Изтеглянето на един файл не изисква пълен мрежов VPN

Заявката за VPN достъп често крие една папка и един файл. Даването на маршрут до цялата офис мрежа отговаря на заявката и предава много повече, отколкото изисква задачата. Замяната на монтирано споделяне със страница за качване може да е също толкова погрешна в другата посока, защото променя начина, по който хората работят. Решението започва с това какво трябва да се случи с файла.

Три изисквания изглеждат еднакво тук и се държат много различно: копиране на готов PDF, редактиране на документ на място и стартиране на приложение срещу споделена директория.

Започнете от редакцията, не от папката

Ако файлът е готов и трябва само да се чете, трансферен акаунт е достатъчен. Ако ще се редактира, въпросът става кой друг го редактира и как се разрешават конфликти, което е въпрос на работен процес, а не на мрежа. Ако приложението отваря документи директно от директорията, закъснението и поведението на заключване на слоя за съхранение имат значение. Отговорът на това първо предотвратява решение, което се свързва перфектно и все пак не може да се използва.

Споделеното редактиране въвежда проблем, който никой трансфер не може да реши. Потребител изтегля електронна таблица, редактира я офлайн и я качва, след като някой друг е променил оригинала, а криптираната връзка няма мнение за презаписването. Споразумение за презаписване, конфликт или версиониране трябва да съществува преди метода за достъп.

SFTP е протокол за трансфер, не споделяне

SFTP премества файлове през криптиран SSH транспорт, което е точно това, което копието изисква, и не това, което изисква монтиран диск. Той не е FTP и продукт, който предлага FTPS, предлага различен протокол, а не SFTP. Монтирането на SFTP директория през слой на файлова система не обещава заключването, разрешенията или поведението на приложенията на оригиналното споделяне. Проверете изискванията на клиентското приложение, преди да наречете това пряка замяна.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Това е целият работен процес за готов файл: свързване, качване, изтегляне. Акаунт само за трансфер също се нуждае от ограничена SSH услуга, не само от файловата система. chroot или ForceCommand internal-sftp ограничава какво може да стартира сесията, а изключването на TCP препращане и тунелиране затваря пътищата, които иначе биха превърнали файлов акаунт в мрежова входна точка. Ограничаването само на видимата директория не доказва нищо за това до какво може да достигне акаунтът.

Ако ви трябва споделянето, не го публикувайте

Понякога оригиналното споделяне наистина е изискването и отговорът не е да изложите SMB на произволни интернет клиенти. Насоките на Microsoft са да блокирате директния SMB трафик на границата и с основателна причина: протоколът не е създаден да се изправя срещу ненадеждни мрежи. Съществуват SMB през QUIC и подобни решения със специфични изисквания за платформата в двата края и те не са универсален ключ за произволен Samba сървър. Ако нито едно не е приложимо, работата е да осигурите поддържан път за достъп, а не пренасочен порт.

Браузърната опция е законен трети отговор, когато работата пасва на нея. Тя носи свои решения: акаунти, връзки за споделяне, срок на годност, запазени версии и кое копие е авторитетно. Връзка, която всеки може да отвори, и работно пространство, което изисква вход, представляват различни политики за достъп и нито една не бива да се избира случайно.

Какво да проверите преди предаване на достъпа

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Какъвто и дизайн да изберете, ограничете го до предвидените данни и предвидените операции. Първата команда трябва да успее, а втората да бъде отказана; ако и двете успеят, акаунтът е по-широк от задачата. След това премахнете акаунта и повторете първата, която сега трябва да се провали. Дръжте собственика на изходните файлове разпознаваем, за да има отговор по-късен въпрос за авторитетното копие. Резултатът, който си струва да се запише, е използваем и отменим файлов работен процес, а не липсваща икона за връзка.

Запишете кой протокол действително е нужен на приложението на потребителя и кои три теста сте провели. Тези два реда предотвратяват по-голямата част от преработката.