Descarregar un fitxer no necessita una VPN de xarxa completa

Una sol·licitud d'accés VPN sovint amaga una carpeta i un fitxer al darrere. Concedir una ruta a tota la xarxa de l'oficina respon la sol·licitud i lliura molt més del que la tasca requereix. Substituir una compartició muntada per una pàgina de càrrega pot ser igual de dolent en l'altra direcció, perquè canvia com treballa la gent. La decisió comença per què ha de passar amb el fitxer.

Tres requisits s'assemblen aquí i es comporten de manera molt diferent: copiar un PDF acabat, editar un document al lloc i executar una aplicació contra un directori compartit.

Comenceu per l'edició, no per la carpeta

Si el fitxer està acabat i només s'ha de llegir, n'hi ha prou amb un compte de transferència. Si s'ha d'editar, la pregunta és qui més l'edita i com es resolen els conflictes, cosa que és una qüestió de flux de treball i no de xarxa. Si l'aplicació obre documents directament del directori, la latència i el comportament de bloqueig de la capa d'emmagatzematge importen. Respondre això primer evita una solució que es connecta perfectament i tot i així no es pot fer servir.

L'edició compartida introdueix un problema que cap transferència pot resoldre. Un usuari baixa un full de càlcul, l'edita fora de línia i el puja després que algú altre hagi canviat l'original, i la connexió xifrada no té opinió sobre la sobreescriptura. L'acord sobre sobreescriptura, conflicte o versionatge ha d'existir abans que el mètode d'accés.

SFTP és un protocol de transferència, no una compartició

SFTP mou fitxers per un transport SSH xifrat, que és exactament el que necessita una còpia i no el que necessita una unitat muntada. No és FTP, i un producte que ofereix FTPS ofereix un protocol diferent, no SFTP. Muntar un directori SFTP a través d'una capa de sistema de fitxers no promet el bloqueig, els permisos o el comportament d'aplicacions de la compartició original. Comproveu els requisits de l'aplicació client abans de qualificar-ho de substitució directa.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Aquest és tot el flux de treball per a un fitxer acabat: connecta, posa, recull. Un compte només de transferència també necessita el servei SSH restringit, no només el sistema de fitxers. Un chroot o ForceCommand internal-sftp limita què pot executar la sessió, i desactivar el reenviament TCP i el túnel tanca els camins que d'altra manera convertirien un compte de fitxers en un punt d'entrada a la xarxa. Restringir només el directori visible no demostra res sobre a què pot arribar el compte.

Si necessiteu la compartició, no la publiqueu

De vegades la compartició original és realment el requisit, i la resposta no és exposar SMB a clients d'internet arbitraris. L'orientació de Microsoft és bloquejar el trànsit SMB directe a la frontera, i amb bon motiu: el protocol no es va construir per enfrontar-se a xarxes no fiables. Existeixen SMB sobre QUIC i dissenys comparables, amb requisits específics de plataforma als dos extrems, i no són un interruptor universal per a un servidor Samba arbitrari. Si no s'aplica cap dels dos, la feina és proporcionar un camí d'accés suportat en lloc d'un port reenviat.

L'opció basada en el navegador és una tercera resposta legítima quan la feina hi encaixa. Comporta les seves pròpies decisions: comptes, enllaços de compartició, caducitat, versions conservades i quina còpia és l'autoritat. Un enllaç que qualsevol pot obrir i un espai de treball que requereix inici de sessió representen polítiques d'accés diferents, i cap de les dues no s'hauria de triar per accident.

Què cal verificar abans de lliurar l'accés

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Sigui quin sigui el disseny que trieu, limiteu-lo a les dades i les operacions previstes. La primera ordre hauria de reeixir i la segona ser rebutjada; si totes dues reeixen, el compte és més ampli que la tasca. A continuació, elimineu el compte i repetiu la primera, que ara hauria de fallar. Manteniu identificable el propietari dels fitxers d'origen, perquè una pregunta posterior sobre la còpia autoritativa tingui resposta. El resultat que val la pena enregistrar és un flux de treball de fitxers utilitzable i revocable, no una icona de connexió absent.

Anoteu quin protocol necessita realment l'aplicació de l'usuari i quines tres proves heu executat. Aquestes dues línies eviten la major part de la reelaboració.