FTP serverinə gedən yolda VPN qorunması harada bitir

VPN bir yolu qoruyur, yolun isə sonu var. Tunel şirkət şlüzündə bitəndə fayl ötürülməsi oradan öz protokolunun təmin etdiyi qorunma ilə davam edir. Bu fərq ötürmənin başdan-başa, yoxsa yalnız şlüzə qədər qorunduğunu müəyyən edir. Connected göstəricisi isə bunların heç biri barədə heç nə demir.

İki yerləşdirmə, iki qalan yol

Şirkət VPN-inə qoşulan və sonra ayrı daxili serverə FTP sessiyası açan noutbuku götürün. Tunel şlüzədə dayanır, şlüzdən həmin serverə qədər olan seqment isə ondan kənarda qalır.

Adi FTP paketləri tuneldən keçdiyi üçün şifrələmə qazanmır. O qalan seqmentdə əmrlər, etimad məlumatları və fayl məzmunu protokolun müəyyən etdiyi kimi, yəni açıq şəkildə hərəkət edir. Bunun əhəmiyyətli olub-olmadığı topologiyadan və həmin seqmenti başqa nəyin qoruduğundan asılıdır, ünvanı şəxsi adlandırmaq isə suala cavab vermir. Server şlüzün başqa bir atlama ilə çatdığı bulud şəbəkəsində yerləşdikdə eyni məntiq tərsinə işləyir.

VPN son nöqtəsini və FTP xidmətini bir maşına qoyun, onda narahat olmaq üçün sonrakı seqment qalmır. Bu, hostun proseslərinin, fayllarının və etimad məlumatlarının təhlükəsiz olmasının sübutu deyil, fərqli bir yerləşdirmədir.

Adi FTP, FTPS və SFTP üç ayrı qərardır

Adi FTP heç nəyi, o cümlədən parolu şifrələmir. FTPS FTP-yə TLS əlavə edir, beləliklə idarəetmə kanalı və razılaşdırıldıqda məlumat kanalı qorunur. SFTP isə SSH daxilində daşınan fərqli protokoldur və FTPS-in başqa yazılışı deyil.

Server bu seçimi dəstəkləməlidir, çünki müştəri olmayan bir dinləyicini yarada bilməz. SFTP seçmək yalnız FTP ilə işləyən xidməti SSH son nöqtəsinə çevirmir, əlfəcini adlandırmaq və ya portu dəyişmək isə nəyin razılaşdırıldığına dair heç nə sübut etmir. Protokolu müştəri tərəfindən olduğu kimi server tərəfindən də təsdiqləyin. Fayl menecerindəki qıfıl sessiya barədə iddiadır, arxasındakı dinləyici barədə yox.

Ötürmə vacib olduqda son sütunu oxuyun, çünki gözlənilməz kimlik dəyişikliyi məhz orada görünür.

Məlumat bağlantısı ikinci bağlantıdır

FTP əvvəlcə idarəetmə bağlantısı, sonra siyahılar və ötürmələr üçün ayrı məlumat bağlantıları açır. Qorunan giriş o sonrakı bağlantılar barədə heç nə demir, məgər yerləşdirmə onlar üçün də qorunma tələb etmirsə.

FTPS ilə müştəri konkret əmr vasitəsilə qorunan məlumat kanalı istəyir və server siyasəti açıq alternativi rədd edə bilər. Siyasətin bunu tələb etdiyini yoxlayın, müştərinin standart ayarının kifayət etdiyini fərz etməyin. Passiv rejim ikinci bir çətinlik əlavə edir, çünki server məlumat bağlantısı üçün ünvan və port elan edir. Bu elanı yenidən yazan və ya bloklayan firewall və ya NAT cihazı autentifikasiyadan keçən, sonra ilk siyahıda donan sessiya yaradır.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

İkinci əmr hər hansı fayla toxunulmadan əvvəl serverin idarəetmə kanalında nə təqdim etdiyini göstərir. Üçüncü əmr isə məlumat bağlantısının ümumiyyətlə qurulub-qurulmadığını göstərir ki, bu da autentifikasiya uğursuzluğu ilə passiv rejim uğursuzluğu arasındakı fərqdir.

Kimlik yoxlamaları tuneldən sağ çıxır

FTPS müştərisi TLS server kimliyini yoxlayır, SFTP müştərisi isə SSH host açarını yoxlayır. Hər iki yoxlama fayl ötürmə protokoluna aiddir və heç birini VPN yerinə yetirmir.

Bu ayrılıq ortada bir şey sessiyanı yoxlamaq istədikdə vacib olur. Şəbəkə cihazı əmrləri oxuya bilsin deyə TLS-i söndürmək qorunma modelini tamamlamaq əvəzinə dəyişir, tunel qalxdığı üçün izahsız host açarını qəbul etmək də eyni şeydir. Nəzərdə tutulan etimad konfiqurasiyasını saxlayın və düzgün materialı operatorun özündən alın. Autentifikasiyadan keçən tunel uzaq ucundakı server barədə heç nə demir.

Bu protokollar üçün şəxsi açar və sertifikat materialı VPN etimad məlumatından ayrı, üçüncü bir sirdir.

Həqiqətən nəyi yoxladığınızı qeyd edin

Köçürməyə icazəniz olan zərərsiz bir fayl seçin və cəhd barədə dörd faktı qeyd edin: hansı protokol işlədi, hansı qarşı tərəf kimliyi yoxlanıldı, hansı yol nəzərdə tutulurdu və ötürmə bitdimi.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Kataloq siyahısı, tunel girişi və tamamlanmış ötürmə üç ayrı müşahidədir və yalnız sonuncusu yolun fayllar üçün işlədiyini deyir. Əgər dizayn qalan atlamada məxfilik üçün yalnız VPN-ə güvənirsə, bunu olduğu kimi qərar kimi yazın. Atlamanı və onun etimad fərziyyəsini göstərən qəbul qeydi qoşulmuş müştərinin ekran şəklindən daha dəyərlidir.