Eén bestand ophalen vereist geen volledig netwerk-VPN

Een verzoek om VPN-toegang verbergt vaak één map en één bestand erachter. Een route naar het hele kantoornetwerk geven beantwoordt het verzoek en levert veel meer op dan de taak vereist. Een gemapte share vervangen door een uploadpagina kan in de andere richting net zo verkeerd zijn, omdat het verandert hoe mensen werken. De beslissing begint bij wat er met het bestand moet gebeuren.

Drie vereisten lijken hier op elkaar en gedragen zich heel verschillend: een afgeronde PDF kopiëren, een document ter plaatse bewerken en een applicatie tegen een gedeelde map laten draaien.

Begin bij de bewerking, niet bij de map

Als het bestand klaar is en alleen gelezen hoeft te worden, is een overdrachtsaccount genoeg. Als het bewerkt gaat worden, wordt de vraag wie het nog meer bewerkt en hoe conflicten worden opgelost, wat een workflowvraag is en geen netwerkvraag. Als de applicatie documenten rechtstreeks uit de map opent, zijn de latency en het vergrendelgedrag van de opslaglaag van belang. Dat eerst beantwoorden voorkomt een oplossing die perfect verbindt en toch niet bruikbaar is.

Gedeeld bewerken introduceert een probleem dat geen enkele overdracht kan oplossen. Een gebruiker downloadt een spreadsheet, bewerkt die offline en uploadt die nadat iemand anders het origineel heeft gewijzigd, en de versleutelde verbinding heeft geen mening over het overschrijven. Overeenstemming over overschrijven, conflict of versiebeheer moet bestaan voordat de toegangsmethode er is.

SFTP is een overdrachtsprotocol, geen share

SFTP verplaatst bestanden over een versleuteld SSH-transport, precies wat een kopie nodig heeft en niet wat een gemapte schijf nodig heeft. Het is geen FTP, en een product dat FTPS aanbiedt, biedt een ander protocol in plaats van SFTP. Een SFTP-map koppelen via een bestandssysteemlaag belooft niet het vergrendel-, machtigings- of applicatiegedrag van de oorspronkelijke share. Controleer de eisen van de clientapplicatie voordat je dat een directe vervanging noemt.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Dat is de hele workflow voor een afgerond bestand: verbinden, plaatsen, ophalen. Een account dat alleen voor overdracht is bedoeld, heeft ook een beperkte SSH-dienst nodig, niet alleen het bestandssysteem. Een chroot of ForceCommand internal-sftp beperkt wat de sessie kan uitvoeren, en het uitschakelen van TCP-doorsturing en tunneling sluit de paden die anders van een bestandsaccount een netwerkinvoerpunt zouden maken. Alleen de zichtbare map beperken bewijst niets over wat het account kan bereiken.

Als je de share nodig hebt, publiceer die dan niet

Soms is de oorspronkelijke share echt de vereiste, en het antwoord is niet om SMB bloot te stellen aan willekeurige internetclients. Microsofts richtlijn is om direct SMB-verkeer aan de grens te blokkeren, en om een goede reden: het protocol is niet gebouwd om onbetrouwbare netwerken het hoofd te bieden. SMB over QUIC en vergelijkbare ontwerpen bestaan, met specifieke platformvereisten aan beide kanten, en ze zijn geen universele schakelaar voor een willekeurige Samba-server. Als geen van beide van toepassing is, is het werk om een ondersteund toegangspad te bieden in plaats van een doorgestuurde poort.

De browsergebaseerde optie is een legitiem derde antwoord wanneer het werk daarbij past. Die brengt zijn eigen beslissingen mee: accounts, deellinks, vervaldatum, bewaarde versies en welke kopie gezaghebbend is. Een link die iedereen kan openen en een werkruimte die aanmelding vereist, vertegenwoordigen verschillend toegangsbeleid, en geen van beide zou per ongeluk gekozen moeten worden.

Wat je moet verifiëren voordat je toegang overdraagt

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Welk ontwerp je ook kiest, beperk het tot de bedoelde gegevens en de bedoelde bewerkingen. De eerste opdracht moet slagen en de tweede moet worden geweigerd; als beide slagen, is het account breder dan de taak. Verwijder daarna het account en herhaal de eerste, die nu zou moeten mislukken. Houd de eigenaar van de bronbestanden herkenbaar, zodat een latere vraag over de gezaghebbende kopie een antwoord heeft. Het resultaat dat het vastleggen waard is, is een bruikbare en intrekbare bestandsworkflow, geen ontbrekend verbindingspictogram.

Schrijf op welk protocol de applicatie van de gebruiker echt nodig heeft, en welke drie tests je hebt uitgevoerd. Die twee regels voorkomen het meeste herwerk.