FTP серверіне барар жолда VPN қорғанысы қайда аяқталады

VPN бір жолды қорғайды, ал әр жолдың соңы бар. Туннель компания қақпасында аяқталғанда, файл тасымалы содан әрі өз протоколы ұсынатын қорғаныспен жалғасады. Бұл айырмашылық тасымалдың басынан аяғына дейін қорғалғанын немесе тек қақпаға дейін екенін анықтайды. Connected көрсеткіші екеуінің біреуі туралы да ештеңе айтпайды.

Екі орналасу, екі қалған жол

Компания VPN-іне қосылып, содан кейін бөлек ішкі серверге FTP сессиясын ашатын ноутбук алыңыз. Туннель қақпада тоқтайды, ал қақпадан сол серверге дейінгі бөлік оның сыртында қалады.

Қарапайым FTP пакеттері туннель арқылы келгені үшін шифрлауға ие болмайды. Сол қалған бөлікте командалар, тіркелгі деректері және файл мазмұны протокол анықтағандай, яғни ашық түрде жүреді. Бұл маңызды ма, ол топологияға және бұл бөлікті тағы не қорғайтынына байланысты, ал мекенжайды жеке деп атау сұраққа жауап бермейді. Дәл сол пайымдау сервер қақпа басқа бір секіріспен жететін бұлттық желіде болғанда керісінше де қолданылады.

VPN соңғы нүктесі мен FTP қызметін бір машинаға қойыңыз, сонда алаңдайтын келесі бөлік қалмайды. Бұл басқа орналасу, хосттың процестері, файлдары және тіркелгі деректері қауіпсіз деген дәлел емес.

Қарапайым FTP, FTPS және SFTP — үш шешім

Қарапайым FTP ештеңені шифрламайды, тіпті құпиясөзді де. FTPS FTP-ге TLS қосады, сондықтан басқару арнасы және келісілген жағдайда деректер арнасы қорғалады. SFTP — SSH ішінде тасымалданатын басқа протокол, ол FTPS-тің басқа жазылуы емес.

Сервер бұл таңдауды қолдауы керек, өйткені клиент жоқ тыңдаушыны ойдан жасай алмайды. SFTP таңдау тек FTP-мен жұмыс істейтін қызметті SSH соңғы нүктесіне айналдырмайды, ал бетбелгіні қайта атау немесе портты өзгерту келісілген нәрсе туралы ештеңе дәлелдемейді. Протоколды клиент жағынан ғана емес, сервер жағынан да растаңыз. Файл менеджеріндегі құлып сессия туралы мәлімдеме, оның артындағы тыңдаушы туралы емес.

Тасымал маңызды болғанда соңғы бағанды оқыңыз, өйткені күтпеген жеке бас өзгерісі дәл сонда көрінеді.

Деректер қосылымы — екінші қосылым

FTP басқару қосылымын, содан кейін тізімдер мен тасымалдар үшін бөлек деректер қосылымдарын ашады. Қорғалған кіру сол кейінгі қосылымдар туралы ештеңе айтпайды, егер орналастыру олар үшін де қорғанысты талап етпесе.

FTPS кезінде клиент нақты команда арқылы қорғалған деректер арнасын сұрайды, ал сервер саясаты ашық баламадан бас тарта алады. Клиенттің әдепкі мәні жетеді деп болжаудың орнына саясаттың мұны талап ететінін тексеріңіз. Пассивті режим екінші қиындық қосады, өйткені сервер деректер қосылымы үшін мекенжай мен портты жариялайды. Бұл жарияланымды қайта жазатын немесе блоктайтын брандмауэр немесе NAT құрылғысы аутентификациядан өтіп, содан кейін бірінші тізімде ілініп қалатын сессия жасайды.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Екінші команда кез келген файлға тимес бұрын сервердің басқару арнасында нені ұсынатынын көрсетеді. Үшіншісі деректер қосылымының қашан да болса орнатылғанын көрсетеді, бұл аутентификация сәтсіздігі мен пассивті режим сәтсіздігінің айырмашылығы.

Жеке басты тексерулер туннельден аман өтеді

FTPS клиенті TLS серверінің жеке басын растайды, ал SFTP клиенті SSH хост кілтін растайды. Екі тексеру де файл тасымалдау протоколына жатады, және ешқайсысын VPN орындамайды.

Бұл бөлу ортадағы бірдеңе сессияны тексергісі келгенде маңызды. Желілік құрылғы командаларды оқи алуы үшін TLS-ті өшіру қорғаныс моделін толықтырудың орнына өзгертеді, және туннель көтерілгендіктен түсініксіз хост кілтін қабылдауға да дәл сол қатысты. Көзделген сенім конфигурациясын сақтаңыз және дұрыс материалды оператордан алыңыз. Аутентификациядан өтетін туннель өзінің алыс ұшындағы сервер туралы ештеңе айтпайды.

Бұл протоколдар үшін жеке кілт пен сертификат материалы VPN тіркелгі деректерінен бөлек тағы үшінші құпия.

Шын мәнінде нені тексергеніңізді жазып алыңыз

Жылжытуға рұқсатыңыз бар зиянсыз файлды таңдап, әрекет туралы төрт фактіні жазыңыз: қай протокол жұмыс істеді, қарсы тараптың қай жеке басы тексерілді, қай жол көзделді және тасымал аяқталды ма.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Каталог тізімі, туннельге кіру және аяқталған тасымал — үш бөлек бақылау, және тек соңғысы ғана жолдың файлдар үшін жұмыс істейтінін айтады. Егер дизайн қалған секірістегі құпиялылық үшін тек VPN-ге сүйенсе, оны сол шешім ретінде жазыңыз. Секірісті және оның сенім болжамын атайтын қабылдау жазбасы қосылған клиенттің скриншотынан қымбат.