Di Mana Perlindungan VPN Berakhir dalam Perjalanan ke Pelayan FTP

VPN melindungi satu laluan, dan setiap laluan ada penghujungnya. Apabila terowong berakhir di gateway syarikat, pemindahan fail diteruskan dari situ di bawah perlindungan yang disediakan protokolnya sendiri. Perbezaan itu menentukan sama ada pemindahan dilindungi dari hujung ke hujung atau hanya sehingga gateway. Penunjuk Connected tidak menyatakan apa-apa tentang kedua-duanya.

Dua Kedudukan, Dua Laluan Tersisa

Ambil komputer riba yang menyertai VPN syarikat dan kemudian membuka sesi FTP ke pelayan dalaman yang berasingan. Terowong berhenti di gateway, dan segmen dari gateway ke pelayan itu terletak di luarnya.

FTP biasa tidak memperoleh penyulitan kerana paketnya tiba melalui terowong. Pada segmen yang tinggal itu, arahan, kelayakan dan kandungan fail bergerak tepat seperti yang ditakrifkan protokol, iaitu secara terbuka. Sama ada itu penting bergantung pada topologi dan pada apa lagi yang menjaga segmen itu, dan memanggil alamat itu persendirian tidak menjawab soalan. Penaakulan yang sama terpakai secara songsang apabila pelayan berada dalam rangkaian awan yang dicapai gateway melalui satu lagi lonjakan.

Letakkan titik akhir VPN dan perkhidmatan FTP pada satu mesin, dan tiada segmen berikutnya yang perlu dirisaukan. Itu kedudukan yang berbeza, bukan bukti bahawa proses, fail dan kelayakan hos itu selamat.

FTP Biasa, FTPS dan SFTP Ialah Tiga Keputusan

FTP biasa tidak menyulitkan apa-apa, termasuk kata laluan. FTPS menambah TLS pada FTP, jadi saluran kawalan dan, apabila dirundingkan, saluran data dilindungi. SFTP ialah protokol berbeza yang dibawa dalam SSH, dan ia bukan ejaan lain bagi FTPS.

Pelayan mesti menyokong pilihan itu, kerana klien tidak boleh mencipta pendengar yang tidak wujud. Memilih SFTP tidak mengubah perkhidmatan yang hanya FTP menjadi titik akhir SSH, dan menamakan semula penanda buku atau menukar port tidak membuktikan apa-apa tentang apa yang dirundingkan. Sahkan protokol dari sisi pelayan dan juga dari sisi klien. Gembok dalam pengurus fail ialah dakwaan tentang sesi, bukan tentang pendengar di belakangnya.

Baca lajur terakhir apabila pemindahan penting, kerana di situlah perubahan identiti yang tidak dijangka muncul.

Sambungan Data Ialah Sambungan Kedua

FTP membuka sambungan kawalan dan kemudian sambungan data berasingan untuk senarai dan pemindahan. Log masuk yang dilindungi tidak menyatakan apa-apa tentang sambungan kemudian itu, melainkan penggunaan itu juga menuntut perlindungan untuknya.

Dengan FTPS, klien meminta saluran data yang dilindungi melalui arahan tertentu, dan dasar pelayan boleh menolak alternatif terbuka. Sahkan bahawa dasar itu menuntutnya dan bukannya menganggap nilai lalai klien sudah memadai. Mod pasif menambah kerumitan kedua, kerana pelayan mengumumkan alamat dan port untuk sambungan data. Firewall atau peranti NAT yang menulis semula atau menyekat pengumuman itu menghasilkan sesi yang disahkan dan kemudian tergantung pada senarai pertama.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Arahan kedua menunjukkan apa yang dikemukakan pelayan pada saluran kawalan sebelum mana-mana fail disentuh. Yang ketiga menunjukkan sama ada sambungan data pernah diwujudkan, iaitu perbezaan antara kegagalan pengesahan dan kegagalan mod pasif.

Pemeriksaan Identiti Bertahan Melepasi Terowong

Klien FTPS mengesahkan identiti pelayan TLS, dan klien SFTP mengesahkan kunci hos SSH. Kedua-dua pemeriksaan milik protokol pemindahan fail, dan tiada satu pun dilakukan oleh VPN.

Pemisahan itu penting apabila sesuatu di tengah mahu memeriksa sesi. Mematikan TLS supaya peranti rangkaian boleh membaca arahan mengubah model perlindungan dan bukannya melengkapkannya, dan perkara yang sama berlaku untuk menerima kunci hos yang tidak dijelaskan kerana terowong sudah naik. Kekalkan konfigurasi kepercayaan yang dimaksudkan dan dapatkan bahan yang betul daripada pengendali. Terowong yang disahkan tidak menyatakan apa-apa tentang pelayan di hujung jauhnya.

Bahan kunci persendirian dan sijil untuk protokol ini ialah rahsia ketiga lagi, berasingan daripada kelayakan VPN.

Catat Apa yang Sebenarnya Anda Sahkan

Pilih fail tidak berbahaya yang anda dibenarkan memindahkannya, dan catat empat fakta tentang percubaan itu: protokol mana yang berjalan, identiti pihak lawan mana yang diperiksa, laluan mana yang dimaksudkan, dan sama ada pemindahan itu selesai.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Senarai direktori, log masuk terowong dan pemindahan yang selesai ialah tiga pemerhatian berasingan, dan hanya yang terakhir menyatakan laluan itu berfungsi untuk fail. Jika reka bentuk bergantung pada VPN sahaja untuk kerahsiaan pada lonjakan yang tinggal, tuliskan itu sebagai keputusan yang memang ada. Nota penerimaan yang menamakan lonjakan dan andaian kepercayaannya lebih bernilai daripada tangkapan skrin klien yang bersambung.