Načtení jednoho souboru nevyžaduje plnohodnotnou síťovou VPN

Žádost o přístup k VPN často skrývá jednu složku a jeden soubor. Udělení trasy do celé kancelářské sítě vyřídí žádost a předá mnohem víc, než úkol vyžaduje. Nahrazení namapovaného sdílení nahrávací stránkou může být stejně špatné opačným směrem, protože mění způsob, jakým lidé pracují. Rozhodnutí začíná tím, co se má se souborem stát.

Tři požadavky zde vypadají podobně a chovají se velmi odlišně: kopírování hotového PDF, úprava dokumentu na místě a spouštění aplikace proti sdílenému adresáři.

Začněte úpravou, ne složkou

Pokud je soubor hotový a má se jen číst, stačí přenosový účet. Pokud se bude upravovat, otázka zní, kdo další ho upravuje a jak se řeší konflikty, což je otázka pracovního postupu, ne sítě. Pokud aplikace otevírá dokumenty přímo z adresáře, záleží na latenci a chování zamykání úložné vrstvy. Odpověď na to nejdřív zabrání řešení, které se dokonale připojí a přesto se nedá použít.

Společná úprava přináší problém, který žádný přenos nevyřeší. Uživatel stáhne tabulku, upraví ji offline a nahraje ji poté, co někdo jiný změnil originál, a šifrované spojení nemá na přepsání žádný názor. Dohoda o přepsání, konfliktu nebo verzování musí existovat dřív než způsob přístupu.

SFTP je přenosový protokol, ne sdílení

SFTP přenáší soubory přes šifrovaný transport SSH, což je přesně to, co kopie potřebuje, a ne to, co potřebuje namapovaný disk. Není to FTP a produkt nabízející FTPS nabízí jiný protokol, ne SFTP. Připojení adresáře SFTP přes vrstvu souborového systému neslibuje zamykání, oprávnění ani chování aplikací původního sdílení. Předtím, než to nazvete přímou náhradou, zkontrolujte požadavky klientské aplikace.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

To je celý pracovní postup pro hotový soubor: připojit, vložit, stáhnout. Účet pouze pro přenos také potřebuje omezenou službu SSH, nejen souborový systém. chroot nebo ForceCommand internal-sftp omezuje, co může relace spustit, a vypnutí přesměrování TCP a tunelování zavírá cesty, které by jinak proměnily souborový účet v síťový vstupní bod. Omezení pouze viditelného adresáře nic nedokazuje o tom, kam se účet může dostat.

Pokud sdílení potřebujete, nezveřejňujte ho

Někdy je původní sdílení skutečně požadavkem a odpovědí není vystavit SMB libovolným internetovým klientům. Pokyny Microsoftu říkají blokovat přímý provoz SMB na hranici, a to z dobrého důvodu: protokol nebyl stavěn na čelení nedůvěryhodným sítím. Existují SMB přes QUIC a srovnatelné návrhy se specifickými požadavky na platformu na obou koncích a nejsou univerzálním přepínačem pro libovolný server Samba. Pokud neplatí ani jedno, je úkolem poskytnout podporovanou cestu přístupu místo přesměrovaného portu.

Možnost v prohlížeči je legitimní třetí odpovědí, když práce sedí. Přináší vlastní rozhodnutí: účty, odkazy ke sdílení, expiraci, uchovávané verze a to, která kopie je autoritativní. Odkaz, který může otevřít kdokoli, a pracovní prostor vyžadující přihlášení představují různé zásady přístupu a ani jedno by se nemělo vybírat náhodou.

Co ověřit před předáním přístupu

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Ať zvolíte jakýkoli návrh, ohraničte ho zamýšlenými daty a zamýšlenými operacemi. První příkaz by měl uspět a druhý být odmítnut; pokud uspějí oba, je účet širší než úkol. Potom účet odeberte a zopakujte první, který by nyní měl selhat. Udržujte vlastníka zdrojových souborů identifikovatelného, aby pozdější otázka na autoritativní kopii měla odpověď. Výsledek, který stojí za zaznamenání, je použitelný a odvolatelný souborový pracovní postup, ne chybějící ikona připojení.

Zapište, který protokol aplikace uživatele skutečně potřebuje a které tři testy jste provedli. Tyto dva řádky zabrání většině přepracování.