Lle mae amddiffyniad VPN yn dod i ben ar y ffordd i weinydd FTP

Mae VPN yn amddiffyn llwybr, ac mae gan bob llwybr ddiwedd. Pan ddaw’r twnnel i ben wrth giât cwmni, mae’r trosglwyddo ffeiliau yn parhau oddi yno o dan ba bynnag amddiffyniad y mae ei brotocol ei hun yn ei gynnig. Mae’r gwahaniaeth hwnnw’n penderfynu a yw trosglwyddiad wedi’i amddiffyn o’r dechrau i’r diwedd neu hyd at y giât yn unig. Nid yw’r dangosydd Connected yn dweud dim am y naill na’r llall.

Dau leoliad, dau lwybr sy’n weddill

Cymerwch liniadur sy’n ymuno â VPN cwmni ac yna’n agor sesiwn FTP i weinydd mewnol ar wahân. Mae’r twnnel yn stopio wrth y giât, ac mae’r darn o’r giât i’r gweinydd hwnnw y tu allan iddo.

Nid yw FTP plaen yn ennill amgryptio am fod ei becynnau wedi cyrraedd trwy dwnnel. Ar y darn sy’n weddill mae’r gorchmynion, y manylion mewngofnodi a chynnwys y ffeiliau yn teithio’n union fel y mae’r protocol yn ei ddiffinio, hynny yw’n agored. A yw hynny’n bwysig mae’n dibynnu ar y topoleg ac ar beth arall sy’n gwarchod y darn, ac nid yw galw’r cyfeiriad yn breifat yn ateb y cwestiwn. Mae’r un rhesymeg yn gweithio i’r gwrthwyneb pan fo’r gweinydd mewn rhwydwaith cwmwl y mae’r giât yn cyrraedd ato dros naid arall.

Rhowch ddiweddbwynt y VPN a’r gwasanaeth FTP ar un peiriant ac nid oes darn dilynol i boeni amdano. Lleoliad gwahanol yw hynny, yn hytrach na phrawf bod prosesau, ffeiliau a manylion mewngofnodi’r gwesteiwr yn ddiogel.

Mae FTP plaen, FTPS ac SFTP yn dri phenderfyniad

Nid yw FTP plaen yn amgryptio dim, gan gynnwys y cyfrinair. Mae FTPS yn ychwanegu TLS at FTP, felly mae’r sianel reoli ac, pan gytunir ar hynny, y sianel ddata wedi’u hamddiffyn. Protocol gwahanol yw SFTP a gludir y tu mewn i SSH, ac nid yw’n sillafu arall o FTPS.

Rhaid i’r gweinydd gefnogi’r dewis hwnnw, oherwydd ni all cleient greu gwrandäwr nad yw’n bodoli. Nid yw dewis SFTP yn troi gwasanaeth FTP yn unig yn ddiweddbwynt SSH, ac nid yw ailenwi nod tudalen neu newid porth yn profi dim am yr hyn a gytunwyd. Cadarnhewch y protocol o ochr y gweinydd yn ogystal ag o ochr y cleient. Mae clo mewn rheolwr ffeiliau yn honiad am y sesiwn, nid am y gwrandäwr y tu ôl iddi.

Darllenwch y golofn olaf pan fo’r trosglwyddiad yn bwysig, oherwydd dyna lle mae newid hunaniaeth annisgwyl yn ymddangos.

Mae’r cysylltiad data yn ail gysylltiad

Mae FTP yn agor cysylltiad rheoli ac yna cysylltiadau data ar wahân ar gyfer rhestrau a throsglwyddiadau. Nid yw mewngofnodi wedi’i amddiffyn yn dweud dim am y cysylltiadau diweddarach hynny oni bai bod y defnydd yn gofyn am amddiffyniad ar eu cyfer hwythau hefyd.

Gyda FTPS, mae’r cleient yn gofyn am sianel ddata wedi’i hamddiffyn drwy orchymyn penodol, ac mae polisi’r gweinydd yn gallu gwrthod y dewis agored. Gwiriwch fod y polisi yn mynnu hynny yn hytrach na thybio bod rhagosodiad y cleient yn ddigon. Mae modd goddefol yn ychwanegu ail gornel, oherwydd mae’r gweinydd yn hysbysebu cyfeiriad a phorth ar gyfer y cysylltiad data. Mae mur gwarchod neu ddyfais NAT sy’n ailysgrifennu neu’n rhwystro’r hysbyseb hwnnw’n cynhyrchu sesiwn sy’n dilysu ac yna’n hongian ar y rhestr gyntaf.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Mae’r ail orchymyn yn dangos yr hyn y mae’r gweinydd yn ei gyflwyno ar y sianel reoli cyn cyffwrdd ag unrhyw ffeil. Mae’r trydydd yn dangos a gafodd cysylltiad data ei sefydlu o gwbl, sef y gwahaniaeth rhwng methiant dilysu a methiant modd goddefol.

Mae gwiriadau hunaniaeth yn goroesi’r twnnel

Mae cleient FTPS yn dilysu hunaniaeth gweinydd TLS, ac mae cleient SFTP yn dilysu allwedd gwesteiwr SSH. Mae’r ddau wiriad yn perthyn i’r protocol trosglwyddo ffeiliau, ac nid yw’r VPN yn gwneud y naill na’r llall.

Mae’r gwahanu hwnnw’n bwysig pan fo rhywbeth yn y canol eisiau archwilio’r sesiwn. Mae diffodd TLS fel y gall offeryn rhwydwaith ddarllen y gorchmynion yn newid y model amddiffyn yn hytrach na’i gwblhau, ac mae’r un peth yn wir am dderbyn allwedd gwesteiwr heb esboniad am fod y twnnel wedi codi. Cadwch y ffurfweddiad ymddiriedaeth a fwriadwyd a chael y deunydd cywir gan y gweithredwr. Nid yw twnnel sy’n dilysu yn dweud dim am y gweinydd yn ei ben pell.

Mae deunydd allwedd breifat a thystysgrif ar gyfer y protocolau hyn yn drydedd gyfrinach eto, ar wahân i fanylion mewngofnodi’r VPN.

Cofnodwch yr hyn a wiriwyd gennych mewn gwirionedd

Dewiswch ffeil ddiniwed y cewch ei symud, a nodwch bedwar ffaith am yr ymgais: pa brotocol a redodd, pa hunaniaeth pell barti a wiriwyd, pa lwybr a fwriadwyd, ac a orffennodd y trosglwyddiad.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Mae rhestr cyfeiriadur, mewngofnodi i dwnnel a throsglwyddiad wedi’i orffen yn dri arsylwad ar wahân, a dim ond yr olaf sy’n dweud bod y llwybr yn gweithio ar gyfer ffeiliau. Os yw’r dyluniad yn dibynnu ar y VPN yn unig am gyfrinachedd ar y naid sy’n weddill, ysgrifennwch hynny fel y penderfyniad ydyw. Mae nodyn derbyn sy’n enwi’r naid a’i ragdybiaeth ymddiriedaeth yn werth mwy na chyflun o gleient cysylltiedig.