FTP серверине бараткан жолдо VPN коргоосу кайда бүтөт

VPN бир жолду коргойт, ал эми ар бир жолдун аягы бар. Туннель компаниянын дарбазасында бүткөндө, файл өткөрүү ошол жерден өз протоколу сунуш кылган коргоо астында уланат. Бул айырма өткөрүү башынан аягына чейин корголгонбу же дарбазага чейин ганабы экенин аныктайт. Connected көрсөткүчү экөөнүн бири жөнүндө да эч нерсе айтпайды.

Эки жайгашуу, эки калган жол

Компаниянын VPNине кошулуп, андан соң өзүнчө ички серверге FTP сессиясын ачкан ноутбукту алыңыз. Туннель дарбазада токтойт, ал эми дарбазадан ошол серверге чейинки бөлүк анын сыртында калат.

Жөнөкөй FTP пакеттери туннелден келгени үчүн шифрлөөгө ээ болбойт. Ошол калган бөлүктө буйруктар, каттоо маалыматтары жана файлдын мазмуну протокол аныктагандай, башкача айтканда ачык түрдө жүрөт. Бул маанилүүбү, ал топологияга жана бул бөлүктү дагы эмне коргойторуна байланыштуу, ал эми даректи жеке деп атоо суроого жооп бербейт. Ушул эле ой жүгүртүү сервер дарбаза дагы бир секирик менен жетүүчү булут тармагында болгондо тескери багытта да колдонулат.

VPNдин акыркы чекитин жана FTP кызматын бир машинага коюңуз, ошондо кабатыр болуучу кийинки бөлүк калбайт. Бул башка жайгашуу, хосттун процесстери, файлдары жана каттоо маалыматтары коопсуз деген далил эмес.

Жөнөкөй FTP, FTPS жана SFTP — үч чечим

Жөнөкөй FTP эч нерсени шифрлебейт, сырсөздү да. FTPS FTPге TLS кошот, ошондуктан башкаруу каналы жана келишилген учурда маалымат каналы корголот. SFTP — SSHдин ичинде ташылуучу башка протокол, ал FTPSтин башка жазылышы эмес.

Сервер бул тандоону колдошу керек, анткени кардар жок угуучуну ойдон жарата албайт. SFTP тандоо FTP гана иштеген кызматты SSH акыркы чекитине айландырбайт, ал эми бетбелгини кайра атоо же портту өзгөртүү келишилген нерсе жөнүндө эч нерсе далилдебейт. Протоколду кардар тараптан гана эмес, сервер тараптан да ырастаңыз. Файл менеджериндеги кулпу сессия жөнүндө билдирүү, анын артындагы угуучу жөнүндө эмес.

Өткөрүү маанилүү болгондо акыркы мамычаны окуңуз, анткени күтүлбөгөн инсандык өзгөрүү ошол жерде көрүнөт.

Маалымат туташуусу — экинчи туташуу

FTP башкаруу туташуусун, андан соң тизмелер жана өткөрүүлөр үчүн өзүнчө маалымат туташууларын ачат. Корголгон кирүү ошол кийинки туташуулар жөнүндө эч нерсе айтпайт, эгер жайгаштыруу алар үчүн да коргоону талап кылбаса.

FTPSте кардар белгилүү буйрук аркылуу корголгон маалымат каналын сурайт, ал эми сервер саясаты ачык альтернативадан баш тарта алат. Кардардын демейки мааниси жетишет деп болжолдоонун ордуна саясат муну талап кылаарын текшериңиз. Пассивдүү режим экинчи кыйынчылыкты кошот, анткени сервер маалымат туташуусу үчүн дарек жана порт жарыялайт. Бул жарыялоону кайра жазуучу же бөгөттөөчү брандмауэр же NAT түзмөгү аутентификациядан өтүп, андан соң биринчи тизмеде илинип калган сессияны жаратат.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Экинчи буйрук кандайдыр бир файлга тийүүдөн мурун сервер башкаруу каналында эмнени сунуштаарын көрсөтөт. Үчүнчүсү маалымат туташуусу таптакыр түзүлдүбү, бул аутентификация ийгиликсиздиги менен пассивдүү режим ийгиликсиздигинин айырмасы.

Инсандык текшерүүлөр туннелден аман өтөт

FTPS кардары TLS серверинин инсандыгын текшерет, ал эми SFTP кардары SSH хост ачкычын текшерет. Эки текшерүү тең файл өткөрүү протоколуна таандык, жана экөөнү тең VPN аткарбайт.

Бул бөлүнүү ортодогу бир нерсе сессияны текшергиси келгенде маанилүү. Тармактык түзмөк буйруктарды окушу үчүн TLSти өчүрүү коргоо моделин толуктоонун ордуна өзгөртөт, жана туннель көтөрүлгөндүктөн түшүндүрмөсүз хост ачкычын кабыл алууга да ушул эле тиешелүү. Көздөлгөн ишеним конфигурациясын сактаңыз жана туура материалды оператордон алыңыз. Аутентификациядан өткөн туннель өзүнүн алыскы учуна жакын сервер жөнүндө эч нерсе айтпайт.

Бул протоколдор үчүн жеке ачкыч жана сертификат материалы VPN каттоо маалыматтарынан өзүнчө турган дагы үчүнчү сыр.

Чындыгында эмнени текшергениңизди жазып алыңыз

Жылдырууга укугуңуз бар зыянсыз файлды тандап, аракет жөнүндө төрт фактыны жазыңыз: кайсы протокол иштеди, каршы тараптын кайсы инсандыгы текшерилди, кайсы жол көздөлдү жана өткөрүү бүттүбү.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Каталог тизмеси, туннелге кирүү жана бүткөн өткөрүү — үч өзүнчө байкоо, жана жол файлдар үчүн иштейт деп акыркысы гана айтат. Эгер долбоор калган секириктеги купуялуулук үчүн VPNге гана таянса, аны ошол чечим катары жазыңыз. Секирикти жана анын ишеним божомолун атаган кабыл алуу жазуусу туташкан кардардын скриншотунан кымбат.