FTP सर्भरतर्फ जाने बाटोमा VPN सुरक्षा कहाँ सकिन्छ
VPN ले आफ्नो गेटवेसम्मको बाटो मात्र ढाक्छ, त्यसपछिको खण्ड होइन। साधारण FTP, FTPS र SFTP छुट्याउनुहोस्, त्यसपछि डेटा च्यानल र विपक्षीको पहिचान प्रमाणित गर्नुहोस्।
VPN ले एउटा बाटोको रक्षा गर्छ, र प्रत्येक बाटोको एउटा अन्त्य हुन्छ। जब टनेल कम्पनीको गेटवेमा सकिन्छ, फाइल स्थानान्तरण त्यहीँबाट आफ्नै प्रोटोकलले दिने सुरक्षामुनि अगाडि बढ्छ। यही भिन्नताले स्थानान्तरण सुरुदेखि अन्त्यसम्म सुरक्षित छ वा गेटवेसम्म मात्र भन्ने निर्धारण गर्छ। Connected सूचकले दुवैमध्ये कुनैको बारेमा केही भन्दैन।
दुई स्थान, दुई बाँकी बाटो
कम्पनीको VPN मा जोडिने र त्यसपछि छुट्टै आन्तरिक सर्भरमा FTP सत्र खोल्ने ल्यापटप लिनुहोस्। टनेल गेटवेमा रोकिन्छ, र गेटवेदेखि त्यो सर्भरसम्मको खण्ड यसको बाहिर रहन्छ।
साधारण FTP ले आफ्ना प्याकेट टनेलबाट आए भन्दैमा इन्क्रिप्शन पाउँदैन। त्यो बाँकी खण्डमा आदेश, प्रमाणहरू र फाइलको सामग्री प्रोटोकलले निर्धारण गरेअनुसार, अर्थात् खुला रूपमा यात्रा गर्छन्। यो महत्त्वपूर्ण छ कि छैन भन्ने टोपोलोजी र त्यो खण्डलाई अरू केले पहरा दिन्छ भन्नेमा निर्भर छ, र ठेगानालाई निजी भन्नुले प्रश्नको उत्तर दिँदैन। सर्भर गेटवेले अर्को एउटा उफ्राइबाट पुग्ने क्लाउड सञ्जालमा हुँदा पनि त्यही तर्क उल्टो दिशामा लागू हुन्छ।
VPN को अन्त्य बिन्दु र FTP सेवा एउटै मेसिनमा राख्नुहोस्, त्यसपछि चिन्ता गर्नुपर्ने अर्को खण्ड रहँदैन। त्यो फरक स्थान हो, होस्टका प्रक्रिया, फाइल र प्रमाण सुरक्षित छन् भन्ने प्रमाण होइन।
साधारण FTP, FTPS र SFTP तीन निर्णय हुन्
साधारण FTP ले पासवर्डसमेत केही पनि इन्क्रिप्ट गर्दैन। FTPS ले FTP मा TLS थप्छ, त्यसैले नियन्त्रण च्यानल र वार्ता भएमा डेटा च्यानल सुरक्षित रहन्छन्। SFTP SSH भित्र बोकिने फरक प्रोटोकल हो, र यो FTPS को अर्को हिज्जे होइन।
सर्भरले यो छनोट समर्थन गर्नुपर्छ, किनकि क्लाइन्टले नभएको श्रोता बनाउन सक्दैन। SFTP छान्दा FTP मात्र चल्ने सेवा SSH अन्त्य बिन्दु बन्दैन, र बुकमार्कको नाम बदल्नु वा पोर्ट बदल्नु केमा सहमति भयो भन्ने कुराको कुनै प्रमाण दिँदैन। क्लाइन्टसँगै सर्भरको पक्षबाट पनि प्रोटोकल पुष्टि गर्नुहोस्। फाइल म्यानेजरको ताल्चा सत्रको बारेमा दाबी हो, त्यसको पछाडिको श्रोताको बारेमा होइन।
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
स्थानान्तरण महत्त्वपूर्ण हुँदा अन्तिम स्तम्भ पढ्नुहोस्, किनकि त्यहीँ अप्रत्याशित पहिचान परिवर्तन देखिन्छ।
डेटा जडान दोस्रो जडान हो
