Å hente én fil krever ikke et fullt nettverks-VPN

En forespørsel om VPN-tilgang skjuler ofte én mappe og én fil bak seg. Å gi en rute til hele kontornettverket besvarer forespørselen og overleverer langt mer enn oppgaven krever. Å erstatte en tilkoblet deling med en opplastingsside kan være like galt i den andre retningen, fordi det endrer hvordan folk arbeider. Beslutningen begynner med hva som må skje med filen.

Tre krav ser like ut her og oppfører seg svært forskjellig: å kopiere en ferdig PDF, å redigere et dokument på stedet og å kjøre et program mot en delt mappe.

Start med redigeringen, ikke mappen

Hvis filen er ferdig og bare skal leses, er en overføringskonto nok. Hvis den skal redigeres, blir spørsmålet hvem andre som redigerer den, og hvordan konflikter løses, som er et arbeidsflytsspørsmål og ikke et nettverksspørsmål. Hvis programmet åpner dokumenter direkte fra mappen, betyr lagringslagets ventetid og låseatferd noe. Å svare på det først hindrer en løsning som kobles perfekt til og likevel ikke kan brukes.

Felles redigering innfører et problem som ingen overføring kan løse. En bruker laster ned et regneark, redigerer det offline og laster det opp etter at noen andre har endret originalen, og den krypterte forbindelsen har ingen mening om overskrivingen. Enighet om overskriving, konflikt eller versjonering må finnes før tilgangsmetoden.

SFTP er en overføringsprotokoll, ikke en deling

SFTP flytter filer over en kryptert SSH-transport, som er nøyaktig det en kopi trenger og ikke det en tilkoblet stasjon trenger. Det er ikke FTP, og et produkt som tilbyr FTPS tilbyr en annen protokoll i stedet for SFTP. Montering av en SFTP-mappe gjennom et filsystemlag lover ikke den opprinnelige delingens låse-, tillatelses- eller programatferd. Kontroller klientprogrammets krav før du kaller det en direkte erstatning.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Det er hele arbeidsflyten for en ferdig fil: koble til, legg inn, hent. En konto kun for overføring trenger også en begrenset SSH-tjeneste, ikke bare filsystemet. En chroot eller ForceCommand internal-sftp begrenser hva økten kan kjøre, og å deaktivere TCP-videresending og tunnellering lukker veiene som ellers ville gjøre en filkonto til et nettverksinngangspunkt. Å begrense bare den synlige mappen beviser ingenting om hva kontoen kan nå.

Hvis du trenger delingen, ikke publiser den

Noen ganger er den opprinnelige delingen virkelig kravet, og svaret er ikke å eksponere SMB for vilkårlige internettklienter. Microsofts veiledning er å blokkere direkte SMB-trafikk ved grensen, og med god grunn: protokollen ble ikke bygget for å møte utrygge nettverk. Det finnes SMB over QUIC og lignende design, med spesifikke plattformkrav i begge ender, og de er ikke en universell bryter for en vilkårlig Samba-server. Hvis ingen av dem gjelder, er arbeidet å tilby en støttet tilgangsvei i stedet for en videresendt port.

Nettleseralternativet er et legitimt tredje svar når arbeidet passer til det. Det bringer egne beslutninger: kontoer, delingslenker, utløp, beholdte versjoner og hvilken kopi som er autoritativ. En lenke hvem som helst kan åpne, og et arbeidsområde som krever pålogging, representerer ulike tilgangspolicyer, og ingen av dem bør velges ved uhell.

Hva du bør kontrollere før du overleverer tilgang

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Uansett hvilket design du velger, begrens det til de tiltenkte dataene og de tiltenkte operasjonene. Den første kommandoen bør lykkes, og den andre bør avvises; hvis begge lykkes, er kontoen bredere enn oppgaven. Fjern deretter kontoen og gjenta den første, som nå bør mislykkes. Hold eieren av kildefilene identifiserbar, slik at et senere spørsmål om den autoritative kopien har et svar. Resultatet som er verdt å registrere, er en brukbar og tilbakekallbar filarbeidsflyt, ikke et manglende tilkoblingsikon.

Skriv ned hvilken protokoll brukerens program faktisk trenger, og hvilke tre tester du kjørte. De to linjene forhindrer det meste av omarbeidet.