Kur beidzas VPN aizsardzība ceļā uz FTP serveri

VPN aizsargā ceļu, un katram ceļam ir gals. Kad tunelis beidzas uzņēmuma vārtejā, failu pārsūtīšana turpinās no turienes ar aizsardzību, ko nodrošina tā paša protokols. Šī atšķirība nosaka, vai pārsūtīšana ir aizsargāta no sākuma līdz beigām vai tikai līdz vārtejai. Indikators Connected par ne vienu no tiem neko nesaka.

Divas atrašanās vietas, divi atlikušie ceļi

Paņemiet klēpjdatoru, kas pievienojas uzņēmuma VPN un pēc tam atver FTP sesiju ar atsevišķu iekšējo serveri. Tunelis apstājas pie vārtejas, un posms no vārtejas līdz šim serverim atrodas ārpus tā.

Vienkāršais FTP neiegūst šifrēšanu tikai tāpēc, ka tā paketes ieradās pa tuneli. Šajā atlikušajā posmā komandas, akreditācijas dati un faila saturs pārvietojas tieši tā, kā to nosaka protokols, proti, atklāti. Vai tas ir svarīgi, ir atkarīgs no topoloģijas un no tā, kas vēl sargā posmu, un adreses saukšana par privātu uz jautājumu neatbild. Tā pati loģika darbojas arī pretēji, ja serveris atrodas mākoņa tīklā, kuru vārteja sasniedz ar vēl vienu lēcienu.

Novietojiet VPN galapunktu un FTP pakalpojumu uz vienas mašīnas, un vairs nav nākamā posma, par ko uztraukties. Tā ir cita atrašanās vieta, nevis pierādījums, ka resursdatora procesi, faili un akreditācijas dati ir droši.

Vienkāršais FTP, FTPS un SFTP ir trīs lēmumi

Vienkāršais FTP nešifrē neko, arī paroli. FTPS pievieno FTP TLS, tāpēc vadības kanāls un, ja par to vienojas, datu kanāls ir aizsargāts. SFTP ir cits protokols, ko pārnēsā SSH iekšienē, un tas nav cits FTPS rakstības veids.

Serverim ir jāatbalsta šī izvēle, jo klients nevar izdomāt klausītāju, kura nav. SFTP izvēle nepārvērš pakalpojumu, kas darbojas tikai ar FTP, par SSH galapunktu, un grāmatzīmes pārdēvēšana vai porta maiņa neko nepierāda par to, par ko vienojās. Apstipriniet protokolu gan servera, gan klienta pusē. Slēdzene failu pārvaldniekā ir apgalvojums par sesiju, nevis par klausītāju aiz tās.

Lasiet pēdējo kolonnu, kad pārsūtīšana ir svarīga, jo tieši tur parādās negaidītas identitātes maiņa.

Datu savienojums ir otra savienojums

FTP atver vadības savienojumu un pēc tam atsevišķus datu savienojumus sarakstiem un pārsūtīšanai. Aizsargāta pieteikšanās neko nesaka par šiem vēlākajiem savienojumiem, ja vien izvietošana neprasa aizsardzību arī tiem.

FTPS gadījumā klients ar konkrētu komandu pieprasa aizsargātu datu kanālu, un servera politika var atteikt atklāto alternatīvu. Pārbaudiet, vai politika to pieprasa, nevis pieņemiet, ka klienta noklusējums ir pietiekams. Pasīvais režīms pievieno otru sarežģījumu, jo serveris paziņo adresi un portu datu savienojumam. Ugunsmūris vai NAT ierīce, kas pārraksta vai bloķē šo paziņojumu, rada sesiju, kas autentificējas un pēc tam iestrēgst pirmajā sarakstā.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Otrā komanda parāda, ko serveris uzrāda vadības kanālā pirms jebkura faila aizskaršanas. Trešā parāda, vai datu savienojums vispār tika izveidots, un tā ir atšķirība starp autentifikācijas kļūdu un pasīvā režīma kļūdu.

Identitātes pārbaudes pārdzīvo tuneli

FTPS klients validē TLS servera identitāti, un SFTP klients validē SSH resursdatora atslēgu. Abas pārbaudes pieder failu pārsūtīšanas protokolam, un nevienu no tām neveic VPN.

Šī atdalīšana ir svarīga, kad kaut kas vidū grib pārbaudīt sesiju. TLS izslēgšana, lai tīkla ierīce varētu lasīt komandas, maina aizsardzības modeli, nevis to pabeidz, un tas pats attiecas uz neizskaidrotas resursdatora atslēgas pieņemšanu tāpēc, ka tunelis pacēlās. Saglabājiet paredzēto uzticēšanās konfigurāciju un iegūstiet pareizo materiālu no operatora. Tunelis, kas autentificējas, neko nesaka par serveri tā tālajā galā.

Privātās atslēgas un sertifikāta materiāls šiem protokoliem ir vēl viens, trešais noslēpums, atdalīts no VPN akreditācijas datiem.

Pierakstiet, ko jūs patiešām pārbaudījāt

Izvēlieties nekaitīgu failu, kuru jums ir atļauts pārvietot, un pierakstiet četrus faktus par mēģinājumu: kurš protokols darbojās, kura pretējās puses identitāte tika pārbaudīta, kurš ceļš bija paredzēts un vai pārsūtīšana tika pabeigta.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Direktorijas saraksts, pieteikšanās tunelī un pabeigta pārsūtīšana ir trīs atsevišķi novērojumi, un tikai pēdējais saka, ka ceļš darbojas failiem. Ja dizains atlikušajā lēcienā konfidencialitātei paļaujas tikai uz VPN, pierakstiet to kā lēmumu, kas tas ir. Pieņemšanas piezīme, kas nosauc lēcienu un tā uzticēšanās pieņēmumu, ir vērtīgāka par savienota klienta ekrānuzņēmumu.