Egyetlen fájl letöltéséhez nem kell teljes hálózati VPN

A VPN-hozzáférés iránti kérés gyakran egy mappát és egy fájlt rejt maga mögött. Útvonalat adni a teljes irodai hálózathoz válaszol a kérésre, és jóval többet ad át, mint amit a feladat megkíván. Egy csatolt megosztás feltöltő oldallal való helyettesítése ugyanolyan hibás lehet a másik irányban, mert megváltoztatja, hogyan dolgoznak az emberek. A döntés azzal kezdődik, mi történjen a fájllal.

Három követelmény hasonlónak tűnik itt, és nagyon különbözően viselkedik: egy kész PDF másolása, egy dokumentum helyben szerkesztése és egy alkalmazás futtatása egy megosztott könyvtár ellen.

A szerkesztéssel kezdje, ne a mappával

Ha a fájl kész, és csak olvasni kell, elég egy átviteli fiók. Ha szerkeszteni fogják, a kérdés az lesz, ki más szerkeszti, és hogyan oldódnak fel a konfliktusok, ami munkafolyamat-kérdés, nem hálózati kérdés. Ha az alkalmazás közvetlenül a könyvtárból nyitja meg a dokumentumokat, a tárolási réteg késleltetése és zárolási viselkedése számít. Ennek elsőként való megválaszolása megakadályoz egy olyan megoldást, amely tökéletesen csatlakozik, és mégsem használható.

A közös szerkesztés olyan problémát vezet be, amelyet egyetlen átvitel sem tud megoldani. Egy felhasználó letölt egy táblázatot, offline szerkeszti, majd feltölti, miután valaki más megváltoztatta az eredetit, és a titkosított kapcsolatnak nincs véleménye a felülírásról. A felülírásról, konfliktusról vagy verziózásról szóló megállapodásnak a hozzáférési módszer előtt kell léteznie.

Az SFTP átviteli protokoll, nem megosztás

Az SFTP titkosított SSH-átvitelen keresztül mozgat fájlokat, ami pontosan az, amire egy másolatnak szüksége van, és nem az, amire egy csatolt meghajtónak. Ez nem FTP, és az FTPS-t kínáló termék más protokollt kínál az SFTP helyett. Egy SFTP-könyvtár fájlrendszer-rétegen keresztüli csatolása nem ígéri az eredeti megosztás zárolási, engedélyezési vagy alkalmazásviselkedését. Ellenőrizze a kliensalkalmazás követelményeit, mielőtt közvetlen helyettesítésnek nevezné.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Ez a teljes munkafolyamat egy kész fájlhoz: csatlakozás, feltétel, letöltés. A csak átvitelre használt fióknak is korlátozott SSH-szolgáltatásra van szüksége, nem csak a fájlrendszerre. Egy chroot vagy ForceCommand internal-sftp korlátozza, mit futtathat a munkamenet, a TCP-továbbítás és az alagútépítés letiltása pedig lezárja azokat az utakat, amelyek egyébként hálózati belépési ponttá tennék a fájlfiókot. Csak a látható könyvtár korlátozása semmit sem bizonyít arról, hová érhet el a fiók.

Ha kell a megosztás, ne tegye közzé

Néha az eredeti megosztás valóban a követelmény, és a válasz nem az, hogy az SMB-t tetszőleges internettel szembeni ügyfeleknek tesszük ki. A Microsoft útmutatása, hogy a közvetlen SMB-forgalmat a határon kell blokkolni, és jó okkal: a protokollt nem arra építették, hogy nem megbízható hálózatokkal nézzen szembe. Létezik SMB over QUIC és hasonló tervek, mindkét végén meghatározott platformkövetelményekkel, és nem univerzális kapcsoló egy tetszőleges Samba-kiszolgálóhoz. Ha egyik sem alkalmazható, a feladat egy támogatott hozzáférési útvonal biztosítása egy továbbított port helyett.

A böngészőalapú lehetőség jogos harmadik válasz, ha a munka illik hozzá. Saját döntésekkel jár: fiókok, megosztási hivatkozások, lejárat, megtartott verziók és hogy melyik példány a hiteles. Egy hivatkozás, amelyet bárki megnyithat, és egy munkaterület, amely bejelentkezést igényel, különböző hozzáférési szabályzatokat képviselnek, és egyiket sem szabad véletlenül választani.

Mit ellenőrizzen a hozzáférés átadása előtt

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Bármelyik tervet választja, korlátozza a szándékolt adatokra és a szándékolt műveletekre. Az első parancsnak sikerülnie kell, a másodikat pedig el kell utasítani; ha mindkettő sikerül, a fiók szélesebb a feladatnál. Ezután távolítsa el a fiókot, és ismételje meg az elsőt, amelynek most meg kell hiúsulnia. Tartsa azonosíthatónak a forrásfájlok tulajdonosát, hogy egy későbbi kérdésre a hiteles példányról legyen válasz. A rögzítésre érdemes eredmény egy használható és visszavonható fájlmunkafolyamat, nem egy hiányzó kapcsolatikon.

Írja le, milyen protokollra van valójában szüksége a felhasználó alkalmazásának, és melyik három tesztet futtatta. Ez a két sor megakadályozza az újramunka nagy részét.