Kje se zaščita VPN konča na poti do strežnika FTP

VPN ščiti pot, in vsaka pot ima konec. Ko se tunel konča na podjetniških vratih, se prenos datotek od tam nadaljuje pod zaščito, ki jo nudi njegov lastni protokol. Ta razlika odloča, ali je prenos zaščiten od začetka do konca ali le do vrat. Indikator Connected ne pove ničesar o nobenem od obeh.

Dve postavitvi, dve preostali poti

Vzemite prenosnik, ki se pridruži podjetniškemu VPN in nato odpre sejo FTP do ločenega notranjega strežnika. Tunel se ustavi pri vratih, odsek od vrat do tega strežnika pa ostane zunaj njega.

Običajni FTP ne pridobi šifriranja samo zato, ker so njegovi paketi prispeli po tunelu. Na tem preostalem odseku ukazi, poverilnice in vsebina datotek potujejo natanko tako, kot določa protokol, torej odkrito. Ali je to pomembno, je odvisno od topologije in od tega, kaj še varuje odsek, in če naslov imenujemo zaseben, to ne odgovori na vprašanje. Enako sklepanje velja tudi obratno, ko je strežnik v oblaku, do katerega vrata pridejo še z enim skokom.

Postavite končno točko VPN in storitev FTP na en stroj in ni več naslednjega odseka, za katerega bi bilo treba skrbeti. To je druga postavitev, ne dokaz, da so procesi, datoteke in poverilnice gostitelja varni.

Običajni FTP, FTPS in SFTP so tri odločitve

Običajni FTP ne šifrira ničesar, tudi gesla ne. FTPS doda TLS k FTP, zato sta krmilni kanal in, ko se o tem dogovorita, podatkovni kanal zaščitena. SFTP je drug protokol, ki se prenaša znotraj SSH, in ni drugačen zapis FTPS.

Strežnik mora to izbiro podpirati, ker odjemalec ne more izmisliti poslušalca, ki ga ni. Izbira SFTP ne spremeni storitve samo s FTP v končno točko SSH, preimenovanje zaznamka ali sprememba vrat pa ne dokaže ničesar o tem, o čemer sta se dogovorila. Potrdite protokol na strani strežnika in na strani odjemalca. Ključavnica v upravitelju datotek je trditev o seji, ne o poslušalcu za njo.

Preberite zadnji stolpec, ko je prenos pomemben, ker se prav tam pokaže nepričakovana sprememba identitete.

Podatkovna povezava je druga povezava

FTP odpre krmilno povezavo in nato ločene podatkovne povezave za sezname in prenose. Zaščitena prijava ne pove ničesar o teh poznejših povezavah, razen če namestitev zahteva zaščito tudi zanje.

Pri FTPS odjemalec zahteva zaščiten podatkovni kanal s posebnim ukazom, strežniška politika pa lahko odkrito možnost zavrne. Preverite, da politika to zahteva, namesto da predpostavite, da zadošča privzeta nastavitev odjemalca. Pasivni način doda drugo zapletanje, ker strežnik objavi naslov in vrata za podatkovno povezavo. Požarni zid ali naprava NAT, ki to objavo prepiše ali blokira, ustvari sejo, ki se overi in nato obvisi na prvem seznamu.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Drugi ukaz pokaže, kaj strežnik predstavi na krmilnem kanalu, preden se dotakne katere koli datoteke. Tretji pokaže, ali je bila podatkovna povezava sploh vzpostavljena, kar je razlika med neuspehom overjanja in neuspehom pasivnega načina.

Preverjanja identitete preživijo tunel

Odjemalec FTPS preveri identiteto strežnika TLS, odjemalec SFTP pa preveri ključ gostitelja SSH. Obe preverjanji pripadata protokolu za prenos datotek in nobenega ne izvede VPN.

Ta ločitev je pomembna, ko hoče nekaj v sredini pregledati sejo. Izklop TLS, da bi omrežna naprava lahko brala ukaze, spremeni zaščitni model, namesto da bi ga dopolnil, in enako velja za sprejetje nerazloženega ključa gostitelja zato, ker se je tunel dvignil. Ohranite predvideno konfiguracijo zaupanja in pridobite pravi material pri operaterju. Tunel, ki se overi, ne pove ničesar o strežniku na svojem oddaljenem koncu.

Gradivo zasebnega ključa in potrdila za te protokole je spet tretja skrivnost, ločena od poverilnic VPN.

Zapišite, kaj ste resnično preverili

Izberite neškodljivo datoteko, ki jo smete premakniti, in zabeležite štiri dejstva o poskusu: kateri protokol je tekel, katera identiteta druge strani je bila preverjena, katera pot je bila predvidena in ali se je prenos končal.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Seznam mape, prijava v tunel in končan prenos so tri ločena opažanja in samo zadnje pove, da pot deluje za datoteke. Če se zasnova za zaupnost na preostalem skoku zanaša samo na VPN, to zapišite kot odločitev, ki je. Sprejemna opomba, ki imenuje skok in njegovo predpostavko zaupanja, je vredna več kot posnetek zaslona povezanega odjemalca.