Mengambil satu fail tidak memerlukan VPN rangkaian penuh

Permintaan akses VPN sering menyembunyikan satu folder dan satu fail di belakangnya. Memberi laluan ke seluruh rangkaian pejabat menjawab permintaan itu dan menyerahkan jauh lebih banyak daripada yang diperlukan tugas. Menggantikan perkongsian yang dipetakan dengan halaman muat naik boleh sama salahnya ke arah lain, kerana ia mengubah cara orang bekerja. Keputusan bermula dengan apa yang perlu berlaku kepada fail itu.

Tiga keperluan kelihatan serupa di sini dan berkelakuan sangat berbeza: menyalin PDF yang siap, menyunting dokumen di tempatnya, dan menjalankan aplikasi terhadap direktori kongsi.

Mulakan dengan penyuntingan, bukan folder

Jika fail sudah siap dan hanya perlu dibaca, akaun pemindahan sudah memadai. Jika ia akan disunting, persoalannya menjadi siapa lagi yang menyuntingnya dan bagaimana konflik diselesaikan, yang merupakan persoalan aliran kerja dan bukan rangkaian. Jika aplikasi membuka dokumen terus dari direktori, kependaman dan tingkah laku penguncian lapisan storan penting. Menjawab itu dahulu menghalang penyelesaian yang bersambung sempurna tetapi masih tidak boleh digunakan.

Penyuntingan kongsi memperkenalkan masalah yang tiada pemindahan boleh selesaikan. Pengguna memuat turun hamparan, menyuntingnya di luar talian dan memuat naiknya selepas orang lain mengubah yang asal, dan sambungan penyulitan itu tiada pendapat tentang penimpaan. Persetujuan tentang penimpaan, konflik atau versi mesti wujud sebelum kaedah akses.

SFTP ialah protokol pemindahan, bukan perkongsian

SFTP memindahkan fail melalui pengangkutan SSH yang disulitkan, yang tepat apa yang diperlukan salinan dan bukan apa yang diperlukan pemacu yang dipetakan. Ia bukan FTP, dan produk yang menawarkan FTPS menawarkan protokol lain dan bukan SFTP. Melekap direktori SFTP melalui lapisan sistem fail tidak menjanjikan tingkah laku penguncian, kebenaran atau aplikasi perkongsian asal. Semak keperluan aplikasi klien sebelum menyebutnya pengganti langsung.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Itulah keseluruhan aliran kerja untuk fail yang siap: sambung, letak, ambil. Akaun pemindahan sahaja juga memerlukan perkhidmatan SSH terhad, bukan hanya sistem fail. chroot atau ForceCommand internal-sftp mengehadkan apa yang boleh dijalankan sesi, dan melumpuhkan pemajuan TCP serta terowong menutup laluan yang jika tidak akan menjadikan akaun fail sebagai titik masuk rangkaian. Mengehadkan direktori yang kelihatan sahaja tidak membuktikan apa-apa tentang apa yang boleh dicapai oleh akaun itu.

Jika anda perlukan perkongsian itu, jangan terbitkannya

Kadangkala perkongsian asal benar-benar keperluannya, dan jawapannya bukan mendedahkan SMB kepada klien internet sembarangan. Panduan Microsoft ialah menyekat trafik SMB langsung di sempadan, dan atas sebab yang baik: protokol itu tidak dibina untuk menghadapi rangkaian yang tidak dipercayai. Terdapat SMB melalui QUIC dan reka bentuk serupa, dengan keperluan platform khusus di kedua-dua hujung, dan ia bukan suis sejagat untuk pelayan Samba sembarangan. Jika kedua-duanya tidak terpakai, kerja itu ialah menyediakan laluan akses yang disokong dan bukan port yang dimajukan.

Pilihan berasaskan pelayar ialah jawapan ketiga yang sah apabila kerja itu sesuai dengannya. Ia membawa keputusannya sendiri: akaun, pautan perkongsian, tamat tempoh, versi yang disimpan dan salinan mana yang berautoriti. Pautan yang boleh dibuka oleh sesiapa sahaja dan ruang kerja yang memerlukan log masuk mewakili dasar akses yang berbeza, dan kedua-duanya tidak sepatutnya dipilih secara tidak sengaja.

Apa yang perlu disahkan sebelum menyerahkan akses

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Apa pun reka bentuk yang anda pilih, hadkannya kepada data yang dimaksudkan dan operasi yang dimaksudkan. Perintah pertama sepatutnya berjaya dan yang kedua ditolak; jika kedua-duanya berjaya, akaun itu lebih luas daripada tugas. Kemudian buang akaun itu dan ulangi yang pertama, yang kini sepatutnya gagal. Kekalkan pemilik fail sumber boleh dikenal pasti, supaya soalan kemudian tentang salinan berautoriti mempunyai jawapan. Hasil yang wajar direkodkan ialah aliran kerja fail yang boleh digunakan dan boleh ditarik balik, bukan ikon sambungan yang hilang.

Tuliskan protokol apa yang sebenarnya diperlukan oleh aplikasi pengguna, dan tiga ujian apa yang anda jalankan. Dua baris itu menghalang sebahagian besar kerja semula.