Загрузка одного файла не требует полного сетевого VPN

Запрос на доступ через VPN часто скрывает за собой одну папку и один файл. Предоставление маршрута ко всей офисной сети отвечает на запрос и передаёт гораздо больше, чем требует задача. Замена подключённого общего ресурса страницей загрузки может быть столь же неправильной в обратную сторону, потому что меняет то, как работают люди. Решение начинается с того, что должно произойти с файлом.

Три требования выглядят здесь похоже и ведут себя совершенно по-разному: копирование готового PDF, редактирование документа на месте и запуск приложения против общей папки.

Начните с редактирования, а не с папки

Если файл готов и его нужно только читать, достаточно учётной записи для передачи. Если его будут редактировать, вопрос становится в том, кто ещё его редактирует и как разрешаются конфликты, а это вопрос рабочего процесса, а не сети. Если приложение открывает документы прямо из папки, важны задержка и поведение блокировки слоя хранения. Ответ на это в первую очередь предотвращает решение, которое идеально подключается и всё же непригодно.

Совместное редактирование вносит проблему, которую не может решить никакая передача. Пользователь скачивает таблицу, редактирует её офлайн и загружает после того, как кто-то другой изменил оригинал, а зашифрованное соединение не имеет мнения о перезаписи. Договорённость о перезаписи, конфликте или версионировании должна существовать раньше метода доступа.

SFTP — это протокол передачи, а не общий доступ

SFTP перемещает файлы через зашифрованный транспорт SSH, что именно нужно копии и не нужно подключённому диску. Это не FTP, и продукт, предлагающий FTPS, предлагает другой протокол, а не SFTP. Монтирование каталога SFTP через слой файловой системы не обещает блокировок, прав или поведения приложений исходного общего ресурса. Проверьте требования клиентского приложения, прежде чем называть это прямой заменой.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Это весь рабочий процесс для готового файла: подключиться, положить, забрать. Учётной записи только для передачи тоже нужна ограниченная служба SSH, а не только файловая система. chroot или ForceCommand internal-sftp ограничивает то, что может запустить сеанс, а отключение переадресации TCP и туннелирования закрывает пути, которые иначе превратили бы файловую учётную запись в сетевую точку входа. Ограничение только видимой папки ничего не доказывает о том, до чего может добраться учётная запись.

Если вам нужен общий доступ, не публикуйте его

Иногда исходный общий ресурс действительно является требованием, и ответ не в том, чтобы выставить SMB произвольным интернет-клиентам. Рекомендация Microsoft — блокировать прямой трафик SMB на границе, и на то есть веская причина: протокол не создавался для противостояния недоверенным сетям. Существуют SMB поверх QUIC и подобные решения с особыми требованиями к платформе на обоих концах, и они не являются универсальным переключателем для произвольного сервера Samba. Если ни то ни другое не подходит, задача — обеспечить поддерживаемый путь доступа, а не переадресованный порт.

Браузерный вариант — законный третий ответ, когда работа ему соответствует. Он приносит собственные решения: учётные записи, ссылки общего доступа, срок действия, сохраняемые версии и то, какая копия является авторитетной. Ссылка, которую может открыть любой, и рабочее пространство, требующее входа, представляют разные политики доступа, и ни одну не следует выбирать случайно.

Что проверить перед передачей доступа

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Какой бы проект вы ни выбрали, ограничьте его предполагаемыми данными и предполагаемыми операциями. Первая команда должна сработать, а вторая — быть отклонена; если сработают обе, учётная запись шире задачи. Затем удалите учётную запись и повторите первую, которая теперь должна не сработать. Держите владельца исходных файлов узнаваемым, чтобы у более позднего вопроса об авторитетной копии был ответ. Результат, который стоит зафиксировать, — это пригодный и отзываемый файловый рабочий процесс, а не отсутствующая иконка подключения.

Запишите, какой протокол на самом деле нужен приложению пользователя и какие три проверки вы выполнили. Эти две строки предотвращают большую часть переделок.