Որտեղ է ավարտվում VPN-ի պաշտպանությունը FTP սերվերի ճանապարհին
VPN-ն ծածկում է ճանապարհը մինչև իր դարպասը, ոչ թե դրանից հետո ընկած հատվածը։ Առանձնացրեք սովորական FTP-ն, FTPS-ը և SFTP-ը, ապա ստուգեք տվյալների ալիքը և հակառակ կողմի ինքնությունը։
VPN-ն պաշտպանում է ճանապարհ, և յուրաքանչյուր ճանապարհ ունի վերջ։ Երբ թունելը ավարտվում է ընկերության դարպասի մոտ, ֆայլերի փոխանցումը շարունակվում է այնտեղից՝ այն պաշտպանությամբ, որը տալիս է իր սեփական արձանագրությունը։ Այդ տարբերությունը որոշում է՝ փոխանցումը պաշտպանված է սկզբից մինչև վերջ, թե միայն մինչև դարպասը։ Connected ցուցիչը ոչ մեկի մասին ոչինչ չի ասում։
Երկու տեղադրություն, երկու մնացած ճանապարհ
Վերցրեք նոթբուք, որը միանում է ընկերության VPN-ին, ապա FTP նստաշրջան է բացում առանձին ներքին սերվերի հետ։ Թունելը կանգ է առնում դարպասի մոտ, և դարպասից մինչև այդ սերվեր ընկած հատվածը գտնվում է դրանից դուրս։
Սովորական FTP-ն գաղտնագրում չի ստանում միայն այն պատճառով, որ իր փաթեթները եկել են թունելով։ Այդ մնացած հատվածում հրամանները, հավատարմագրերը և ֆայլերի բովանդակությունը շարժվում են ճիշտ այնպես, ինչպես սահմանում է արձանագրությունը, այսինքն՝ բաց։ Արդյոք դա կարևոր է, կախված է տոպոլոգիայից և նրանից, թե ինչ այլ բան է պաշտպանում հատվածը, և հասցեն մասնավոր անվանելը պատասխան չէ հարցին։ Նույն տրամաբանությունը գործում է նաև հակառակ ուղղությամբ, երբ սերվերը գտնվում է ամպային ցանցում, որին դարպասը հասնում է ևս մեկ ցատկով։
Տեղադրեք VPN-ի վերջնակետը և FTP ծառայությունը մեկ մեքենայի վրա, և հետագա հատված չի մնում, որի համար պետք է անհանգստանալ։ Դա այլ տեղադրություն է, ոչ թե ապացույց, որ հոսթի գործընթացները, ֆայլերը և հավատարմագրերը ապահով են։
Սովորական FTP-ն, FTPS-ը և SFTP-ը երեք որոշում են
Սովորական FTP-ն ոչինչ չի գաղտնագրում, նույնիսկ գաղտնաբառը։ FTPS-ը TLS է ավելացնում FTP-ին, ուստի կառավարման ալիքը և, երբ պայմանավորվում են, տվյալների ալիքը պաշտպանված են։ SFTP-ը այլ արձանագրություն է, որը կրում են SSH-ի ներսում, և այն FTPS-ի մեկ այլ ուղղագրություն չէ։
Սերվերը պետք է աջակցի այս ընտրությանը, որովհետև հաճախորդը չի կարող հորինել լսող, որը չկա։ SFTP ընտրելը միայն FTP-ով աշխատող ծառայությունը SSH վերջնակետի չի վերածում, և էջանիշը վերանվանելը կամ պորտը փոխելը ոչինչ չի ապացուցում այն մասին, ինչ պայմանավորվել է։ Հաստատեք արձանագրությունը և՛ սերվերի, և՛ հաճախորդի կողմից։ Ֆայլերի կառավարիչում կողպեքը նստաշրջանի մասին պնդում է, ոչ թե դրա հետևում գտնվող լսողի։
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
Կարդացեք վերջին սյունակը, երբ փոխանցումը կարևոր է, որովհետև հենց այնտեղ է երևում ինքնության անսպասելի փոփոխությունը։
Տվյալների միացումը երկրորդ միացումն է
