Wêr’t VPN-beskerming ophâldt op ’e wei nei in FTP-tsjinner
In VPN dekt de wei nei syn gateway, net it stik dêrnei. Skied gewoane FTP, FTPS en SFTP, en kontrolearje dan it datakanaal en de identiteit fan ’e oare partij.
In VPN beskermet in wei, en in wei hat in ein. As de tunnel by in bedriuwsgateway einiget, giet de bestânoerdracht fan dêrút troch ûnder de beskerming dy’t syn eigen protokol biedt. Dat ûnderskied beslút oft in oerdracht fan begjin oant ein beskerme is of allinnich oant de gateway. De oanwizing Connected seit neat oer ien fan beide.
Twa pleatsings, twa oerbleaune wegen
Nim in laptop dy’t him oanslút by in bedriuws-VPN en dan in FTP-sesje iepenet nei in aparte ynterne tsjinner. De tunnel stopt by de gateway, en it stik fan de gateway nei dy tsjinner leit dêrbûten.
Gewoane FTP krijt gjin fersifering om’t syn pakketten troch in tunnel oankommen binne. Op dat oerbleaune stik reizgje de opdrachten, de oanmeldgegevens en de bestânsynhâld krekt sa’t it protokol it bepaalt, dat wol sizze iepen. Oft dat útmaakt hinget ôf fan ’e topology en fan wat oars dat stik bewekket, en it adres privee neame beantwurdet de fraach net. Deselde redenearring jildt oarsom as de tsjinner yn in wolknetwurk leit dat de gateway oer noch in sprong berikt.
Set it VPN-einpunt en de FTP-tsjinst op ien masine, en der is gjin folgjend stik mear om jin soargen oer te meitsjen. Dat is in oare pleatsing, net in bewiis dat de prosessen, bestannen en oanmeldgegevens fan ’e host feilich binne.
Gewoane FTP, FTPS en SFTP binne trije besluten
Gewoane FTP fersiferet neat, ek it wachtwurd net. FTPS foeget TLS ta oan FTP, sadat it kontrôlekanaal en, as dat ûnderhannele wurdt, it datakanaal beskerme binne. SFTP is in oar protokol dat yn SSH droegen wurdt, en it is gjin oare stavering fan FTPS.
De tsjinner moat dy kar stypje, want in klant kin gjin harker tafoegje dy’t der net is. SFTP kieze makket fan in tsjinst dy’t allinnich FTP docht gjin SSH-einpunt, en it omneamen fan in blêdwizer of it feroarjen fan in poarte bewiist neat oer wat ûnderhannele is. Befêstigje it protokol sawol fan ’e kant fan ’e tsjinner as fan ’e klant. In slot yn in bestânsbehearder is in bewearing oer de sesje, net oer de harker der efter.
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
Lês de lêste kolom as de oerdracht fan belang is, want dêr komt in ûnferwachte identiteitsferoaring foar it ljocht.
De dataferbining is in twadde ferbining
FTP iepenet in kontrôleferbining en dan aparte dataferbiningen foar listen en oerdrachten. In beskerme oanmelding seit neat oer dy lettere ferbiningen, útsein as de ynset ek beskerming foar har freget.
By FTPS freget de klant om in beskerme datakanaal fia in spesifike opdracht, en in tsjinnerbelied kin it iepen alternatyf wegerje. Kontrolearje dat it belied dat easket ynstee fan oan te nimmen dat de standert fan ’e klant genôch is. Passive modus foeget in twadde komplikaasje ta, want de tsjinner kundiget in adres en poarte oan foar de dataferbining. In firewall of NAT-apparaat dat dy oankundiging oerskriuwt of blokket, makket in sesje dy’t him autentisearret en dan by de earste list hingjen bliuwt.
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'De twadde opdracht lit sjen wat de tsjinner op it kontrôlekanaal presintearret foar’t der in bestân oanrekke wurdt. De tredde lit sjen oft der ea in dataferbining ta stân kaam, wat it ferskil is tusken in autentikaasjeflater en in passive-modusflater.
Identiteitskontrôles oerlibje de tunnel
In FTPS-klant falidearret in TLS-tsjinneridentiteit, en in SFTP-klant falidearret in SSH-hostkaai. Beide kontrôles hearre by it bestânoerdrachtprotokol, en gjinien wurdt troch de VPN útfierd.
Dat skieden is fan belang as eat yn ’e midden de sesje besjen wol. TLS útsette sadat in netwurkapparaat de opdrachten lêze kin, feroaret it beskermingsmodel ynstee fan it te foltôgjen, en itselde jildt foar it akseptearjen fan in ûnferklearre hostkaai om’t de tunnel omheech kaam. Hâld de bedoelde fertrouwenskonfiguraasje en helje it goede materiaal by de operator. In tunnel dy’t him autentisearret seit neat oer de tsjinner oan syn fiere ein.
Priveekaai- en sertifikaatmateriaal foar dizze protokollen is wer in tredde geheim, apart fan ’e VPN-oanmeldgegevens.
Skriuw op watst echt ferifiearre hast
Kies in ûnskeadlik bestân datst ferpleatse meiest, en notearje fjouwer feiten oer de poging: hokker protokol rûn, hokker identiteit fan ’e oare partij kontrolearre waard, hokker wei bedoeld wie, en oft de oerdracht klear kaam.
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]In maplyst, in tunneloanmelding en in ôfmakke oerdracht binne trije aparte waarnimmingen, en allinnich de lêste seit dat de wei foar bestannen wurket. As it ûntwerp foar fertroulikens op ’e oerbleaune sprong allinnich op ’e VPN fertrout, skriuw dat op as it beslút dat it is. In akseptaasjenota dy’t de sprong en syn fertrouwensfoarûnderstelling neamt, is mear wurdich as in skermprint fan in ferbûn klant.