbrekende verbindingsikoon nie.

Skryf neer watter protokol die gebruiker se toepassing werklik nodig het, en watter drie toetse jy gedoen het. Daardie twee reëls voorkom die meeste herwerk.