Eine einzelne Datei braucht kein vollständiges Netzwerk-VPN

Ein Antrag auf VPN-Zugang verbirgt oft einen Ordner und eine Datei. Eine Route zum gesamten Büronetz zu gewähren beantwortet den Antrag und übergibt weit mehr, als die Aufgabe verlangt. Eine gemappte Freigabe durch eine Upload-Seite zu ersetzen, kann in die andere Richtung ebenso falsch sein, weil es die Arbeitsweise der Menschen ändert. Die Entscheidung beginnt damit, was mit der Datei geschehen muss.

Drei Anforderungen sehen hier ähnlich aus und verhalten sich sehr unterschiedlich: eine fertige PDF kopieren, ein Dokument direkt bearbeiten und eine Anwendung gegen ein freigegebenes Verzeichnis laufen lassen.

Beginnen Sie bei der Bearbeitung, nicht beim Ordner

Wenn die Datei fertig ist und nur gelesen werden muss, reicht ein Transferkonto. Wenn sie bearbeitet wird, lautet die Frage, wer sonst sie bearbeitet und wie Konflikte gelöst werden, was eine Workflow- und keine Netzwerkfrage ist. Wenn die Anwendung Dokumente direkt aus dem Verzeichnis öffnet, zählen Latenz und Sperrverhalten der Speicherschicht. Das zuerst zu klären verhindert eine Lösung, die perfekt verbindet und trotzdem nicht nutzbar ist.

Gemeinsames Bearbeiten führt ein Problem ein, das kein Transfer lösen kann. Ein Benutzer lädt eine Tabelle herunter, bearbeitet sie offline und lädt sie hoch, nachdem jemand anderes das Original geändert hat, und die verschlüsselte Verbindung hat keine Meinung zum Überschreiben. Einigkeit über Überschreiben, Konflikt oder Versionierung muss bestehen, bevor es die Zugriffsmethode gibt.

SFTP ist ein Transferprotokoll, keine Freigabe

SFTP bewegt Dateien über einen verschlüsselten SSH-Transport, was genau das ist, was eine Kopie braucht, und nicht das, was ein gemapptes Laufwerk braucht. Es ist nicht FTP, und ein Produkt, das FTPS anbietet, bietet ein anderes Protokoll statt SFTP. Ein SFTP-Verzeichnis über eine Dateisystemschicht einzubinden verspricht nicht das Sperr-, Berechtigungs- oder Anwendungsverhalten der ursprünglichen Freigabe. Prüfen Sie die Anforderungen der Client-Anwendung, bevor Sie das einen direkten Ersatz nennen.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Das ist der ganze Ablauf für eine fertige Datei: verbinden, kopieren, abholen. Ein reines Transferkonto braucht auch einen eingeschränkten SSH-Dienst, nicht nur das Dateisystem. Ein chroot oder ForceCommand internal-sftp begrenzt, was die Sitzung ausführen kann, und das Deaktivieren von TCP-Weiterleitung und Tunneling schließt die Pfade, die sonst aus einem Dateikonto einen Netzwerkeinstiegspunkt machen. Allein das sichtbare Verzeichnis einzuschränken beweist nichts darüber, was das Konto erreichen kann.

Wenn Sie die Freigabe brauchen, veröffentlichen Sie sie nicht

Manchmal ist die ursprüngliche Freigabe tatsächlich die Anforderung, und die Antwort ist nicht, SMB beliebigen Internet-Clients auszusetzen. Microsofts Empfehlung lautet, direkten SMB-Verkehr an der Grenze zu blockieren, und das aus gutem Grund: Das Protokoll wurde nicht für unzuverlässige Netzwerke gebaut. SMB über QUIC und vergleichbare Entwürfe existieren, mit spezifischen Plattformanforderungen an beiden Enden, und sie sind kein universeller Schalter für einen beliebigen Samba-Server. Wenn beides nicht zutrifft, besteht die Arbeit darin, einen unterstützten Zugriffspfad statt eines weitergeleiteten Ports bereitzustellen.

Die browserbasierte Option ist eine legitime dritte Antwort, wenn die Arbeit dazu passt. Sie bringt eigene Entscheidungen mit: Konten, Freigabelinks, Ablauf, aufbewahrte Versionen und welche Kopie maßgeblich ist. Ein Link, den jeder öffnen kann, und ein Arbeitsbereich, der eine Anmeldung verlangt, stehen für unterschiedliche Zugriffsrichtlinien, und keiner davon sollte versehentlich gewählt werden.

Was vor der Übergabe des Zugangs zu prüfen ist

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Welchen Entwurf Sie auch wählen, begrenzen Sie ihn auf die vorgesehenen Daten und die vorgesehenen Vorgänge. Der erste Befehl sollte gelingen und der zweite abgelehnt werden; gelingen beide, ist das Konto breiter als die Aufgabe. Entfernen Sie dann das Konto und wiederholen Sie den ersten, was nun fehlschlagen sollte. Halten Sie den Eigentümer der Quelldateien erkennbar, damit eine spätere Frage nach der maßgeblichen Kopie eine Antwort hat. Das Ergebnis, das es festzuhalten lohnt, ist ein nutzbarer und widerrufbarer Datei-Workflow, kein fehlendes Verbindungssymbol.

Schreiben Sie auf, welches Protokoll die Anwendung des Benutzers tatsächlich braucht und welche drei Tests Sie ausgeführt haben. Diese zwei Zeilen verhindern den größten Teil der Nacharbeit.