Mengambil satu file tidak perlu VPN jaringan penuh

Permintaan akses VPN sering menyembunyikan satu folder dan satu file di baliknya. Memberi rute ke seluruh jaringan kantor menjawab permintaan itu dan menyerahkan jauh lebih banyak daripada yang dibutuhkan tugas. Mengganti berbagi yang dipetakan dengan halaman unggah bisa sama salahnya ke arah lain, karena mengubah cara orang bekerja. Keputusan dimulai dari apa yang harus terjadi pada file itu.

Tiga kebutuhan tampak serupa di sini dan berperilaku sangat berbeda: menyalin PDF yang sudah jadi, menyunting dokumen di tempatnya, dan menjalankan aplikasi terhadap direktori bersama.

Mulai dari pengeditan, bukan folder

Jika file sudah jadi dan hanya perlu dibaca, akun transfer sudah cukup. Jika akan disunting, pertanyaannya menjadi siapa lagi yang menyunting dan bagaimana konflik diselesaikan, yang merupakan pertanyaan alur kerja bukan jaringan. Jika aplikasi membuka dokumen langsung dari direktori, latensi dan perilaku penguncian lapisan penyimpanan menjadi penting. Menjawab itu lebih dulu mencegah solusi yang terhubung sempurna tetapi tetap tidak dapat digunakan.

Penyuntingan bersama menghadirkan masalah yang tidak dapat diselesaikan oleh transfer mana pun. Pengguna mengunduh spreadsheet, menyuntingnya secara offline, dan mengunggahnya setelah orang lain mengubah aslinya, dan koneksi terenkripsi tidak berpendapat tentang penimpaan. Kesepakatan tentang penimpaan, konflik, atau versi harus ada sebelum metode akses.

SFTP adalah protokol transfer, bukan berbagi

SFTP memindahkan file melalui transport SSH terenkripsi, yang persis dibutuhkan salinan dan bukan yang dibutuhkan drive yang dipetakan. Ini bukan FTP, dan produk yang menawarkan FTPS menawarkan protokol lain alih-alih SFTP. Memasang direktori SFTP melalui lapisan sistem file tidak menjanjikan perilaku penguncian, izin, atau aplikasi dari berbagi aslinya. Periksa persyaratan aplikasi klien sebelum menyebutnya pengganti langsung.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Itulah seluruh alur kerja untuk file yang sudah jadi: sambung, taruh, ambil. Akun khusus transfer juga membutuhkan layanan SSH yang dibatasi, bukan hanya sistem file. chroot atau ForceCommand internal-sftp membatasi apa yang dapat dijalankan sesi, dan menonaktifkan penerusan TCP serta terowongan menutup jalur yang jika tidak akan mengubah akun file menjadi titik masuk jaringan. Membatasi direktori yang terlihat saja tidak membuktikan apa pun tentang apa yang dapat dijangkau akun.

Jika Anda perlu berbagi, jangan publikasikan

Kadang-kadang berbagi asli benar-benar menjadi kebutuhan, dan jawabannya bukan mengekspos SMB ke klien internet sembarangan. Panduan Microsoft adalah memblokir lalu lintas SMB langsung di batas, dan dengan alasan yang baik: protokol itu tidak dibangun untuk menghadapi jaringan yang tidak tepercaya. SMB melalui QUIC dan desain serupa ada, dengan persyaratan platform khusus di kedua ujungnya, dan itu bukan sakelar universal untuk server Samba sembarangan. Jika keduanya tidak berlaku, pekerjaannya adalah menyediakan jalur akses yang didukung alih-alih port yang diteruskan.

Opsi berbasis peramban adalah jawaban ketiga yang sah ketika pekerjaan cocok dengannya. Opsi ini membawa keputusannya sendiri: akun, tautan berbagi, masa berlaku, versi yang disimpan, dan salinan mana yang otoritatif. Tautan yang dapat dibuka siapa saja dan ruang kerja yang memerlukan masuk mewakili kebijakan akses berbeda, dan keduanya tidak boleh dipilih secara kebetulan.

Apa yang harus diverifikasi sebelum menyerahkan akses

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Apa pun desain yang Anda pilih, batasi pada data yang dimaksudkan dan operasi yang dimaksudkan. Perintah pertama harus berhasil dan yang kedua harus ditolak; jika keduanya berhasil, akun itu lebih luas daripada tugasnya. Lalu hapus akun dan ulangi yang pertama, yang sekarang harus gagal. Jaga pemilik file sumber tetap dapat diidentifikasi, sehingga pertanyaan kemudian tentang salinan otoritatif memiliki jawaban. Hasil yang layak dicatat adalah alur kerja file yang dapat digunakan dan dicabut, bukan ikon koneksi yang hilang.

Tuliskan protokol apa yang sebenarnya dibutuhkan aplikasi pengguna, dan tiga pengujian apa yang Anda jalankan. Dua baris itu mencegah sebagian besar pengerjaan ulang.