Descargar un archivo no requiere una VPN de red completa

Una solicitud de acceso VPN a menudo esconde una carpeta y un archivo detrás. Conceder una ruta a toda la red de la oficina responde a la solicitud y entrega mucho más de lo que requiere la tarea. Sustituir un recurso compartido montado por una página de carga puede ser igual de erróneo en la dirección opuesta, porque cambia cómo trabaja la gente. La decisión empieza por lo que tiene que pasar con el archivo.

Tres requisitos se parecen aquí y se comportan de forma muy distinta: copiar un PDF terminado, editar un documento en su sitio y ejecutar una aplicación contra un directorio compartido.

Empiece por la edición, no por la carpeta

Si el archivo está terminado y solo necesita lectura, una cuenta de transferencia basta. Si se va a editar, la pregunta pasa a ser quién más lo edita y cómo se resuelven los conflictos, que es una cuestión de flujo de trabajo y no de red. Si la aplicación abre documentos directamente desde el directorio, importan la latencia y el comportamiento de bloqueo de la capa de almacenamiento. Responder eso primero evita una solución que conecta perfectamente y aun así no se puede usar.

La edición compartida introduce un problema que ninguna transferencia puede resolver. Un usuario descarga una hoja de cálculo, la edita sin conexión y la sube después de que otra persona haya cambiado el original, y la conexión cifrada no tiene opinión sobre la sobrescritura. El acuerdo sobre sobrescritura, conflicto o versionado tiene que existir antes que el método de acceso.

SFTP es un protocolo de transferencia, no un recurso compartido

SFTP mueve archivos sobre un transporte SSH cifrado, que es exactamente lo que necesita una copia y no lo que necesita una unidad montada. No es FTP, y un producto que ofrece FTPS ofrece otro protocolo en lugar de SFTP. Montar un directorio SFTP mediante una capa de sistema de archivos no promete el bloqueo, los permisos ni el comportamiento de aplicaciones del recurso compartido original. Compruebe los requisitos de la aplicación cliente antes de llamarlo un reemplazo directo.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Ese es todo el flujo de trabajo para un archivo terminado: conectar, poner, obtener. Una cuenta solo de transferencia también necesita el servicio SSH restringido, no solo el sistema de archivos. Un chroot o ForceCommand internal-sftp limita lo que puede ejecutar la sesión, y desactivar el reenvío TCP y el túnel cierra las rutas que, de otro modo, convertirían una cuenta de archivos en un punto de entrada a la red. Restringir solo el directorio visible no demuestra nada sobre a qué puede llegar la cuenta.

Si necesita el recurso compartido, no lo publique

A veces el recurso compartido original es de verdad el requisito, y la respuesta no es exponer SMB a clientes de internet arbitrarios. La guía de Microsoft es bloquear el tráfico SMB directo en el límite, y por una buena razón: el protocolo no se construyó para enfrentarse a redes no confiables. Existen SMB sobre QUIC y diseños comparables, con requisitos específicos de plataforma en ambos extremos, y no son un interruptor universal para un servidor Samba arbitrario. Si ninguno se aplica, el trabajo es proporcionar una ruta de acceso compatible en lugar de un puerto reenviado.

La opción basada en el navegador es una tercera respuesta legítima cuando el trabajo encaja. Trae sus propias decisiones: cuentas, enlaces para compartir, caducidad, versiones conservadas y qué copia es la autoritativa. Un enlace que cualquiera puede abrir y un espacio de trabajo que exige iniciar sesión representan políticas de acceso distintas, y ninguna debería elegirse por accidente.

Qué verificar antes de entregar el acceso

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Sea cual sea el diseño que elija, limítelo a los datos y las operaciones previstos. El primer comando debería funcionar y el segundo ser rechazado; si ambos funcionan, la cuenta es más amplia que la tarea. Luego elimine la cuenta y repita el primero, que ahora debería fallar. Mantenga identificable al propietario de los archivos de origen, para que una pregunta posterior sobre la copia autoritativa tenga respuesta. El resultado que merece registrarse es un flujo de trabajo de archivos utilizable y revocable, no un icono de conexión ausente.

Anote qué protocolo necesita realmente la aplicación del usuario y qué tres pruebas ejecutó. Esas dos líneas evitan la mayor parte del retrabajo.