FTP सर्व्हरकडे जाणाऱ्या मार्गावर VPN संरक्षण कुठे संपते
VPN त्याच्या गेटवेपर्यंतचा मार्ग व्यापते, त्यानंतरचा भाग नाही। साधे FTP, FTPS आणि SFTP वेगळे करा, नंतर डेटा चॅनेल आणि समोरच्या बाजूची ओळख तपासा।
VPN एका मार्गाचे संरक्षण करते, आणि प्रत्येक मार्गाला शेवट असतो। जेव्हा टनल कंपनीच्या गेटवेवर संपते, तेव्हा फाइल हस्तांतरण तिथूनच त्याच्या स्वतःच्या प्रोटोकॉलने दिलेल्या संरक्षणाखाली पुढे चालू राहते। हा फरक ठरवतो की हस्तांतरण सुरुवातीपासून शेवटपर्यंत संरक्षित आहे की फक्त गेटवेपर्यंत। Connected निर्देशक दोन्हींपैकी कोणाबद्दलही काहीही सांगत नाही।
दोन स्थाने, दोन उरलेले मार्ग
कंपनीच्या VPN ला जोडला जाणारा आणि नंतर वेगळ्या अंतर्गत सर्व्हरशी FTP सत्र उघडणारा लॅपटॉप घ्या। टनल गेटवेवर थांबते, आणि गेटवेपासून त्या सर्व्हरपर्यंतचा भाग त्याच्या बाहेर असतो।
साधे FTP पॅकेट्स टनलमधून आले म्हणून एन्क्रिप्शन मिळवत नाही। त्या उरलेल्या भागावर आदेश, क्रेडेन्शियल्स आणि फाइलचा आशय प्रोटोकॉलने ठरवल्याप्रमाणे, म्हणजे उघडपणे प्रवास करतात। हे महत्त्वाचे आहे की नाही हे टोपोलॉजीवर आणि त्या भागाचे दुसरे काय संरक्षण करते यावर अवलंबून आहे, आणि पत्त्याला खाजगी म्हणणे प्रश्नाचे उत्तर देत नाही। सर्व्हर गेटवे आणखी एका उडीने पोहोचणाऱ्या क्लाउड नेटवर्कमध्ये असतो तेव्हाही तोच तर्क उलट्या दिशेने लागू होतो।
VPN चा शेवटचा बिंदू आणि FTP सेवा एकाच मशीनवर ठेवा, मग काळजी करण्यासाठी पुढील भाग उरत नाही। हे वेगळे स्थान आहे, होस्टचे प्रक्रिया, फाइल्स आणि क्रेडेन्शियल्स सुरक्षित आहेत याचा पुरावा नाही।
साधे FTP, FTPS आणि SFTP तीन निर्णय आहेत
साधे FTP पासवर्डसह काहीही एन्क्रिप्ट करत नाही। FTPS FTP मध्ये TLS जोडते, त्यामुळे नियंत्रण चॅनेल आणि बोलणी झाल्यास डेटा चॅनेल संरक्षित राहतात। SFTP हा SSH मध्ये वाहून नेला जाणारा वेगळा प्रोटोकॉल आहे, आणि तो FTPS चा दुसरा शब्दलेख नाही।
सर्व्हरने ही निवड समर्थित केली पाहिजे, कारण क्लायंट नसलेला श्रोता तयार करू शकत नाही। SFTP निवडल्याने केवळ FTP चालणारी सेवा SSH शेवटचा बिंदू होत नाही, आणि बुकमार्कचे नाव बदलणे किंवा पोर्ट बदलणे यावर काहीही सिद्ध होत नाही की कशावर बोलणी झाली। क्लायंटसोबतच सर्व्हरच्या बाजूनेही प्रोटोकॉलची खात्री करा। फाइल मॅनेजरमधील कुलूप सत्राबद्दलचे विधान आहे, त्यामागील श्रोत्याबद्दल नाही।
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
हस्तांतरण महत्त्वाचे असताना शेवटचा स्तंभ वाचा, कारण तिथेच अनपेक्षित ओळख बदल दिसतो।
डेटा कनेक्शन हे दुसरे कनेक्शन आहे
