Descargar un ficheiro non require unha VPN de rede completa

Unha solicitude de acceso VPN adoita agochar un cartafol e un ficheiro detrás. Conceder unha ruta a toda a rede da oficina responde a solicitude e entrega moito máis do que require a tarefa. Substituír unha compartición montada por unha páxina de carga pode ser igual de erróneo na dirección oposta, porque cambia como traballa a xente. A decisión comeza polo que ten que pasar co ficheiro.

Tres requisitos parécense aquí e compórtanse de forma moi distinta: copiar un PDF rematado, editar un documento no seu sitio e executar unha aplicación contra un directorio compartido.

Comece pola edición, non polo cartafol

Se o ficheiro está rematado e só necesita lectura, abonda cunha conta de transferencia. Se se vai editar, a pregunta pasa a ser quen máis o edita e como se resolven os conflitos, que é unha cuestión de fluxo de traballo e non de rede. Se a aplicación abre documentos directamente desde o directorio, importan a latencia e o comportamento de bloqueo da capa de almacenamento. Responder iso primeiro evita unha solución que conecta perfectamente e aínda así non se pode usar.

A edición compartida introduce un problema que ningunha transferencia pode resolver. Un usuario descarga unha folla de cálculo, edítaa sen conexión e sóbea despois de que outra persoa cambiase o orixinal, e a conexión cifrada non ten opinión sobre a sobrescritura. O acordo sobre sobrescritura, conflito ou versionado ten que existir antes que o método de acceso.

SFTP é un protocolo de transferencia, non unha compartición

SFTP move ficheiros sobre un transporte SSH cifrado, que é exactamente o que necesita unha copia e non o que necesita unha unidade montada. Non é FTP, e un produto que ofrece FTPS ofrece outro protocolo en lugar de SFTP. Montar un directorio SFTP mediante unha capa de sistema de ficheiros non promete o bloqueo, os permisos nin o comportamento de aplicacións da compartición orixinal. Comprobe os requisitos da aplicación cliente antes de chamalo unha substitución directa.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Ese é todo o fluxo de traballo para un ficheiro rematado: conectar, poñer, obter. Unha conta só de transferencia tamén necesita o servizo SSH restrinxido, non só o sistema de ficheiros. Un chroot ou ForceCommand internal-sftp limita o que pode executar a sesión, e desactivar o reenvío TCP e o túnel pecha as rutas que doutro xeito converterían unha conta de ficheiros nun punto de entrada á rede. Restrinxir só o directorio visible non demostra nada sobre a que pode chegar a conta.

Se necesita a compartición, non a publique

Ás veces a compartición orixinal é de verdade o requisito, e a resposta non é expoñer SMB a clientes de internet arbitrarios. A guía de Microsoft é bloquear o tráfico SMB directo na fronteira, e por unha boa razón: o protocolo non se construíu para enfrontarse a redes non confiables. Existen SMB sobre QUIC e deseños comparables, con requisitos específicos de plataforma nos dous extremos, e non son un interruptor universal para un servidor Samba arbitrario. Se ningún se aplica, o traballo é proporcionar unha ruta de acceso compatible en lugar dun porto reenviado.

A opción baseada no navegador é unha terceira resposta lexítima cando o traballo encaixa. Trae as súas propias decisións: contas, ligazóns para compartir, caducidade, versións conservadas e que copia é a autoritativa. Unha ligazón que calquera pode abrir e un espazo de traballo que esixe iniciar sesión representan políticas de acceso distintas, e ningunha debería escollerse por accidente.

Que verificar antes de entregar o acceso

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Calquera que sexa o deseño que elixa, limíteo aos datos e ás operacións previstos. O primeiro comando debería funcionar e o segundo ser rexeitado; se ambos funcionan, a conta é máis ampla que a tarefa. Despois elimine a conta e repita o primeiro, que agora debería fallar. Manteña identificable o propietario dos ficheiros de orixe, para que unha pregunta posterior sobre a copia autoritativa teña resposta. O resultado que merece rexistrarse é un fluxo de traballo de ficheiros utilizábel e revogábel, non unha icona de conexión ausente.

Anote que protocolo necesita realmente a aplicación do usuario e que tres probas executou. Esas dúas liñas evitan a maior parte do retraballo.