Kus VPN-kaitse lõpeb teel FTP-serverini
VPN katab tee oma lüüsini, mitte selle taga olevat lõiku. Eristage tavalist FTP-d, FTPS-i ja SFTP-d ning seejärel kontrollige andmekanalit ja vastaspoole identiteeti.
VPN kaitseb teed ja teel on lõpp. Kui tunnel lõpeb ettevõtte lüüsil, jätkub failiülekanne sealt edasi selle oma protokolli pakutava kaitse all. See erinevus otsustab, kas ülekanne on kaitstud algusest lõpuni või ainult lüüsini. Näidik Connected ei ütle kummagi kohta midagi.
Kaks paigutust, kaks järelejäänud teed
Võtke sülearvuti, mis liitub ettevõtte VPN-iga ja avab seejärel FTP-sessiooni eraldi sisemise serveriga. Tunnel peatub lüüsil ja lõik lüüsist selle serverini jääb sellest väljapoole.
Tavaline FTP ei saa krüpteerimist sellepärast, et tema paketid saabusid tunnelist. Sellel järelejäänud lõigul liiguvad käsud, volitused ja faili sisu täpselt nii, nagu protokoll määrab, see tähendab avalikult. Kas sellel on tähtsust, sõltub topoloogiast ja sellest, mis veel seda lõiku valvab, ning aadressi privaatseks nimetamine ei vasta küsimusele. Sama loogika kehtib vastupidi, kui server asub pilvevõrgus, kuhu lüüs jõuab veel ühe hüppega.
Pange VPN-i lõpp-punkt ja FTP-teenus ühte masinasse ja siis pole enam järgmist lõiku, mille pärast muretseda. See on teistsugune paigutus, mitte tõestus, et hosti protsessid, failid ja volitused on turvalised.
Tavaline FTP, FTPS ja SFTP on kolm otsust
Tavaline FTP ei krüpteeri midagi, ka mitte parooli. FTPS lisab FTP-le TLS-i, nii et juhtimiskanal ja kokkuleppimisel andmekanal on kaitstud. SFTP on teine protokoll, mida kantakse SSH sees, ja see ei ole FTPS-i teine kirjaviis.
Server peab seda valikut toetama, sest klient ei saa luua kuulajat, keda pole olemas. SFTP valimine ei muuda ainult FTP-ga teenust SSH lõpp-punktiks ning järjehoidja ümbernimetamine või pordi muutmine ei tõesta midagi kokkulepitu kohta. Kinnitage protokoll nii serveri kui ka kliendi poolel. Failihalduri lukk on väide sessiooni kohta, mitte selle taga oleva kuulaja kohta.
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
Lugege viimast veergu, kui ülekanne on tähtis, sest just seal ilmneb ootamatu identiteedimuutus.
Andmeühendus on teine ühendus
FTP avab juhtimisühenduse ja seejärel eraldi andmeühendused loendite ja ülekannete jaoks. Kaitstud sisselogimine ei ütle nende hilisemate ühenduste kohta midagi, kui juurutamine ei nõua kaitset ka nende jaoks.
FTPS-i puhul küsib klient kindla käsuga kaitstud andmekanalit ja serveripoliitika võib avatud alternatiivi tagasi lükata. Kontrollige, et poliitika seda nõuab, selle asemel et eeldada kliendi vaikeväärtuse piisavust. Passiivne režiim lisab teise komistuskivi, sest server teavitab andmeühenduse aadressi ja porti. Tulemüür või NAT-seade, mis seda teadet ümber kirjutab või blokeerib, tekitab sessiooni, mis autentitakse ja jääb siis esimese loendi juures rippuma.
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'Teine käsk näitab, mida server juhtimiskanalil esitab enne ühegi faili puudutamist. Kolmas näitab, kas andmeühendus üldse loodi, mis on vahe autentimise ebaõnnestumise ja passiivse režiimi ebaõnnestumise vahel.
Identiteedikontrollid elavad tunnelist üle
FTPS-klient valideerib TLS-serveri identiteedi, ja SFTP-klient valideerib SSH-hostivõtme. Mõlemad kontrollid kuuluvad failiülekandeprotokolli juurde ja kumbagi ei tee VPN.
See eraldatus on tähtis, kui miski keskel tahab sessiooni uurida. TLS-i väljalülitamine, et võrguseade saaks käske lugeda, muudab kaitse mudelit, selle asemel et seda täiendada, ja sama kehtib seletamata hostivõtme vastuvõtmise kohta sellepärast, et tunnel tuli üles. Hoidke kavandatud usalduse konfiguratsiooni ja hankige õige materjal operaatorilt. Tunnel, mis autentitakse, ei ütle midagi serveri kohta selle kaugemas otsas.
Nende protokollide privaatvõtme- ja sertifikaadimaterjal on jälle kolmas saladus, VPN-i volitusest eraldi.
Pange kirja, mida te tegelikult kontrollisite
Valige kahjutu fail, mida tohib liigutada, ja märkige katse kohta neli fakti: milline protokoll töötas, millist vastaspoole identiteeti kontrolliti, milline tee oli kavatsetud ja kas ülekanne lõppes.
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]Kataloogiloend, tunnelisse sisselogimine ja lõpetatud ülekanne on kolm eraldi tähelepanekut ja ainult viimane ütleb, et tee töötab failide jaoks. Kui disain toetub järelejäänud hüppel konfidentsiaalsuse osas ainult VPN-ile, kirjutage see üles nii, nagu see otsus on. Vastuvõtumärkus, mis nimetab hüppe ja selle usalduse eelduse, on väärtuslikum kui ühendatud kliendi ekraanipilt.