Å hente éi fil krev ikkje eit fullt nettverks-VPN

Ei førespurnad om VPN-tilgang skjuler ofte éi mappe og éi fil bak seg. Å gje ei rute til heile kontornettverket svarar på førespurnaden og overleverer langt meir enn oppgåva krev. Å erstatta ei tilkopla deling med ei opplastingsside kan vera like gale i den andre retninga, fordi det endrar korleis folk arbeider. Avgjerda byrjar med kva som må skje med fila.

Tre krav ser like ut her og oppfører seg svært ulikt: å kopiera ein ferdig PDF, å redigera eit dokument på staden og å køyra eit program mot ei delt mappe.

Start med redigeringa, ikkje mappa

Viss fila er ferdig og berre skal lesast, er ein overføringskonto nok. Viss ho skal redigerast, blir spørsmålet kven andre som redigerer henne, og korleis konfliktar blir løyste, som er eit arbeidsflytsspørsmål og ikkje eit nettverksspørsmål. Viss programmet opnar dokument direkte frå mappa, betyr ventetid og låseåtferd i lagringslaget noko. Å svara på det først hindrar ei løysing som koplar perfekt til og likevel ikkje kan brukast.

Felles redigering innfører eit problem som ingen overføring kan løyse. Ein brukar lastar ned eit rekneark, redigerer det offline og lastar det opp etter at nokon andre har endra originalen, og den krypterte sambandet har inga meining om overskrivinga. Semje om overskriving, konflikt eller versjonering må finnast før tilgangsmetoden.

SFTP er ein overføringsprotokoll, ikkje ei deling

SFTP flyttar filer over ein kryptert SSH-transport, som er nøyaktig det ein kopi treng og ikkje det ein tilkopla stasjon treng. Det er ikkje FTP, og eit produkt som tilbyr FTPS tilbyr ein annan protokoll i staden for SFTP. Montering av ei SFTP-mappe gjennom eit filsystemlag lovar ikkje låse-, løyve- eller programåtferda til den opphavlege delinga. Kontroller krava til klientprogrammet før du kallar det ei direkte erstatning.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Det er heile arbeidsflyten for ei ferdig fil: kopla til, legg inn, hent. Ein konto berre for overføring treng òg ein avgrensa SSH-teneste, ikkje berre filsystemet. Ein chroot eller ForceCommand internal-sftp avgrensar kva økta kan køyra, og å slå av TCP-vidaresending og tunnelering lukkar vegane som elles ville gjera ein filkonto til eit nettverksinngangspunkt. Å avgrensa berre den synlege mappa beviser ingenting om kva kontoen kan nå.

Viss du treng delinga, ikkje publiser henne

Nokre gonger er den opphavlege delinga verkeleg kravet, og svaret er ikkje å eksponera SMB for vilkårlege internettklientar. Rettleiinga frå Microsoft er å blokkera direkte SMB-trafikk ved grensa, og med god grunn: protokollen vart ikkje bygd for å møta utrygge nettverk. Det finst SMB over QUIC og liknande design, med spesifikke plattformkrav i begge endar, og dei er ikkje ein universell brytar for ein vilkårleg Samba-tenar. Viss ingen av dei gjeld, er arbeidet å tilby ein støtta tilgangsveg i staden for ein vidaresend port.

Nettlesaralternativet er eit legitimt tredje svar når arbeidet passar til det. Det bringar eigne avgjerder: kontoar, delingslenker, utløp, behaldne versjonar og kva kopi som er autoritativ. Ei lenke kven som helst kan opna, og eit arbeidsområde som krev pålogging, representerer ulike tilgangspolicyar, og ingen av dei bør veljast ved uhell.

Kva du bør kontrollere før du overleverer tilgang

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Uansett kva design du vel, avgrens det til dei tiltenkte dataa og dei tiltenkte operasjonane. Den første kommandoen bør lukkast, og den andre bør avvisast; viss begge lukkast, er kontoen breiare enn oppgåva. Fjern deretter kontoen og gjenta den første, som no bør mislukkast. Hald eigaren av kjeldene identifiserbar, slik at eit seinare spørsmål om den autoritative kopien har eit svar. Resultatet som er verdt å registrera, er ein brukbar og tilbakekallbar filarbeidsflyt, ikkje eit manglande tilkoplingsikon.

Skriv ned kva protokoll programmet til brukaren faktisk treng, og kva tre testar du køyrde. Dei to linjene hindrar det meste av omarbeidet.