Yhden tiedoston hakeminen ei vaadi täyttä verkon VPN:ää

VPN-pääsyä koskeva pyyntö kätkee usein taakseen yhden kansion ja yhden tiedoston. Reitin antaminen koko toimiston verkolle vastaa pyyntöön ja luovuttaa paljon enemmän kuin tehtävä vaatii. Yhdistetyn jaon korvaaminen lataussivulla voi olla yhtä väärin toiseen suuntaan, koska se muuttaa tapaa, jolla ihmiset työskentelevät. Päätös alkaa siitä, mitä tiedostolle täytyy tapahtua.

Kolme vaatimusta näyttävät tässä samanlaisilta ja käyttäytyvät hyvin eri tavoin: valmiin PDF:n kopiointi, asiakirjan muokkaaminen paikallaan ja sovelluksen ajaminen jaettua hakemistoa vasten.

Aloita muokkauksesta, älä kansiosta

Jos tiedosto on valmis ja sitä tarvitsee vain lukea, siirtotili riittää. Jos sitä muokataan, kysymys on, kuka muu sitä muokkaa ja miten ristiriidat ratkaistaan, mikä on työnkulun eikä verkon kysymys. Jos sovellus avaa asiakirjoja suoraan hakemistosta, tallennuskerroksen viive ja lukituskäyttäytyminen merkitsevät. Tähän ensin vastaaminen estää ratkaisun, joka yhdistyy täydellisesti eikä silti ole käytettävissä.

Yhteismuokkaus tuo mukanaan ongelman, jota mikään siirto ei voi ratkaista. Käyttäjä lataa laskentataulukon, muokkaa sitä offline-tilassa ja lataa sen, kun joku muu on muuttanut alkuperäistä, eikä salatulla yhteydellä ole mielipidettä ylikirjoituksesta. Sopimus ylikirjoituksesta, ristiriidasta tai versioinnista on oltava olemassa ennen pääsytapaa.

SFTP on siirtoprotokolla, ei jakaminen

SFTP siirtää tiedostoja salatun SSH-siirron yli, mikä on täsmälleen se, mitä kopio tarvitsee, eikä se, mitä yhdistetty asema tarvitsee. Se ei ole FTP, ja FTPS:ää tarjoava tuote tarjoaa eri protokollan eikä SFTP:tä. SFTP-hakemiston liittäminen tiedostojärjestelmäkerroksen kautta ei lupaa alkuperäisen jaon lukitus-, käyttöoikeus- tai sovelluskäyttäytymistä. Tarkista asiakassovelluksen vaatimukset ennen kuin kutsut sitä suoraksi korvikkeeksi.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Se on koko työnkulku valmiille tiedostolle: yhdistä, laita, hae. Vain siirtoon tarkoitettu tili tarvitsee myös rajoitetun SSH-palvelun, ei vain tiedostojärjestelmän. chroot tai ForceCommand internal-sftp rajoittaa sitä, mitä istunto voi suorittaa, ja TCP-edelleenohjauksen ja tunnelointiin poistaminen sulkee polut, jotka muuten tekisivät tiedostotilistä verkon sisääntulopisteen. Pelkän näkyvän hakemiston rajoittaminen ei todista mitään siitä, mihin tili voi päästä.

Jos tarvitset jakamista, älä julkaise sitä

Joskus alkuperäinen jako on todella vaatimus, eikä vastaus ole SMB:n altistaminen mielivaltaisille internet-asiakkaille. Microsoftin ohje on estää suora SMB-liikenne rajalla, ja hyvästä syystä: protokollaa ei rakennettu kohtaamaan epäluotettavia verkkoja. SMB over QUIC ja vastaavat mallit ovat olemassa, molemmissa päissä erityisiä alusta-vaatimuksia, eivätkä ne ole yleiskytkin mielivaltaiselle Samba-palvelimelle. Jos kumpikaan ei sovellu, työ on tarjota tuettu pääsypolku edelleenohjatun portin sijaan.

Selainpohjainen vaihtoehto on laillinen kolmas vastaus, kun työ sopii siihen. Se tuo mukanaan omat päätöksensä: tilit, jakolinkit, vanheneminen, säilytettävät versiot ja se, mikä kopio on auktoritatiivinen. Linkki, jonka kuka tahansa voi avata, ja työtila, joka vaatii kirjautumisen, edustavat erilaisia pääsykäytäntöjä, eikä kumpaakaan pitäisi valita vahingossa.

Mitä tarkistaa ennen pääsyn luovuttamista

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Minkä tahansa mallin valitsetkin, rajaa se aiottuihin tietoihin ja aiottuihin toimintoihin. Ensimmäisen komennon pitäisi onnistua ja toisen tulla hylätyksi; jos molemmat onnistuvat, tili on laajempi kuin tehtävä. Poista sitten tili ja toista ensimmäinen, jonka pitäisi nyt epäonnistua. Pidä lähdetiedostojen omistaja tunnistettavana, jotta myöhempi kysymys auktoritatiivisesta kopiosta saa vastauksen. Tallentamisen arvoinen tulos on käyttökelpoinen ja peruutettava tiedostotyönkulku, ei puuttuva yhteyskuvake.

Kirjoita muistiin, mitä protokollaa käyttäjän sovellus todella tarvitsee ja mitkä kolme testiä suoritit. Ne kaksi riviä estävät suurimman osan uudelleentyöstä.