Stiahnutie jedného súboru nevyžaduje plnohodnotnú sieťovú VPN

Žiadosť o prístup k VPN často skrýva jeden priečinok a jeden súbor. Udelenie trasy do celej kancelárskej siete vybaví žiadosť a odovzdá oveľa viac, než úloha vyžaduje. Nahradenie namapovaného zdieľania nahrávacou stránkou môže byť rovnako nesprávne opačným smerom, pretože mení spôsob, akým ľudia pracujú. Rozhodnutie začína tým, čo sa má so súborom stať.

Tri požiadavky tu vyzerajú podobne a správajú sa veľmi odlišne: kopírovanie hotového PDF, úprava dokumentu na mieste a spúšťanie aplikácie voči zdieľanému adresáru.

Začnite úpravou, nie priečinkom

Ak je súbor hotový a treba ho len čítať, stačí prenosový účet. Ak sa bude upravovať, otázka sa stane tým, kto ho ešte upravuje a ako sa riešia konflikty, čo je otázka pracovného postupu, nie siete. Ak aplikácia otvára dokumenty priamo z adresára, záleží na latencii a správaní zamykania úložnej vrstvy. Odpoveď na to najprv zabráni riešeniu, ktoré sa dokonale pripojí a napriek tomu sa nedá použiť.

Spoločná úprava prináša problém, ktorý žiadny prenos nedokáže vyriešiť. Používateľ stiahne tabuľku, upraví ju offline a nahrá ju po tom, čo niekto iný zmenil originál, a šifrované pripojenie nemá na prepísanie žiadny názor. Dohoda o prepísaní, konflikte alebo verzovaní musí existovať pred spôsobom prístupu.

SFTP je prenosový protokol, nie zdieľanie

SFTP prenáša súbory cez šifrovaný transport SSH, čo je presne to, čo kópia potrebuje, a nie to, čo potrebuje namapovaný disk. Nie je to FTP a produkt ponúkajúci FTPS ponúka iný protokol, nie SFTP. Pripojenie adresára SFTP cez vrstvu súborového systému nesľubuje zamykanie, oprávnenia ani správanie aplikácií pôvodného zdieľania. Predtým, než to nazvete priamou náhradou, skontrolujte požiadavky klientskej aplikácie.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

To je celý pracovný postup pre hotový súbor: pripojiť, vložiť, stiahnuť. Účet iba na prenos tiež potrebuje obmedzenú službu SSH, nielen súborový systém. chroot alebo ForceCommand internal-sftp obmedzuje, čo môže relácia spustiť, a vypnutie presmerovania TCP a tunelovania zatvára cesty, ktoré by inak premenili súborový účet na sieťový vstupný bod. Obmedzenie iba viditeľného adresára nič nedokazuje o tom, kam sa účet môže dostať.

Ak zdieľanie potrebujete, nezverejňujte ho

Niekedy je pôvodné zdieľanie skutočne požiadavkou a odpoveďou nie je vystaviť SMB ľubovoľným internetovým klientom. Usmernenie Microsoftu je zablokovať priamu premávku SMB na hranici, a to z dobrého dôvodu: protokol nebol stavaný na čelenie nedôveryhodným sieťam. Existujú SMB cez QUIC a porovnateľné návrhy so špecifickými požiadavkami na platformu na oboch koncoch a nie sú univerzálnym prepínačom pre ľubovoľný server Samba. Ak neplatí ani jedno, úlohou je poskytnúť podporovanú cestu prístupu namiesto presmerovaného portu.

Možnosť v prehliadači je legitímna tretia odpoveď, keď práca sedí. Prináša vlastné rozhodnutia: účty, odkazy na zdieľanie, expiráciu, uchovávané verzie a to, ktorá kópia je autoritatívna. Odkaz, ktorý môže otvoriť ktokoľvek, a pracovný priestor vyžadujúci prihlásenie predstavujú rôzne zásady prístupu a ani jedno by sa nemalo vyberať náhodou.

Čo overiť pred odovzdaním prístupu

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Nech si vyberiete akýkoľvek návrh, obmedzte ho na zamýšľané údaje a zamýšľané operácie. Prvý príkaz by mal uspieť a druhý byť odmietnutý; ak uspejú oba, účet je širší než úloha. Potom účet odstráňte a zopakujte prvý, ktorý by teraz mal zlyhať. Udržujte vlastníka zdrojových súborov identifikovateľného, aby neskoršia otázka o autoritatívnej kópii mala odpoveď. Výsledok, ktorý stojí za zaznamenanie, je použiteľný a odvolateľný súborový pracovný postup, nie chýbajúca ikona pripojenia.

Zapíšte, ktorý protokol aplikácia používateľa skutočne potrebuje a ktoré tri testy ste vykonali. Tie dva riadky zabránia väčšine prepracovania.