FTP ले नियन्त्रण जडान खोल्छ र त्यसपछि सूची तथा स्थानान्तरणका लागि छुट्टै डेटा जडानहरू खोल्छ। सुरक्षित लगइनले ती पछिका जडानहरूको बारेमा केही भन्दैन, जबसम्म परिनियोजनले तिनीहरूका लागि पनि सुरक्षा माग्दैन।
FTPS मा क्लाइन्टले विशेष आदेशमार्फत सुरक्षित डेटा च्यानल माग्छ, र सर्भर नीतिले खुला विकल्प अस्वीकार गर्न सक्छ। क्लाइन्टको पूर्वनिर्धारित मान पुग्छ भन्ने ठान्नुको सट्टा नीतिले त्यो माग्छ भनी प्रमाणित गर्नुहोस्। निष्क्रिय मोडले दोस्रो जटिलता थप्छ, किनकि सर्भरले डेटा जडानका लागि ठेगाना र पोर्ट घोषणा गर्छ। त्यो घोषणा पुनर्लेखन वा अवरोध गर्ने फायरवाल वा NAT उपकरणले प्रमाणीकरण पार गरेर पहिलो सूचीमा अड्किने सत्र बनाउँछ।
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'दोस्रो आदेशले कुनै पनि फाइल छुनुअघि सर्भरले नियन्त्रण च्यानलमा के प्रस्तुत गर्छ देखाउँछ। तेस्रोले डेटा जडान कहिल्यै स्थापित भयो कि भएन देखाउँछ, जो प्रमाणीकरण असफलता र निष्क्रिय मोड असफलताबीचको भिन्नता हो।
पहिचान जाँचहरू टनेलबाट जोगिन्छन्
FTPS क्लाइन्टले TLS सर्भरको पहिचान प्रमाणित गर्छ, र SFTP क्लाइन्टले SSH होस्ट कुञ्जी प्रमाणित गर्छ। दुवै जाँच फाइल स्थानान्तरण प्रोटोकलका हुन्, र कुनै पनि VPN ले गर्दैन।
बीचमा केहीले सत्र निरीक्षण गर्न चाहँदा यो विभाजन महत्त्वपूर्ण हुन्छ। सञ्जाल उपकरणले आदेश पढ्न सकोस् भनी TLS बन्द गर्नु सुरक्षा मोडेल पूरा गर्नुको सट्टा बदल्नु हो, र टनेल उठ्यो भनेर अव्याख्यायित होस्ट कुञ्जी स्वीकार गर्ने कुरामा पनि त्यही लागू हुन्छ। इच्छित विश्वास कन्फिगरेसन राख्नुहोस् र सही सामग्री अपरेटरबाट लिनुहोस्। प्रमाणीकरण गर्ने टनेलले आफ्नो टाढाको छेउको सर्भरको बारेमा केही भन्दैन।
यी प्रोटोकलका लागि निजी कुञ्जी र प्रमाणपत्रको सामग्री VPN प्रमाणभन्दा छुट्टै अर्को, तेस्रो रहस्य हो।
तपाईंले वास्तवमा के प्रमाणित गर्नुभयो लेख्नुहोस्
सार्न अनुमति भएको हानिरहित फाइल छान्नुहोस्, र प्रयासबारे चार तथ्य लेख्नुहोस्: कुन प्रोटोकल चल्यो, विपक्षीको कुन पहिचान जाँचियो, कुन बाटो इच्छित थियो, र स्थानान्तरण पूरा भयो कि भएन।
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]डाइरेक्टरी सूची, टनेलमा लगइन र पूरा भएको स्थानान्तरण तीन छुट्टै अवलोकन हुन्, र बाटो फाइलका लागि चल्छ भनी अन्तिमले मात्र भन्छ। यदि डिजाइनले बाँकी उफ्राइमा गोपनीयताका लागि VPN मात्रैमा भर पर्छ भने, त्यसलाई त्यही निर्णयका रूपमा लेख्नुहोस्। उफ्राइ र त्यसको विश्वास अनुमान नाम दिने स्वीकृति टिप्पणी जोडिएको क्लाइन्टको स्क्रिनसटभन्दा बढी मूल्यवान् हुन्छ।