Каде завршува заштитата на VPN на патот до FTP сервер

VPN заштитува пат, а секој пат има крај. Кога тунелот завршува на портата на компанијата, преносот на датотеки продолжува оттаму под заштитата што ја дава неговиот сопствен протокол. Таа разлика одлучува дали преносот е заштитен од почеток до крај или само до портата. Индикаторот Connected не кажува ништо за ниту едно од двете.

Две поставености, два преостанати патишта

Земете преносен компјутер што се поврзува со VPN на компанијата и потоа отвора FTP сесија до одделен внатрешен сервер. Тунелот запира кај портата, а делот од портата до тој сервер останува надвор од него.

Обичниот FTP не добива шифрирање само затоа што неговите пакети пристигнале низ тунел. На тој преостанат дел командите, податоците за најава и содржината на датотеката патуваат точно како што дефинира протоколот, односно отворено. Дали тоа е важно зависи од топологијата и од тоа што друго го чува делот, а нарекувањето на адресата приватна не одговара на прашањето. Истото размислување важи и обратно кога серверот е во облачна мрежа до која портата стигнува преку уште еден скок.

Ставете ја крајната точка на VPN и FTP услугата на една машина и нема следен дел за кој треба да се грижите. Тоа е друга поставеност, а не доказ дека процесите, датотеките и податоците за најава на домаќинот се безбедни.

Обичниот FTP, FTPS и SFTP се три одлуки

Обичниот FTP не шифрира ништо, вклучително и лозинката. FTPS додава TLS на FTP, така што контролниот канал и, кога се договара, каналот за податоци се заштитени. SFTP е друг протокол што се пренесува во SSH, и не е друг начин на пишување на FTPS.

Серверот мора да го поддржува овој избор, бидејќи клиентот не може да измисли слушател што го нема. Изборот на SFTP не претвора услуга што работи само со FTP во SSH крајна точка, а преименувањето на обележувач или менувањето на порта не докажува ништо за тоа што е договорено. Потврдете го протоколот и од страната на серверот и од страната на клиентот. Катанецот во менаџерот на датотеки е тврдење за сесијата, а не за слушателот зад неа.

Прочитајте ја последната колона кога преносот е важен, затоа што токму таму се појавува неочекувана промена на идентитетот.

Податочното поврзување е второ поврзување

FTP отвора контролно поврзување, а потоа одделни податочни поврзувања за списоци и преноси. Заштитената најава не кажува ништо за тие подоцнежни поврзувања, освен ако распоредувањето не бара заштита и за нив.

Кај FTPS клиентот бара заштитен податочен канал преку конкретна команда, а политиката на серверот може да ја одбие отворената алтернатива. Проверете дали политиката го бара тоа, наместо да претпоставувате дека стандардната поставка на клиентот е доволна. Пасивниот режим додава втора компликација, бидејќи серверот објавува адреса и порта за податочното поврзување. Огнениот ѕид или NAT уредот што го препишува или блокира тоа објавување создава сесија што се автентицира и потоа заглавува на првиот список.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Втората команда покажува што серверот претставува на контролниот канал пред да се допре која било датотека. Третата покажува дали податочно поврзување воопшто е воспоставено, што е разликата помеѓу неуспех на автентикацијата и неуспех на пасивниот режим.

Проверките на идентитетот го преживуваат тунелот

FTPS клиент го валидира идентитетот на TLS сервер, а SFTP клиент валидира SSH клуч на домаќин. Двете проверки ѝ припаѓаат на протоколот за пренос на датотеки, и ниту една не ја изведува VPN.

Тоа одделување е важно кога нешто во средината сака да ја испита сесијата. Исклучувањето на TLS за мрежен уред да може да ги чита командите го менува моделот на заштита наместо да го дополни, и истото важи и за прифаќање на необјаснет клуч на домаќин затоа што тунелот се подигнал. Задржете ја предвидената конфигурација на доверба и набавете го правилниот материјал од операторот. Тунел што се автентицира не кажува ништо за серверот на неговиот далечен крај.

Материјалот за приватен клуч и сертификат за овие протоколи е уште една, трета тајна, одделена од податоците за најава на VPN.

Запишете што навистина сте провериле

Изберете безопасна датотека што имате дозвола да ја преместите и запишете четири факти за обидот: кој протокол работел, кој идентитет на другата страна бил проверен, кој пат бил предвиден и дали преносот завршил.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Список на директориум, најава во тунелот и завршен пренос се три одделни набљудувања, и само последното кажува дека патот работи за датотеки. Ако дизајнот се потпира само на VPN за доверливоста на преостанатиот скок, запишете го тоа како одлука што е. Приемна белешка што го именува скокот и неговата претпоставка за доверба вреди повеќе од екранска слика на поврзан клиент.