Η λήψη ενός αρχείου δεν απαιτεί πλήρες VPN δικτύου

Ένα αίτημα για πρόσβαση VPN συχνά κρύβει έναν φάκελο και ένα αρχείο πίσω του. Το να δοθεί διαδρομή σε ολόκληρο το δίκτυο του γραφείου απαντά στο αίτημα και παραδίδει πολύ περισσότερα απ' όσα απαιτεί η εργασία. Η αντικατάσταση ενός αντιστοιχισμένου κοινόχρηστου φακέλου με σελίδα μεταφόρτωσης μπορεί να είναι εξίσου λάθος προς την άλλη κατεύθυνση, γιατί αλλάζει τον τρόπο που εργάζονται οι άνθρωποι. Η απόφαση ξεκινά από το τι πρέπει να συμβεί στο αρχείο.

Τρεις απαιτήσεις μοιάζουν εδώ και συμπεριφέρονται πολύ διαφορετικά: η αντιγραφή ενός έτοιμου PDF, η επεξεργασία ενός εγγράφου στη θέση του και η εκτέλεση μιας εφαρμογής πάνω σε έναν κοινόχρηστο κατάλογο.

Ξεκινήστε από την επεξεργασία, όχι από τον φάκελο

Αν το αρχείο είναι έτοιμο και χρειάζεται μόνο ανάγνωση, ένας λογαριασμός μεταφοράς αρκεί. Αν πρόκειται να επεξεργαστεί, το ερώτημα γίνεται ποιος άλλος το επεξεργάζεται και πώς επιλύονται οι συγκρούσεις, που είναι ερώτημα ροής εργασίας και όχι δικτύου. Αν η εφαρμογή ανοίγει έγγραφα απευθείας από τον κατάλογο, μετρούν η καθυστέρηση και η συμπεριφορά κλειδώματος του επιπέδου αποθήκευσης. Η απάντηση σε αυτό πρώτα αποτρέπει μια λύση που συνδέεται τέλεια και παρόλα αυτά δεν μπορεί να χρησιμοποιηθεί.

Η κοινή επεξεργασία εισάγει ένα πρόβλημα που καμία μεταφορά δεν μπορεί να λύσει. Ένας χρήστης κατεβάζει ένα υπολογιστικό φύλλο, το επεξεργάζεται εκτός σύνδεσης και το ανεβάζει αφού κάποιος άλλος άλλαξε το πρωτότυπο, και η κρυπτογραφημένη σύνδεση δεν έχει γνώμη για την αντικατάσταση. Η συμφωνία για αντικατάσταση, σύγκρουση ή έκδοση πρέπει να υπάρχει πριν από τη μέθοδο πρόσβασης.

Το SFTP είναι πρωτόκολλο μεταφοράς, όχι κοινή χρήση

Το SFTP μετακινεί αρχεία μέσω κρυπτογραφημένης μεταφοράς SSH, που είναι ακριβώς αυτό που χρειάζεται ένα αντίγραφο και όχι αυτό που χρειάζεται ένας αντιστοιχισμένος δίσκος. Δεν είναι FTP, και ένα προϊόν που προσφέρει FTPS προσφέρει διαφορετικό πρωτόκολλο αντί για SFTP. Η προσάρτηση ενός καταλόγου SFTP μέσω επιπέδου συστήματος αρχείων δεν υπόσχεται το κλείδωμα, τα δικαιώματα ή τη συμπεριφορά εφαρμογών της αρχικής κοινής χρήσης. Ελέγξτε τις απαιτήσεις της εφαρμογής πελάτη πριν το αποκαλέσετε άμεση αντικατάσταση.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Αυτή είναι όλη η ροή εργασίας για ένα έτοιμο αρχείο: σύνδεση, αποστολή, λήψη. Ένας λογαριασμός μόνο για μεταφορά χρειάζεται επίσης περιορισμένη υπηρεσία SSH, όχι μόνο το σύστημα αρχείων. Ένα chroot ή ForceCommand internal-sftp περιορίζει τι μπορεί να εκτελέσει η συνεδρία, και η απενεργοποίηση της προώθησης TCP και της σήραγγας κλείνει τις διαδρομές που αλλιώς θα μετέτρεπαν έναν λογαριασμό αρχείων σε σημείο εισόδου δικτύου. Ο περιορισμός μόνο του ορατού καταλόγου δεν αποδεικνύει τίποτα για το τι μπορεί να προσεγγίσει ο λογαριασμός.

Αν χρειάζεστε την κοινή χρήση, μην τη δημοσιεύετε

Μερικές φορές η αρχική κοινή χρήση είναι πραγματικά η απαίτηση, και η απάντηση δεν είναι να εκτεθεί το SMB σε αυθαίρετους πελάτες του διαδικτύου. Η καθοδήγηση της Microsoft είναι να αποκλείεται η άμεση κίνηση SMB στα σύνορα, και για καλό λόγο: το πρωτόκολλο δεν χτίστηκε για να αντιμετωπίζει μη αξιόπιστα δίκτυα. Υπάρχουν SMB over QUIC και παρόμοια σχέδια, με ειδικές απαιτήσεις πλατφόρμας στα δύο άκρα, και δεν είναι καθολικός διακόπτης για έναν αυθαίρετο διακομιστή Samba. Αν δεν ισχύει κανένα, η δουλειά είναι να παρέχετε μια υποστηριζόμενη διαδρομή πρόσβασης αντί για μια προωθημένη θύρα.

Η επιλογή μέσω προγράμματος περιήγησης είναι μια νόμιμη τρίτη απάντηση όταν η εργασία ταιριάζει. Φέρνει τις δικές της αποφάσεις: λογαριασμούς, συνδέσμους κοινής χρήσης, λήξη, διατηρούμενες εκδόσεις και ποιο αντίγραφο είναι αυθεντικό. Ένας σύνδεσμος που μπορεί να ανοίξει οποιοσδήποτε και ένας χώρος εργασίας που απαιτεί σύνδεση αντιπροσωπεύουν διαφορετικές πολιτικές πρόσβασης, και καμία δεν πρέπει να επιλέγεται τυχαία.

Τι να επαληθεύσετε πριν παραδώσετε την πρόσβαση

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Όποιο σχέδιο κι αν επιλέξετε, περιορίστε το στα προβλεπόμενα δεδομένα και τις προβλεπόμενες λειτουργίες. Η πρώτη εντολή πρέπει να πετύχει και η δεύτερη να απορριφθεί· αν πετύχουν και οι δύο, ο λογαριασμός είναι ευρύτερος από την εργασία. Στη συνέχεια αφαιρέστε τον λογαριασμό και επαναλάβετε την πρώτη, που τώρα πρέπει να αποτύχει. Κρατήστε τον ιδιοκτήτη των αρχείων προέλευσης αναγνωρίσιμο, ώστε μια μεταγενέστερη ερώτηση για το αυθεντικό αντίγραφο να έχει απάντηση. Το αποτέλεσμα που αξίζει να καταγραφεί είναι μια χρησιμοποιήσιμη και ανακλητή ροή εργασίας αρχείων, όχι ένα εικονίδιο σύνδεσης που λείπει.

Γράψτε ποιο πρωτόκολλο χρειάζεται πραγματικά η εφαρμογή του χρήστη και ποιες τρεις δοκιμές εκτελέσατε. Αυτές οι δύο γραμμές αποτρέπουν το μεγαλύτερο μέρος της επανάληψης.