Pobranie jednego pliku nie wymaga pełnego VPN sieciowego

Prośba o dostęp VPN często ukrywa za sobą jeden folder i jeden plik. Przyznanie trasy do całej sieci biura odpowiada na prośbę i przekazuje znacznie więcej, niż wymaga zadanie. Zastąpienie zamapowanego udziału stroną do przesyłania może być równie błędne w drugą stronę, ponieważ zmienia sposób pracy ludzi. Decyzja zaczyna się od tego, co ma się stać z plikiem.

Trzy wymagania wyglądają tu podobnie i zachowują się bardzo różnie: kopiowanie gotowego PDF, edycja dokumentu na miejscu i uruchamianie aplikacji wobec udostępnionego katalogu.

Zacznij od edycji, nie od folderu

Jeśli plik jest gotowy i trzeba go tylko czytać, wystarczy konto transferowe. Jeśli będzie edytowany, pytanie staje się tym, kto jeszcze go edytuje i jak rozwiązywane są konflikty, co jest kwestią przepływu pracy, a nie sieci. Jeśli aplikacja otwiera dokumenty bezpośrednio z katalogu, znaczenie mają opóźnienie i zachowanie blokad warstwy przechowywania. Odpowiedź na to najpierw zapobiega rozwiązaniu, które łączy się idealnie, a jednak nie da się go użyć.

Wspólna edycja wprowadza problem, którego żaden transfer nie rozwiąże. Użytkownik pobiera arkusz, edytuje go offline i przesyła po tym, jak ktoś inny zmienił oryginał, a zaszyfrowane połączenie nie ma zdania o nadpisaniu. Porozumienie co do nadpisania, konfliktu lub wersjonowania musi istnieć zanim powstanie metoda dostępu.

SFTP to protokół transferu, nie udostępnianie

SFTP przenosi pliki przez szyfrowany transport SSH, czyli dokładnie to, czego potrzebuje kopia, a nie to, czego potrzebuje zamapowany dysk. To nie FTP, a produkt oferujący FTPS oferuje inny protokół zamiast SFTP. Montowanie katalogu SFTP przez warstwę systemu plików nie obiecuje blokad, uprawnień ani zachowania aplikacji oryginalnego udziału. Sprawdź wymagania aplikacji klienckiej, zanim nazwiesz to bezpośrednim zamiennikiem.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

To cały przepływ pracy dla gotowego pliku: połącz, połóż, pobierz. Konto tylko do transferu potrzebuje też ograniczonej usługi SSH, nie tylko systemu plików. chroot lub ForceCommand internal-sftp ogranicza to, co sesja może uruchomić, a wyłączenie przekazywania TCP i tunelowania zamyka ścieżki, które inaczej zamieniłyby konto plikowe w punkt wejścia do sieci. Ograniczenie tylko widocznego katalogu niczego nie dowodzi co do tego, do czego konto może dotrzeć.

Jeśli potrzebujesz udostępniania, nie publikuj go

Czasami oryginalny udział jest naprawdę wymaganiem, a odpowiedzią nie jest wystawienie SMB na dowolne klienty internetowe. Wytyczna Microsoftu to blokowanie bezpośredniego ruchu SMB na granicy, i to z dobrego powodu: protokół nie został zbudowany do mierzenia się z niezaufanymi sieciami. Istnieją SMB over QUIC i podobne rozwiązania, z konkretnymi wymaganiami platformy po obu stronach, i nie są one uniwersalnym przełącznikiem dla dowolnego serwera Samba. Jeśli żadne nie pasuje, zadaniem jest zapewnienie wspieranej ścieżki dostępu zamiast przekierowanego portu.

Opcja oparta na przeglądarce jest uzasadnioną trzecią odpowiedzią, gdy praca jej odpowiada. Niesie własne decyzje: konta, linki udostępniania, wygaśnięcie, zachowane wersje i to, która kopia jest autorytatywna. Link, który każdy może otworzyć, i przestrzeń robocza wymagająca logowania reprezentują różne polityki dostępu, i żadnej nie należy wybierać przypadkiem.

Co sprawdzić przed przekazaniem dostępu

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Niezależnie od wybranego projektu ogranicz go do zamierzonych danych i zamierzonych operacji. Pierwsze polecenie powinno się udać, a drugie zostać odrzucone; jeśli oba się udadzą, konto jest szersze niż zadanie. Następnie usuń konto i powtórz pierwsze, które teraz powinno się nie udać. Utrzymuj właściciela plików źródłowych jako rozpoznawalnego, aby późniejsze pytanie o kopię autorytatywną miało odpowiedź. Wynikiem wartym zapisania jest użyteczny i odwołalny przepływ pracy z plikami, a nie brakująca ikona połączenia.

Zapisz, jakiego protokołu naprawdę potrzebuje aplikacja użytkownika i jakie trzy testy przeprowadziłeś. Te dwie linie zapobiegają większości przeróbek.