Descărcarea unui singur fișier nu necesită un VPN de rețea complet

O cerere de acces VPN ascunde adesea un folder și un fișier în spatele ei. Acordarea unei rute către întreaga rețea a biroului răspunde cererii și predă mult mai mult decât cere sarcina. Înlocuirea unei partajări mapate cu o pagină de încărcare poate fi la fel de greșită în cealaltă direcție, pentru că schimbă modul în care lucrează oamenii. Decizia începe cu ceea ce trebuie să se întâmple cu fișierul.

Trei cerințe arată similar aici și se comportă foarte diferit: copierea unui PDF finalizat, editarea unui document la fața locului și rularea unei aplicații împotriva unui director partajat.

Începeți cu editarea, nu cu folderul

Dacă fișierul este finalizat și trebuie doar citit, un cont de transfer este suficient. Dacă va fi editat, întrebarea devine cine altcineva îl editează și cum se rezolvă conflictele, ceea ce este o chestiune de flux de lucru, nu de rețea. Dacă aplicația deschide documente direct din director, contează latența și comportamentul de blocare al stratului de stocare. Răspunsul la asta mai întâi previne o soluție care se conectează perfect și totuși nu poate fi folosită.

Editarea partajată introduce o problemă pe care niciun transfer nu o poate rezolva. Un utilizator descarcă o foaie de calcul, o editează offline și o încarcă după ce altcineva a schimbat originalul, iar conexiunea criptată nu are nicio părere despre suprascriere. Acordul privind suprascrierea, conflictul sau versionarea trebuie să existe înainte de metoda de acces.

SFTP este un protocol de transfer, nu o partajare

SFTP mută fișiere printr-un transport SSH criptat, care este exact ceea ce are nevoie o copie și nu ceea ce are nevoie o unitate mapată. Nu este FTP, iar un produs care oferă FTPS oferă un alt protocol în loc de SFTP. Montarea unui director SFTP printr-un strat de sistem de fișiere nu promite blocarea, permisiunile sau comportamentul aplicațiilor partajării originale. Verificați cerințele aplicației client înainte de a o numi un substitut direct.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Acesta este întregul flux de lucru pentru un fișier finalizat: conectare, punere, preluare. Un cont doar pentru transfer are nevoie și de un serviciu SSH restricționat, nu doar de sistemul de fișiere. Un chroot sau ForceCommand internal-sftp limitează ce poate rula sesiunea, iar dezactivarea redirecționării TCP și a tunelării închide căile care altfel ar transforma un cont de fișiere într-un punct de intrare în rețea. Restricționarea doar a directorului vizibil nu dovedește nimic despre ceea ce poate atinge contul.

Dacă aveți nevoie de partajare, nu o publicați

Uneori partajarea originală este într-adevăr cerința, iar răspunsul nu este să expuneți SMB unor clienți de internet arbitrari. Recomandarea Microsoft este să blocați traficul SMB direct la graniță, și dintr-un motiv bun: protocolul nu a fost construit să înfrunte rețele nesigure. Există SMB peste QUIC și modele comparabile, cu cerințe specifice de platformă la ambele capete, și nu sunt un comutator universal pentru un server Samba arbitrar. Dacă niciunul nu se aplică, munca este să oferiți o cale de acces acceptată în loc de un port redirecționat.

Opțiunea bazată pe browser este un al treilea răspuns legitim când munca i se potrivește. Aduce propriile decizii: conturi, linkuri de partajare, expirare, versiuni păstrate și care copie este autoritară. Un link pe care oricine îl poate deschide și un spațiu de lucru care necesită autentificare reprezintă politici de acces diferite, iar niciuna nu ar trebui aleasă din greșeală.

Ce trebuie verificat înainte de a preda accesul

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Indiferent de designul ales, limitați-l la datele și operațiile prevăzute. Prima comandă ar trebui să reușească, iar a doua să fie refuzată; dacă ambele reușesc, contul este mai larg decât sarcina. Apoi eliminați contul și repetați prima, care acum ar trebui să eșueze. Păstrați proprietarul fișierelor sursă identificabil, pentru ca o întrebare ulterioară despre copia autoritară să aibă răspuns. Rezultatul care merită înregistrat este un flux de lucru cu fișiere utilizabil și revocabil, nu o pictogramă de conexiune lipsă.

Notați ce protocol are nevoie de fapt aplicația utilizatorului și ce trei teste ați executat. Acele două linii previn cea mai mare parte a relucrării.