Преземањето на една датотека не бара целосен мрежен VPN

Барањето за VPN пристап често крие една папка и една датотека зад себе. Давањето рута до целата канцелариска мрежа одговара на барањето и предава многу повеќе отколку што бара задачата. Замената на мапирано споделување со страница за поставување може да биде исто толку погрешна во другата насока, бидејќи го менува начинот на кој луѓето работат. Одлуката започнува со тоа што треба да се случи со датотеката.

Три барања изгледаат слично овде и се однесуваат многу различно: копирање на готова PDF, уредување на документ на самото место и извршување на апликација против споделен директориум.

Започнете од уредувањето, не од папката

Ако датотеката е готова и треба само да се чита, доволен е сметка за пренос. Ако ќе се уредува, прашањето станува кој друг ја уредува и како се решаваат конфликтите, што е прашање на работниот тек, а не на мрежата. Ако апликацијата отвора документи директно од директориумот, важни се доцнењето и однесувањето на заклучување на слојот за складирање. Одговорот на тоа прво спречува решение што совршено се поврзува, а сепак не може да се користи.

Споделеното уредување внесува проблем што ниту еден пренос не може да го реши. Корисникот презема табела, ја уредува офлајн и ја поставува откако некој друг го променил оригиналот, а шифрираната врска нема мислење за препишувањето. Договорот за препишување, конфликт или верзионирање мора да постои пред методот на пристап.

SFTP е протокол за пренос, не споделување

SFTP пренесува датотеки преку шифриран SSH транспорт, што е токму она што му треба на копијата, а не она што му треба на мапиран диск. Тоа не е FTP, а производот што нуди FTPS нуди друг протокол, а не SFTP. Монтирањето на SFTP директориум преку слој на датотечен систем не ветува заклучување, дозволи или однесување на апликациите на оригиналното споделување. Проверете ги барањата на клиентската апликација пред да го наречете директна замена.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Тоа е целиот работен тек за готова датотека: поврзи, стави, земи. Сметката само за пренос исто така бара ограничена SSH услуга, не само датотечниот систем. chroot или ForceCommand internal-sftp ограничува што може да изврши сесијата, а онеспособувањето на TCP препраќањето и тунелирањето ги затвора патиштата што инаку би ја претвориле сметката за датотеки во мрежна влезна точка. Ограничувањето само на видливиот директориум ништо не докажува за тоа до што може да стигне сметката.

Ако ви треба споделувањето, не го објавувајте

Понекогаш оригиналното споделување навистина е барањето, а одговорот не е да се изложи SMB на произволни интернет клиенти. Упатството на Microsoft е да се блокира директниот SMB сообраќај на границата, и тоа со добра причина: протоколот не е изграден да се соочи со недоверливи мрежи. Постојат SMB преку QUIC и слични решенија, со конкретни барања за платформата на двата краја, и тие не се универзален прекинувач за произволен Samba сервер. Ако ниту едно не важи, работата е да се обезбеди поддржан пат за пристап наместо пренасочен порт.

Опцијата преку прелистувач е легитимен трет одговор кога работата одговара на неа. Таа носи свои одлуки: сметки, врски за споделување, истекување, задржани верзии и која копија е авторитативна. Врска што секој може да ја отвори и работен простор што бара најавување претставуваат различни политики за пристап, и ниту една не треба да се избере случајно.

Што да проверите пред да го предадете пристапот

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Каков и дизајн да изберете, ограничете го на предвидените податоци и предвидените операции. Првата команда треба да успее, а втората да биде одбиена; ако успеат двете, сметката е поширока од задачата. Потоа отстранете ја сметката и повторете ја првата, која сега треба да не успее. Држете го сопственикот на изворните датотеки препознатлив, за да има одговор на подоцнежното прашање за авторитативната копија. Резултатот што вреди да се запише е употреблив и отповиклив работен тек со датотеки, а не икона за врска што недостасува.

Запишете кој протокол навистина му е потребен на апликацијата на корисникот и кои три теста ги извршивте. Тие два реда спречуваат најголем дел од повторната работа.