Preuzimanje jedne datoteke ne zahtijeva puni mrežni VPN

Zahtjev za VPN pristupom često skriva jedan folder i jednu datoteku. Davanje rute do cijele uredske mreže odgovara na zahtjev i predaje mnogo više nego što zadatak traži. Zamjena mapiranog dijeljenja stranicom za otpremanje može biti jednako pogrešna u drugom smjeru, jer mijenja način na koji ljudi rade. Odluka počinje od toga šta se mora dogoditi s datotekom.

Tri zahtjeva ovdje izgledaju slično, a ponašaju se vrlo različito: kopiranje gotovog PDF-a, uređivanje dokumenta na mjestu i pokretanje aplikacije prema dijeljenom direktoriju.

Počnite od uređivanja, ne od foldera

Ako je datoteka gotova i treba samo čitanje, račun za prijenos je dovoljan. Ako će se uređivati, pitanje postaje ko je još uređuje i kako se rješavaju sukobi, što je pitanje radnog toka, a ne mreže. Ako aplikacija otvara dokumente direktno iz direktorija, bitni su kašnjenje i ponašanje zaključavanja sloja pohrane. Odgovor na to prvo sprječava rješenje koje se savršeno povezuje i ipak se ne može koristiti.

Zajedničko uređivanje uvodi problem koji nijedan prijenos ne može riješiti. Korisnik preuzme tabelu, uređuje je izvan mreže i otpremi je nakon što je neko drugi promijenio original, a šifrirana veza nema mišljenje o prepisivanju. Dogovor o prepisivanju, sukobu ili verzioniranju mora postojati prije metode pristupa.

SFTP je protokol za prijenos, a ne dijeljenje

SFTP prenosi datoteke preko šifriranog SSH transporta, što je tačno ono što kopija treba, a ne ono što mapirani disk treba. To nije FTP, a proizvod koji nudi FTPS nudi drugi protokol, a ne SFTP. Montiranje SFTP direktorija kroz sloj datotečnog sistema ne obećava zaključavanje, dozvole ni ponašanje aplikacija originalnog dijeljenja. Provjerite zahtjeve klijentske aplikacije prije nego to nazovete direktnom zamjenom.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

To je cijeli radni tok za gotovu datoteku: poveži, stavi, preuzmi. Račun samo za prijenos također treba ograničenu SSH uslugu, ne samo datotečni sistem. chroot ili ForceCommand internal-sftp ograničava šta sesija može pokrenuti, a isključivanje TCP prosljeđivanja i tuneliranja zatvara putanje koje bi inače pretvorile račun za datoteke u mrežnu ulaznu točku. Ograničavanje samo vidljivog direktorija ništa ne dokazuje o tome do čega račun može doći.

Ako vam treba dijeljenje, nemojte ga objavljivati

Ponekad je originalno dijeljenje zaista zahtjev, a odgovor nije izlagati SMB proizvoljnim internetskim klijentima. Microsoftove smjernice su blokirati direktni SMB promet na granici, i to s dobrim razlogom: protokol nije građen da se suoči s nepouzdanim mrežama. Postoje SMB preko QUIC-a i slični dizajni, s posebnim zahtjevima platforme na oba kraja, i oni nisu univerzalni prekidač za proizvoljni Samba server. Ako ni jedno ne vrijedi, posao je osigurati podržanu putanju pristupa umjesto proslijeđenog porta.

Opcija u pregledniku legitiman je treći odgovor kada posao odgovara. Ona nosi vlastite odluke: računi, linkovi za dijeljenje, rok trajanja, zadržane verzije i koja je kopija mjerodavna. Link koji svako može otvoriti i radni prostor koji zahtijeva prijavu predstavljaju različite politike pristupa, i nijednu ne treba birati slučajno.

Šta provjeriti prije predaje pristupa

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Koji god dizajn odabrali, ograničite ga na predviđene podatke i predviđene operacije. Prva komanda treba uspjeti, a druga biti odbijena; ako obje uspiju, račun je širi od zadatka. Zatim uklonite račun i ponovite prvu, koja sada treba da ne uspije. Držite vlasnika izvornih datoteka prepoznatljivim, kako bi kasnije pitanje o mjerodavnoj kopiji imalo odgovor. Ishod koji vrijedi zabilježiti je upotrebljiv i opoziv radni tok datoteka, a ne ikona veze koja nedostaje.

Zapišite koji protokol aplikacija korisnika zapravo treba i koja tri testa ste izveli. Ta dva reda sprječavaju većinu ponovnog rada.