Prenos ene datoteke ne zahteva polnega omrežnega VPN

Zahteva za dostop VPN pogosto skriva eno mapo in eno datoteko za seboj. Dodelitev poti do celotnega pisarniškega omrežja odgovori na zahtevo in preda veliko več, kot zahteva naloga. Zamenjava preslikane souporabe s stranjo za nalaganje je lahko enako napačna v drugo smer, ker spreminja, kako ljudje delajo. Odločitev se začne s tem, kaj se mora zgoditi z datoteko.

Tri zahteve so si tu podobne in se obnašajo zelo različno: kopiranje končnega PDF, urejanje dokumenta na mestu in izvajanje aplikacije proti deljenemu imeniku.

Začnite z urejanjem, ne z mapo

Če je datoteka končana in jo je treba samo brati, zadošča račun za prenos. Če bo urejena, postane vprašanje, kdo jo še ureja in kako se rešujejo konflikti, kar je vprašanje delovnega toka in ne omrežja. Če aplikacija odpira dokumente neposredno iz imenika, sta pomembna zakasnitev in vedenje zaklepanja shranjevalne plasti. Odgovor na to najprej prepreči rešitev, ki se popolnoma poveže in je vseeno ni mogoče uporabiti.

Skupno urejanje uvaja težavo, ki je noben prenos ne more rešiti. Uporabnik prenese preglednico, jo ureja brez povezave in naloži, potem ko je nekdo drug spremenil izvirnik, šifrirana povezava pa nima mnenja o prepisovanju. Dogovor o prepisovanju, konfliktu ali različicah mora obstajati pred načinom dostopa.

SFTP je protokol za prenos, ne souporaba

SFTP premika datoteke po šifriranem transportu SSH, kar je točno tisto, kar kopija potrebuje, in ne tisto, kar potrebuje preslikan disk. To ni FTP, izdelek, ki ponuja FTPS, pa ponuja drug protokol namesto SFTP. Priklop imenika SFTP skozi plast datotečnega sistema ne obljublja zaklepanja, dovoljenj ali vedenja aplikacij izvirne souporabe. Preden to imenujete neposredna zamenjava, preverite zahteve odjemalske aplikacije.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

To je celoten delovni tok za končano datoteko: poveži, položi, prevzemi. Račun samo za prenos potrebuje tudi omejeno storitev SSH, ne le datotečnega sistema. chroot ali ForceCommand internal-sftp omeji, kaj lahko seja zažene, onemogočanje posredovanja TCP in tuneliranja pa zapre poti, ki bi sicer račun za datoteke spremenile v omrežno vstopno točko. Omejevanje samo vidnega imenika ne dokaže ničesar o tem, do česa lahko račun seže.

Če potrebujete souporabo, je ne objavite

Včasih je izvirna souporaba res zahteva, odgovor pa ni razkriti SMB poljubnim internetnim odjemalcem. Microsoftovo vodilo je blokirati neposreden promet SMB na meji, in to z dobrim razlogom: protokol ni bil zgrajen za soočanje z nezanesljivimi omrežji. Obstajajo SMB prek QUIC in podobne zasnove s posebnimi zahtevami glede platforme na obeh koncih in niso univerzalno stikalo za poljuben strežnik Samba. Če ne velja nobeno, je delo zagotoviti podprto pot dostopa namesto posredovanih vrat.

Možnost v brskalniku je legitimni tretji odgovor, kadar delo ustreza. Prinaša lastne odločitve: račune, povezave za souporabo, potek, shranjene različice in katera kopija je verodostojna. Povezava, ki jo lahko odpre vsakdo, in delovni prostor, ki zahteva prijavo, predstavljata različni politiki dostopa in nobene ne bi smeli izbrati po naključju.

Kaj preveriti pred predajo dostopa

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Ne glede na izbrano zasnovo jo omejite na predvidene podatke in predvidene operacije. Prvi ukaz bi moral uspeti, drugi pa biti zavrnjen; če uspeta oba, je račun širši od naloge. Nato račun odstranite in ponovite prvega, ki zdaj ne bi smel uspeti. Ohranite lastnika izvornih datotek prepoznavnega, da bo poznejše vprašanje o verodostojni kopiji imelo odgovor. Rezultat, ki si ga je vredno zapisati, je uporaben in preklicljiv datotečni delovni tok, ne manjkajoča ikona povezave.

Zapišite, kateri protokol aplikacija uporabnika dejansko potrebuje, in katere tri preizkuse ste izvedli. Ti dve vrstici preprečita večino predelave.