Waar VPN-beskerming eindig op pad na ’n FTP-bediener

’n VPN beskerm ’n pad, en ’n pad het ’n einde. Wanneer die tonnel by ’n maatskappy-poort eindig, gaan die lêeroordrag daarvandaan voort onder watter beskerming sy eie protokol ook al bied. Daardie onderskeid bepaal of ’n oordrag van punt tot punt beskerm word of slegs tot by die poort. Die Connected-aanwyser sê niks oor enigeen van die twee nie.

Twee plasings, twee oorblywende paaie

Neem ’n skootrekenaar wat by ’n maatskappy-VPN aansluit en dan ’n FTP-sessie na ’n aparte interne bediener oopmaak. Die tonnel stop by die poort, en die segment van die poort na daardie bediener lê daarbuite.

Gewone FTP kry nie enkripsie omdat sy pakkette deur ’n tonnel aangekom het nie. Op daardie oorblywende segment beweeg die opdragte, die geloofsbriewe en die lêerinhoud presies soos die protokol dit definieer, dit wil sê in die oopte. Of dit saak maak, hang af van die topologie en van wat anders daardie segment bewaak, en om die adres privaat te noem beantwoord nie die vraag nie. Dieselfde redenasie geld omgekeerd wanneer die bediener in ’n wolknetwerk woon wat die poort oor nog ’n sprong bereik.

Plaas die VPN-eindpunt en die FTP-diens op een masjien, en daar is geen verdere segment om oor te worry nie. Dit is ’n ander plasing eerder as ’n bewys dat die gasheer se prosesse, lêers en geloofsbriewe veilig is.

Gewone FTP, FTPS en SFTP is drie besluite

Gewone FTP versleutel niks, ook nie die wagwoord nie. FTPS voeg TLS by FTP, sodat die beheerkanaal en, wanneer dit beding word, die datakanaal beskerm word. SFTP is ’n ander protokol wat binne SSH gedra word, en dit is nie ’n ander spelling van FTPS nie.

Die bediener moet die keuse ondersteun, want ’n kliënt kan nie ’n luisteraar toor wat nie daar is nie. Om SFTP te kies maak nie ’n FTP-only diens in ’n SSH-eindpunt om nie, en om ’n boekmerk te hernoem of ’n poort te verander bewys niks oor wat beding is nie. Bevestig die protokol van die bediener se kant sowel as die kliënt s’n. ’n Slot in ’n lêerbestuurder is ’n bewering oor die sessie, nie oor die luisteraar daar agter nie.

Lees die laaste kolom wanneer die oordrag saak maak, want dit is waar ’n onverwagte identiteitsverandering opduik.

Die datakonneksie is ’n tweede konneksie

FTP open ’n beheerkonneksie en dan aparte datakonneksies vir lyste en oordragte. ’n Beskermde aanmelding sê niks oor daardie latere konneksies nie, tensy die ontplooiing ook beskerming vir hulle vereis.

Met FTPS vra die kliënt deur ’n spesifieke opdrag om ’n beskermde datakanaal, en ’n bedienerbeleid kan die oop alternatief weier. Verifieer dat die beleid dit vereis eerder as om aan te neem die kliënt se verstek is genoeg. Passiewe modus voeg ’n tweede plooi by, want die bediener adverteer ’n adres en poort vir die datakonneksie. ’n Brandmuur of NAT-toestel wat daardie advertensie herskryf of blokkeer, lewer ’n sessie wat authentiseer en dan op die eerste lys hang.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Die tweede opdrag wys wat die bediener op die beheerkanaal aanbied voordat enige lêer aangeraak word. Die derde wys of ’n datakonneksie ooit tot stand gekom het, wat die verskil is tussen ’n authentiseringsfout en ’n passiewe-modus-fout.

Identiteitskontroles oorleef die tonnel

’n FTPS-kliënt valideer ’n TLS-bedieneridentiteit, en ’n SFTP-kliënt valideer ’n SSH-gasheersleutel. Albei kontroles hoort by die lêeroordragprotokol, en nie een word deur die VPN uitgevoer nie.

Daardie skeiding maak saak wanneer iets in die middel die sessie wil inspekteer. Om TLS af te skakel sodat ’n netwerktoestel die opdragte kan lees, verander die beskermingsmodel eerder as om dit te voltooi, en dieselfde geld vir die aanvaarding van ’n onverklaarde gasheersleutel omdat die tonnel opgekom het. Hou die beoogde vertrouenskonfigurasie en kry die korrekte materiaal by die operateur. ’n Tonnel wat authentiseer sê niks oor die bediener aan sy verre einde nie.

Privaatsleutel- en sertifikaatmateriaal vir hierdie protokolle is weer ’n derde geheim, apart van die VPN-geloofsbrief.

Teken op wat jy werklik geverifieer het

Kies ’n onskadelike lêer wat jy mag skuif, en noteer vier feite oor die poging: watter protokol geloop het, watter eweknie-identiteit gekontroleer is, watter pad bedoel is, en of die oordrag klaargemaak het.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

’n Gidslys, ’n tonnelaanmelding en ’n voltooide oordrag is drie aparte waarnemings, en net die laaste een sê die pad werk vir lêers. As die ontwerp net op die VPN staatmaak vir vertroulikheid op die oorblywende sprong, skryf dit neer as die besluit wat dit is. ’n Aanvaardingsnota wat die sprong en sy vertrouensaanname noem, is meer werd as ’n skermkiekie van ’n gekoppelde kliënt.