一つのファイルを取得するのにネットワーク全体のVPNは不要

VPNアクセスの要求は、しばしばその背後に一つのフォルダーと一つのファイルを隠しています。オフィスネットワーク全体へのルートを付与することは要求に応えますが、作業が必要とするよりはるかに多くを引き渡します。マップ済み共有をアップロードページに置き換えるのは、人々の働き方を変えるため、逆方向に同じくらい誤りです。判断は、そのファイルに何が起きる必要があるかから始まります。

ここでは三つの要件が似て見えますが、振る舞いは大きく異なります。完成したPDFをコピーすること、文書をその場で編集すること、共有ディレクトリに対してアプリケーションを実行することです。

フォルダーではなく編集から始める

ファイルが完成していて読むだけでよいなら、転送アカウントで十分です。編集する場合は、ほかに誰が編集するのか、競合をどう解決するのかという問題になり、これはネットワークではなくワークフローの問題です。アプリケーションがディレクトリから直接文書を開くなら、ストレージ層の遅延とロックの挙動が重要になります。これを先に答えることで、完璧に接続しながら使えない解決策を防げます。

共有編集は、どの転送でも解決できない問題を持ち込みます。ユーザーが表計算をダウンロードし、オフラインで編集し、ほかの誰かが元ファイルを変更した後にアップロードしますが、暗号化された接続は上書きについて何の意見も持ちません。上書き、競合、バージョン管理についての合意が、アクセス方法より先に存在しなければなりません。

SFTPは共有ではなく転送プロトコル

SFTPは暗号化されたSSHトランスポート上でファイルを移動します。これはコピーが必要とするものであり、マップ済みドライブが必要とするものではありません。FTPではなく、FTPSを提供する製品はSFTPではなく別のプロトコルを提供します。ファイルシステム層を介してSFTPディレクトリをマウントしても、元の共有のロック、権限、アプリケーションの挙動は保証されません。それをそのままの代替と呼ぶ前に、クライアントアプリケーションの要件を確認してください。

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

完成したファイルのワークフローはこれだけです。接続し、置き、取得する。転送専用アカウントでも、ファイルシステムだけでなく制限されたSSHサービスが必要です。chrootやForceCommand internal-sftpはセッションが実行できることを制限し、TCP転送とトンネリングを無効にすれば、ファイルアカウントをネットワークの入口に変えてしまう経路を閉じられます。見えるディレクトリだけを制限しても、そのアカウントが何に到達できるかは何も証明しません。

共有が必要なら、それを公開しない

ときに元の共有が本当に要件であり、答えはSMBを任意のインターネットクライアントに公開することではありません。Microsoftの指針は、境界で直接のSMBトラフィックをブロックすることであり、それには十分な理由があります。このプロトコルは信頼できないネットワークに直面するようには作られていません。QUIC上のSMBや同様の設計も存在し、両端に固有のプラットフォーム要件がありますが、任意のSambaサーバーに対する万能スイッチではありません。どちらも当てはまらない場合、作業は転送されたポートではなく、サポートされたアクセス経路を提供することです。

ブラウザーベースの選択肢は、作業に合う場合には正当な第三の答えです。アカウント、共有リンク、有効期限、保持されるバージョン、どのコピーが正となるかといった独自の判断を伴います。誰でも開けるリンクとサインインを要求するワークスペースは異なるアクセスポリシーを表しており、どちらも偶然に選ぶべきではありません。

アクセスを引き渡す前に確認すべきこと

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

どの設計を選んでも、意図したデータと意図した操作に限定してください。最初のコマンドは成功し、二番目は拒否されるべきです。両方が成功するなら、アカウントは作業より広すぎます。次にアカウントを削除し、最初のコマンドを繰り返します。今度は失敗するはずです。ソースファイルの所有者を特定できるままにしておけば、正となるコピーについての後日の質問に答えがあります。記録する価値がある結果は、使えて取り消せるファイルワークフローであり、欠けた接続アイコンではありません。

ユーザーのアプリケーションが実際に必要とするプロトコルと、実行した三つのテストを書き留めてください。その二行がほとんどの手戻りを防ぎます。