Hentning af én fil kræver ikke en fuld netværks-VPN

En anmodning om VPN-adgang skjuler ofte én mappe og én fil bag sig. At give en rute til hele kontornetværket besvarer anmodningen og overdrager langt mere, end opgaven kræver. At erstatte en mapped deling med en uploadside kan være lige så forkert i den anden retning, fordi det ændrer, hvordan folk arbejder. Beslutningen begynder med, hvad der skal ske med filen.

Tre krav ligner hinanden her og opfører sig meget forskelligt: at kopiere en færdig PDF, at redigere et dokument på stedet og at køre en applikation mod en delt mappe.

Begynd med redigeringen, ikke mappen

Hvis filen er færdig og kun skal læses, er en overførselskonto nok. Hvis den skal redigeres, bliver spørgsmålet, hvem der ellers redigerer den, og hvordan konflikter løses, hvilket er et arbejdsgangsspørgsmål og ikke et netværksspørgsmål. Hvis applikationen åbner dokumenter direkte fra mappen, betyder lagringslagets latenstid og låseadfærd noget. At svare på det først forhindrer en løsning, der forbinder perfekt og alligevel ikke kan bruges.

Fælles redigering indfører et problem, som ingen overførsel kan løse. En bruger henter et regneark, redigerer det offline og uploader det, efter nogen andre har ændret originalen, og den krypterede forbindelse har ingen mening om overskrivningen. Enighed om overskrivning, konflikt eller versionering skal findes, før adgangsmetoden gør.

SFTP er en overførselsprotokol, ikke en deling

SFTP flytter filer over en krypteret SSH-transport, hvilket er præcis, hvad en kopi har brug for, og ikke hvad et mapped drev har brug for. Det er ikke FTP, og et produkt, der tilbyder FTPS, tilbyder en anden protokol i stedet for SFTP. Montering af en SFTP-mappe gennem et filsystemlag lover ikke den oprindelige delings låse-, tilladelses- eller applikationsadfærd. Kontrollér klientapplikationens krav, før du kalder det en direkte erstatning.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Det er hele arbejdsgangen for en færdig fil: forbind, læg, hent. En konto kun til overførsel har også brug for en begrænset SSH-tjeneste, ikke kun filsystemet. En chroot eller ForceCommand internal-sftp begrænser, hvad sessionen kan køre, og deaktivering af TCP-videresendelse og tunneling lukker de veje, der ellers ville gøre en filkonto til et netværksindgangspunkt. At begrænse den synlige mappe alene beviser intet om, hvad kontoen kan nå.

Hvis du har brug for delingen, må du ikke offentliggøre den

Nogle gange er den oprindelige deling virkelig kravet, og svaret er ikke at blotlægge SMB for vilkårlige internetklienter. Microsofts vejledning er at blokere direkte SMB-trafik ved grænsen, og med god grund: protokollen blev ikke bygget til at møde utroværdige netværk. SMB over QUIC og sammenlignelige design findes, med specifikke platformskrav i begge ender, og de er ikke en universel kontakt for en vilkårlig Samba-server. Hvis ingen af dem gælder, er arbejdet at levere en understøttet adgangsvej i stedet for en videresendt port.

Browserbaseret valg er et legitimt tredje svar, når arbejdet passer til det. Det bringer sine egne beslutninger: konti, delingslinks, udløb, bevarede versioner og hvilken kopi der er autoritativ. Et link, som enhver kan åbne, og et arbejdsrum, der kræver login, repræsenterer forskellige adgangspolitikker, og ingen af dem bør vælges ved et uheld.

Hvad du skal kontrollere, før du overdrager adgang

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Uanset hvilket design du vælger, skal du begrænse det til de tilsigtede data og de tilsigtede operationer. Den første kommando skal lykkes, og den anden skal afvises; hvis begge lykkes, er kontoen bredere end opgaven. Fjern derefter kontoen, og gentag den første, som nu skal mislykkes. Hold ejeren af kildefilerne identificerbar, så et senere spørgsmål om den autoritative kopi har et svar. Det resultat, der er værd at registrere, er en brugbar og tilbagekaldelig filarbejdsgang, ikke et manglende forbindelsesikon.

Skriv ned, hvilken protokol brugerens applikation faktisk har brug for, og hvilke tre test du kørte. De to linjer forhindrer det meste af omarbejdet.