FTP-ն բացում է կառավարման միացում, ապա առանձին տվյալների միացումներ ցանկերի և փոխանցումների համար։ Պաշտպանված մուտքը ոչինչ չի ասում այդ հետագա միացումների մասին, եթե տեղադրումը պաշտպանություն չի պահանջում նաև դրանց համար։
FTPS-ի դեպքում հաճախորդը հատուկ հրամանով պահանջում է պաշտպանված տվյալների ալիք, և սերվերի քաղաքականությունը կարող է մերժել բաց այլընտրանքը։ Ստուգեք, որ քաղաքականությունը դա պահանջում է, փոխարենը չենթադրելու, թե հաճախորդի լռելյայնը բավարար է։ Պասիվ ռեժիմը երկրորդ բարդությունն է ավելացնում, որովհետև սերվերը հայտարարում է հասցե և պորտ տվյալների միացման համար։ Այն firewall-ը կամ NAT սարքը, որը վերագրում կամ արգելափակում է այդ հայտարարությունը, ստեղծում է նստաշրջան, որը նույնականացվում է, ապա կախվում առաջին ցանկի վրա։
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'Երկրորդ հրամանը ցույց է տալիս, թե ինչ է ներկայացնում սերվերը կառավարման ալիքում՝ նախքան որևէ ֆայլի դիպչելը։ Երրորդը ցույց է տալիս, թե արդյոք տվյալների միացում ընդհանրապես հաստատվել է, ինչը տարբերությունն է նույնականացման ձախողման և պասիվ ռեժիմի ձախողման միջև։
Ինքնության ստուգումները վերապրում են թունելը
FTPS հաճախորդը ստուգում է TLS սերվերի ինքնությունը, իսկ SFTP հաճախորդը ստուգում է SSH հոսթի բանալին։ Երկու ստուգումներն էլ պատկանում են ֆայլերի փոխանցման արձանագրությանը, և ոչ մեկը VPN-ը չի կատարում։
Այդ բաժանումը կարևոր է, երբ մեջտեղում ինչ-որ բան ուզում է ստուգել նստաշրջանը։ TLS-ն անջատելը, որպեսզի ցանցային սարքը կարողանա կարդալ հրամանները, փոխում է պաշտպանության մոդելը՝ փոխարենը այն ավարտին հասցնելու, և նույնը վերաբերում է չբացատրված հոսթի բանալին ընդունելուն, քանի որ թունելը բարձրացել է։ Պահպանեք նախատեսված վստահության կարգավորումը և ճիշտ նյութը ստացեք օպերատորից։ Թունելը, որը նույնականացվում է, ոչինչ չի ասում իր հեռավոր ծայրում գտնվող սերվերի մասին։
Այս արձանագրությունների համար մասնավոր բանալու և վկայագրի նյութը ևս մեկ՝ երրորդ գաղտնիք է, առանձին VPN-ի հավատարմագրից։
Գրեք, թե իրականում ինչ եք ստուգել
Ընտրեք անվնաս ֆայլ, որը ձեզ թույլատրվում է տեղափոխել, և նշեք փորձի մասին չորս փաստ՝ որ արձանագրությունն աշխատեց, որ հակառակ կողմի ինքնությունը ստուգվեց, որ ճանապարհն էր նախատեսված, և արդյոք փոխանցումն ավարտվեց։
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]Գրացուցակի ցանկը, թունել մուտքը և ավարտված փոխանցումը երեք առանձին դիտարկումներ են, և միայն վերջինն է ասում, որ ճանապարհը աշխատում է ֆայլերի համար։ Եթե նախագիծը մնացած ցատկում գաղտնիության համար ապավինում է միայն VPN-ին, գրեք դա որպես որոշում, ինչ որ այն կա։ Ընդունման նշումը, որը նշում է ցատկը և դրա վստահության ենթադրությունը, ավելի արժեքավոր է, քան միացված հաճախորդի էկրանի նկարը։