FTP સર્વર તરફના માર્ગમાં VPN સુરક્ષા ક્યાં પૂરી થાય છે
VPN તેના ગેટવે સુધીનો માર્ગ આવરી લે છે, તેની પછીનો ભાગ નહીં. સાદા FTP, FTPS અને SFTPને અલગ પાડો, પછી ડેટા ચેનલ અને સામેની બાજુની ઓળખ ચકાસો.
VPN એક માર્ગનું રક્ષણ કરે છે, અને દરેક માર્ગનો અંત હોય છે. જ્યારે ટનલ કંપનીના ગેટવે પર પૂરી થાય છે, ત્યારે ફાઇલ સ્થાનાંતરણ ત્યાંથી તેના પોતાના પ્રોટોકોલ જે સુરક્ષા આપે છે તેની હેઠળ ચાલુ રહે છે. આ ભેદ નક્કી કરે છે કે સ્થાનાંતરણ શરૂઆતથી અંત સુધી સુરક્ષિત છે કે ફક્ત ગેટવે સુધી. Connected સૂચક બંનેમાંથી કંઈ જ કહેતું નથી.
બે સ્થાન, બે બાકીના માર્ગો
એવો લેપટોપ લો જે કંપનીના VPN સાથે જોડાય છે અને પછી અલગ આંતરિક સર્વર સાથે FTP સત્ર ખોલે છે. ટનલ ગેટવે પર અટકે છે, અને ગેટવેથી તે સર્વર સુધીનો ભાગ તેની બહાર રહે છે.
સાદું FTP એટલા માટે એન્ક્રિપ્શન મેળવતું નથી કે તેના પેકેટ ટનલમાંથી આવ્યા છે. તે બાકીના ભાગ પર આદેશો, ઓળખપત્રો અને ફાઇલની સામગ્રી બરાબર પ્રોટોકોલ જેવું નિર્ધારિત કરે છે તેવી જ રીતે, એટલે કે ખુલ્લી રીતે મુસાફરી કરે છે. આ મહત્ત્વનું છે કે નહીં તે ટોપોલોજી અને તે ભાગને બીજું શું રક્ષે છે તેના પર આધાર રાખે છે, અને સરનામાને ખાનગી કહેવાથી પ્રશ્નનો જવાબ મળતો નથી. જ્યારે સર્વર એવા ક્લાઉડ નેટવર્કમાં હોય જ્યાં ગેટવે બીજા એક કૂદકા દ્વારા પહોંચે છે ત્યારે એ જ તર્ક ઊલટી રીતે પણ લાગુ પડે છે.
VPN એન્ડપોઇન્ટ અને FTP સેવા એક જ મશીન પર મૂકો, પછી ચિંતા કરવા જેવો કોઈ આગળનો ભાગ રહેતો નથી. તે એક અલગ સ્થાન છે, હોસ્ટની પ્રક્રિયાઓ, ફાઇલો અને ઓળખપત્રો સુરક્ષિત છે તેનો પુરાવો નહીં.
સાદું FTP, FTPS અને SFTP ત્રણ નિર્ણયો છે
સાદું FTP કંઈ જ એન્ક્રિપ્ટ કરતું નથી, પાસવર્ડ પણ નહીં. FTPS એ FTPમાં TLS ઉમેરે છે, તેથી નિયંત્રણ ચેનલ અને, વાટાઘાટ થાય ત્યારે, ડેટા ચેનલ સુરક્ષિત રહે છે. SFTP એ SSHની અંદર વહન થતો અલગ પ્રોટોકોલ છે, અને તે FTPS લખવાની બીજી રીત નથી.
સર્વરે આ પસંદગીને ટેકો આપવો પડે, કારણ કે ક્લાયન્ટ એવું શ્રોતા બનાવી શકતું નથી જે અસ્તિત્વમાં નથી. SFTP પસંદ કરવાથી ફક્ત FTP ચલાવતી સેવા SSH એન્ડપોઇન્ટમાં ફેરવાતી નથી, અને બુકમાર્કનું નામ બદલવું કે પોર્ટ બદલવો તેના પર કંઈ પણ સાબિત કરતું નથી કે શું વાટાઘાટ થઈ છે. ક્લાયન્ટની સાથે સર્વરની બાજુથી પણ પ્રોટોકોલની પુષ્ટિ કરો. ફાઇલ મેનેજરમાંનું તાળું સત્ર વિશેનું દાવો છે, તેની પાછળના શ્રોતા વિશે નહીં.
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
જ્યારે સ્થાનાંતરણ મહત્ત્વનું હોય ત્યારે છેલ્લી કોલમ વાંચો, કારણ કે ત્યાં જ અણધારી ઓળખ-ફેરફાર દેખાય છે.
