Загрузка аднаго файла не патрабуе поўнага сеткавага VPN

Запыт на доступ праз VPN часта хавае за сабой адну папку і адзін файл. Дазвол маршруту да ўсёй офіснай сеткі задавальняе запыт і перадае значна больш, чым патрабуе задача. Замена падключанага агульнага рэсурсу старонкай загрузкі можа быць гэтак жа памылковай у іншы бок, бо яна змяняе тое, як працуюць людзі. Рашэнне пачынаецца з таго, што павінна адбыцца з файлам.

Тры патрабаванні выглядаюць тут падобна і паводзяць сябе вельмі па-рознаму: капіраванне гатовага PDF, рэдагаванне дакумента на месцы і запуск праграмы супраць агульнай папкі.

Пачніце з рэдагавання, а не з папкі

Калі файл гатовы і яго трэба толькі чытаць, дастаткова ўліковага запісу для перадачы. Калі яго будуць рэдагаваць, пытанне ў тым, хто яшчэ яго рэдагуе і як вырашаюцца канфлікты, а гэта пытанне працоўнага працэсу, а не сеткі. Калі праграма адкрывае дакументы непасрэдна з папкі, важныя затрымка і паводзіны блакіроўкі сховішча. Адказ на гэта першым прадухіляе рашэнне, якое ідэальна злучаецца і ўсё ж не можа выкарыстоўвацца.

Супольнае рэдагаванне ўносіць праблему, якую не можа вырашыць ніякая перадача. Карыстальнік спампоўвае табліцу, рэдагуе яе аўтаномна і загружае пасля таго, як хтосьці іншы змяніў арыгінал, а зашыфраванае злучэнне не мае меркавання аб перазапісе. Пагадненне аб перазапісе, канфлікце або версіяванні павінна існаваць раней за метад доступу.

SFTP — гэта пратакол перадачы, а не агульны доступ

SFTP перамяшчае файлы праз зашыфраваны транспарт SSH, што менавіта патрэбна капіі і не патрэбна падключанаму дыску. Гэта не FTP, і прадукт, які прапануе FTPS, прапануе іншы пратакол, а не SFTP. Мантаванне папкі SFTP праз слой файлавай сістэмы не абяцае блакіроўкі, правоў або паводзін праграм арыгінальнага агульнага рэсурсу. Праверце патрабаванні кліенцкай праграмы, перш чым называць гэта прамой заменай.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Гэта ўвесь працоўны працэс для готовага файла: злучыцца, змясціць, атрымаць. Уліковы запіс толькі для перадачы таксама патрабуе абмежаванай службы SSH, а не толькі файлавай сістэмы. chroot або ForceCommand internal-sftp абмяжоўвае тое, што можа запусціць сеанс, а адключэнне пераадрасацыі TCP і тунелявання зачыняе шляхі, якія інакш ператвараюць файлавы ўліковы запіс у пункт уваходу ў сетку. Абмежаванне толькі бачнай папкі нічога не даказвае пра тое, да чаго можа дабрацца ўліковы запіс.

Калі вам патрэбны агульны доступ, не публікуйце яго

Часам арыгінальны агульны рэсурс сапраўды з'яўляецца патрабаваннем, і адказ не ў тым, каб адкрыць SMB адвольным інтэрнэт-кліентам. Рэкамендацыя Microsoft — блакаваць прамы трафік SMB на мяжы, і нездарма: пратакол не будаваўся для сутыкнення з недаверанымі сеткамі. Існуюць SMB праз QUIC і падобныя рашэнні, з пэўнымі патрабаваннямі да платформаў на абодвух канцах, і яны не з'яўляюцца ўніверсальным пераключальнікам для адвольнага сервера Samba. Калі не падыходзіць ні адно, праца ў тым, каб забяспечыць падтрыманы шлях доступу, а не пераадрасаваны порт.

Варыянт у браўзеры — законны трэці адказ, калі праца яму адпавядае. Ён прыносіць свае рашэнні: уліковыя запісы, спасылкі агульнага доступу, тэрмін дзеяння, захаваныя версіі і тое, якая копія з'яўляецца аўтарытэтнай. Спасылка, якую можа адкрыць любы, і працоўная прастора, якая патрабуе ўваходу, уяўляюць розныя палітыкі доступу, і ні адну нельга выбіраць выпадкова.

Што праверыць перад перадачай доступу

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Які б дызайн вы ні выбралі, абмяжуйце яго прызначанымі данымі і прызначанымі аперацыямі. Першая каманда павінна атрымацца, а другая — быць адхілена; калі атрымліваюцца абедзве, уліковы запіс шырэйшы за задачу. Затым выдаліце ўліковы запіс і паўтарыце першую, якая цяпер павінна не атрымацца. Трымайце ўладальніка зыходных файлаў пазнавальным, каб пазнейшае пытанне пра аўтарытэтную копію мела адказ. Вынік, які варта занатаваць, — гэта прыдатны і адклікальны працоўны працэс з файламі, а не адсутная іконка злучэння.

Запішыце, які пратакол сапраўды патрэбны праграме карыстальніка і якія тры тэсты вы правели. Гэтыя два радкі прадухіляюць большую частку пераробак.