Wou de VPN-Schutz um Wee op en FTP-Server ophält

En VPN schützt e Wee, an e Wee huet en Enn. Wann den Tunnel op enger Firmegateway ophält, geet d’Dateiübertragung vun do aus ënner deem Schutz weider, deen hire eegene Protokoll bitt. Dëse Ënnerscheed entscheet, ob eng Iwwerdroung vum Ufank bis zum Enn geschützt ass oder just bis zur Gateway. Den Indikator Connected seet iwwer béides näischt.

Zwou Plazen, zwee verbleiwen Weeër

Hutt en Laptop, deen sech mat engem Firmen-VPN verbënnt an duerno eng FTP-Sessioun op en separat internen Server opmécht. Den Tunnel hält op der Gateway op, an de Segment vun der Gateway bis bei dee Server läit dobaussen.

Normalen FTP kritt keng Verschlësselung, well seng Pakete duerch en Tunnel ukomm sinn. Op deem verbleiwene Segment reese d’Befeeler, d’Umeldungsdaten an den Inhalt vun den Dateien genee sou, wéi et de Protokoll definéiert, dat heescht am Kloertext. Ob dat eng Roll spillt, hänkt vun der Topologie an dovun of, wat nach de Segment bewaacht, an d’Adress privat ze nennen beäntwert d’Fro net. Déiselwecht Iwwerleeung gëllt ëmgedréint, wann de Server an engem Cloudnetzwierk läit, dat d’Gateway iwwer nach ee Sprong erreecht.

Setzt den VPN-Endpunkt an den FTP-Service op eng eenzeg Maschinn, an et gëtt keen nächste Segment, ëm deen ee sech Suergen misst maachen. Dat ass eng aner Plaz, keen Beweis, datt d’Prozesser, Dateien an Umeldungsdaten vum Host sécher sinn.

Normalen FTP, FTPS an SFTP sinn dräi Entscheedungen

Normalen FTP verschlësselt näischt, och net d’Passwuert. FTPS setzt TLS bei FTP derbäi, sou datt de Kontrollkanal an, wann dat ausgehandelt gëtt, den Datekanal geschützt sinn. SFTP ass en anere Protokoll, deen an SSH gedroe gëtt, an et ass keng aner Schreifweis vun FTPS.

De Server muss dës Wiel ënnerstëtzen, well e Client kann keen Nolauschterer erfinden, deen et net gëtt. SFTP auszewielen mécht aus engem Service nëmme mat FTP keen SSH-Endpunkt, an e Lieszeeche ëmzebenennen oder e Port ze wiesselen beweist näischt iwwer dat, wat ausgehandelt gouf. Bestätegt de Protokoll souwuel vun der Säit vum Server wéi och vun där vum Client. E Schlass an engem Dateimanager ass eng Behauptung iwwer d’Sessioun, net iwwer den Nolauschterer hannendrun.

Liest déi lescht Kolonn, wann d’Iwwerdroung wichteg ass, well do erschéngt eng onerwaart Ännerung vun der Identitéit.

D’Dateverbindung ass eng zweet Verbindung

FTP mécht eng Kontrollverbindung op an duerno separat Dateverbindungen fir Lëschten an Iwwerdroungen. Eng geschützt Umeldung seet näischt iwwer déi spéider Verbindungen, ausser d’Deployment verlaangt och fir si Schutz.

Bei FTPS freet de Client iwwer e bestëmmte Befeel eng geschützt Datekanal un, an eng Serverpolitik kann déi kloer Alternativ ofleenen. Verifizéiert, datt d’Politik dat verlaangt, amplaz unzehuelen, datt de Standardwert vum Client duergeet. De passive Modus bréngt eng zweet Komplikatioun mat, well de Server eng Adress an e Port fir d’Dateverbindung annoncéiert. Eng Firewall oder en NAT-Gerät, dat dës Annonce ëmschreift oder blockéiert, produzéiert eng Sessioun, déi sech authentifizéiert an dann op der éischter Lëscht hänkt.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Den zweeten Befeel weist, wat de Server um Kontrollkanal presentéiert, ier eng Datei beréiert gëtt. Den drëtten weist, ob iwwerhaapt eng Dateverbindung opgebaut gouf, wat den Ënnerscheed ass tëscht engem Authentifizéierungsfehler an engem Fehler am passive Modus.

Identitéitspréiwer iwwerliewen den Tunnel

En FTPS-Client validéiert d’Identitéit vun engem TLS-Server, an en SFTP-Client validéiert en SSH-Hostschlëssel. Béid Préiwer gehéieren zum Dateiübertragungsprotokoll, a keng dovun gëtt vum VPN duerchgefouert.

Dës Trennung ass wichteg, wann eppes an der Mëtt d’Sessioun wëll kontrolléieren. TLS ausschalten, sou datt en Netzwierkgerät d’Befeeler ka liesen, ännert de Schutzmodell amplaz en ze fäerdegstellen, an dat selwecht gëllt fir en onerklärten Hostschlëssel ze akzeptéieren, well den Tunnel eropgaang ass. Halt déi virgesinn Vertrauenskonfiguratioun a kritt dat richtegt Material vum Bedreiwer. En Tunnel, dee sech authentifizéiert, seet näischt iwwer de Server op sengem wäitem Enn.

Privatschlëssel- an Zertifikatsmaterial fir dës Protokoller ass nach en drëtt Geheimnis, getrennt vun de VPN-Umeldungsdaten.

Schreift op, wat Dir tatsächlech verifizéiert hutt

Wielt eng harmlos Datei, déi Dir däerft réckelen, a notéiert véier Fakten iwwer de Versuch: wéi ee Protokoll gelaf ass, wéi eng Identitéit vun der anerer Säit gepréift gouf, wéi ee Wee virgesi war, an ob d’Iwwerdroung fäerdeg gouf.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Eng Verzeechneslëscht, eng Umeldung an den Tunnel an eng fäerdeg Iwwerdroung sinn dräi getrennt Observatiounen, an nëmmen déi lescht seet, datt de Wee fir Dateien funktionéiert. Wann den Design sech op de Rescht vum Sprong nëmmen op de VPN verléisst, schreift dat als déi Entscheedung op, déi et ass. Eng Akzeptanznotiz, déi de Sprong an seng Vertrauensannahm nennt, ass méi wäert wéi e Screenshot vun engem verbonnenen Client.