ડેટા જોડાણ એ બીજું જોડાણ છે
FTP નિયંત્રણ જોડાણ ખોલે છે અને પછી યાદીઓ તથા સ્થાનાંતરણો માટે અલગ ડેટા જોડાણો. સુરક્ષિત લોગિન તે પછીના જોડાણો વિશે કંઈ જ કહેતું નથી, સિવાય કે ડિપ્લોયમેન્ટ તેમના માટે પણ સુરક્ષા માંગે.
FTPSમાં ક્લાયન્ટ ચોક્કસ આદેશ દ્વારા સુરક્ષિત ડેટા ચેનલ માંગે છે, અને સર્વર નીતિ ખુલ્લા વિકલ્પને નકારી શકે છે. ક્લાયન્ટનું ડિફોલ્ટ પૂરતું છે એમ ધારવાને બદલે નીતિ તેની માંગ કરે છે તેની ખાતરી કરો. પેસિવ મોડ બીજી ગૂંચ ઉમેરે છે, કારણ કે સર્વર ડેટા જોડાણ માટે સરનામું અને પોર્ટ જાહેર કરે છે. જે ફાયરવોલ કે NAT ઉપકરણ તે જાહેરાતને ફરી લખે છે અથવા અવરોધે છે તે એવું સત્ર બનાવે છે જે પ્રમાણીકરણ પસાર કરે છે અને પછી પ્રથમ યાદી પર અટકી જાય છે.
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'બીજો આદેશ બતાવે છે કે કોઈ પણ ફાઇલને સ્પર્શ કરતા પહેલા સર્વર નિયંત્રણ ચેનલ પર શું રજૂ કરે છે. ત્રીજો બતાવે છે કે ડેટા જોડાણ ક્યારેય સ્થપાયું હતું કે નહીં, જે પ્રમાણીકરણ નિષ્ફળતા અને પેસિવ-મોડ નિષ્ફળતા વચ્ચેનો ફરક છે.
ઓળખ ચકાસણીઓ ટનલમાંથી પસાર થઈ જાય છે
FTPS ક્લાયન્ટ TLS સર્વરની ઓળખ ચકાસે છે, અને SFTP ક્લાયન્ટ SSH હોસ્ટ કી ચકાસે છે. બંને ચકાસણીઓ ફાઇલ સ્થાનાંતરણ પ્રોટોકોલની છે, અને VPN તેમાંથી એક પણ કરતું નથી.
જ્યારે વચ્ચેનું કંઈક સત્રની તપાસ કરવા માંગે ત્યારે આ વિભાજન મહત્ત્વનું છે. નેટવર્ક ઉપકરણ આદેશો વાંચી શકે તે માટે TLS બંધ કરવું સુરક્ષા મોડલ પૂર્ણ કરવાને બદલે બદલી નાખે છે, અને ટનલ ઊભી થઈ તેના કારણે અસ્પષ્ટ હોસ્ટ કી સ્વીકારવા વિશે પણ એ જ વાત લાગુ પડે છે. ઇચ્છિત વિશ્વાસ રૂપરેખા રાખો અને સાચી સામગ્રી ઓપરેટર પાસેથી મેળવો. પ્રમાણીકરણ કરતી ટનલ તેના દૂરના છેડેના સર્વર વિશે કંઈ જ કહેતી નથી.
આ પ્રોટોકોલ માટે ખાનગી કી અને પ્રમાણપત્રની સામગ્રી VPN ઓળખપત્રથી અલગ, ફરી એક ત્રીજું રહસ્ય છે.
તમે ખરેખર શું ચકાસ્યું તે નોંધો
એવી નિર્દોષ ફાઇલ પસંદ કરો જેને ખસેડવાની તમને પરવાનગી હોય, અને પ્રયાસ વિશે ચાર તથ્યો નોંધો: કયો પ્રોટોકોલ ચાલ્યો, કઈ સામેની ઓળખ ચકાસાઈ, કયો માર્ગ ઇચ્છિત હતો, અને સ્થાનાંતરણ પૂરું થયું કે નહીં.
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]ડિરેક્ટરી યાદી, ટનલમાં લોગિન અને પૂર્ણ થયેલું સ્થાનાંતરણ ત્રણ અલગ નિરીક્ષણો છે, અને ફક્ત છેલ્લું જ કહે છે કે માર્ગ ફાઇલો માટે કામ કરે છે. જો ડિઝાઇન બાકીના કૂદકા પર ગોપનીયતા માટે ફક્ત VPN પર આધાર રાખે છે, તો તે નિર્ણય છે તેમ જ લખો. કૂદકો અને તેની વિશ્વાસ-ધારણા દર્શાવતી સ્વીકૃતિ નોંધ જોડાયેલા ક્લાયન્ટની સ્ક્રીનશોટ કરતાં વધુ કીમતી છે.