FTP नियंत्रण कनेक्शन उघडते आणि नंतर याद्या व हस्तांतरणांसाठी वेगळी डेटा कनेक्शन्स उघडते। संरक्षित लॉगिन त्या नंतरच्या कनेक्शन्सबद्दल काहीही सांगत नाही, जोपर्यंत तैनाती त्यांच्यासाठीही संरक्षण मागत नाही।
FTPS मध्ये क्लायंट विशिष्ट आदेशाद्वारे संरक्षित डेटा चॅनेल मागतो, आणि सर्व्हर धोरण उघडा पर्याय नाकारू शकते। क्लायंटचे डीफॉल्ट पुरेसे आहे असे गृहीत धरण्याऐवजी धोरण ते मागते याची खात्री करा। पॅसिव्ह मोड दुसरी गुंतागुंत जोडतो, कारण सर्व्हर डेटा कनेक्शनसाठी पत्ता आणि पोर्ट जाहीर करतो। ती जाहिरात पुन्हा लिहिणारे किंवा अडवणारे फायरवॉल किंवा NAT उपकरण असे सत्र तयार करते जे प्रमाणीकरण पार करते आणि नंतर पहिल्या यादीवर अडकते।
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'दुसरा आदेश दाखवतो की कोणत्याही फाइलला स्पर्श करण्यापूर्वी सर्व्हर नियंत्रण चॅनेलवर काय सादर करतो। तिसरा दाखवतो की डेटा कनेक्शन कधी स्थापित झाले का, जो प्रमाणीकरण अपयश आणि पॅसिव्ह-मोड अपयश यातील फरक आहे।
ओळख तपासण्या टनलमधून टिकून राहतात
FTPS क्लायंट TLS सर्व्हरची ओळख सत्यापित करतो, आणि SFTP क्लायंट SSH होस्ट की सत्यापित करतो। दोन्ही तपासण्या फाइल हस्तांतरण प्रोटोकॉलच्या आहेत, आणि VPN यापैकी एकही करत नाही।
मधल्या काही गोष्टीला सत्र तपासायचे असेल तेव्हा हे वेगळेपण महत्त्वाचे आहे। नेटवर्क उपकरणाला आदेश वाचता यावेत म्हणून TLS बंद करणे संरक्षण मॉडेल पूर्ण करण्याऐवजी बदलते, आणि टनल वर आल्यामुळे अस्पष्ट होस्ट की स्वीकारण्याबाबतही तेच लागू आहे। इच्छित विश्वास संरचना ठेवा आणि योग्य सामग्री ऑपरेटरकडून मिळवा। प्रमाणीकरण करणारे टनल त्याच्या दूरच्या टोकावरील सर्व्हरबद्दल काहीही सांगत नाही।
या प्रोटोकॉलसाठी खाजगी की आणि प्रमाणपत्राची सामग्री VPN क्रेडेन्शियलपासून वेगळे, अजून एक तिसरे रहस्य आहे।
तुम्ही प्रत्यक्षात काय सत्यापित केले ते नोंदवा
हलवण्याची परवानगी असलेली निरुपद्रवी फाइल निवडा, आणि प्रयत्नाबद्दल चार तथ्ये नोंदवा: कोणता प्रोटोकॉल चालला, समोरच्या बाजूची कोणती ओळख तपासली, कोणता मार्ग इच्छित होता, आणि हस्तांतरण पूर्ण झाले का।
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]डिरेक्टरी यादी, टनलमधील लॉगिन आणि पूर्ण झालेले हस्तांतरण या तीन वेगळ्या निरीक्षणे आहेत, आणि मार्ग फाइल्ससाठी चालतो हे फक्त शेवटचेच सांगते। रचना उरलेल्या उडीवरील गोपनीयतेसाठी केवळ VPN वर अवलंबून असेल, तर तो तोच निर्णय म्हणून लिहा। उडी आणि तिची विश्वास-गृहीतक नाव देणारी स्वीकृती टीप जोडलेल्या क्लायंटच्या स्क्रीनशॉटपेक्षा जास्त मूल्यवान आहे।