Преузимање једне датотеке не захтева пуни мрежни VPN

Захтев за VPN приступом често крије један фолдер и једну датотеку. Давање руте до целе канцеларијске мреже одговара на захтев и предаје много више него што задатак тражи. Замена мапираног дељења страницом за отпремање може бити једнако погрешна у другом смеру, јер мења начин на који људи раде. Одлука почиње од онога што мора да се догоди са датотеком.

Три захтева овде изгледају слично, а понашају се веома различито: копирање готовог PDF-а, уређивање документа на месту и покретање апликације према дељеном директоријуму.

Почните од уређивања, не од фолдера

Ако је датотека готова и треба само да се чита, довољан је рачун за пренос. Ако ће се уређивати, питање постаје ко је још уређује и како се решавају сукоби, што је питање радног тока, а не мреже. Ако апликација отвара документе директно из директоријума, битни су кашњење и понашање закључавања слоја складиштења. Одговор на то прво спречава решење које се савршено повезује и ипак не може да се користи.

Заједничко уређивање уводи проблем који ниједан пренос не може да реши. Корисник преузме табелу, уређује је ван мреже и отпреми је након што је неко други променио оригинал, а шифрована веза нема мишљење о преписивању. Договор о преписивању, сукобу или верзионисању мора да постоји пре метода приступа.

SFTP је протокол за пренос, а не дељење

SFTP преноси датотеке преко шифрованог SSH транспорта, што је тачно оно што копији треба, а не оно што мапираном диску треба. То није FTP, а производ који нуди FTPS нуди други протокол, а не SFTP. Монтирање SFTP директоријума кроз слој датотечног система не обећава закључавање, дозволе ни понашање апликација оригиналног дељења. Проверите захтеве клијентске апликације пре него што то назовете директном заменом.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

То је цео радни ток за готову датотеку: повежи, стави, преузми. Рачун само за пренос такође треба ограничену SSH услугу, не само датотечни систем. chroot или ForceCommand internal-sftp ограничава шта сесија може да покрене, а искључивање TCP прослеђивања и тунелирања затвара путање које би иначе претвориле рачун за датотеке у мрежну улазну тачку. Ограничавање само видљивог директоријума ништа не доказује о томе до чега рачун може да дође.

Ако вам је потребно дељење, немојте га објављивати

Понекад је оригинално дељење заиста захтев, а одговор није излагање SMB произвољним интернет клијентима. Microsoftове смернице су да се блокира директни SMB саобраћај на граници, и то с добрим разлогом: протокол није грађен да се суочи с непоузданим мрежама. Постоје SMB преко QUIC-а и слични дизајни, са посебним захтевима платформе на оба краја, и они нису универзални прекидач за произвољни Samba сервер. Ако ни једно не важи, посао је да се обезбеди подржана путања приступа уместо прослеђеног порта.

Опција у прегледачу је легитиман трећи одговор када посао одговара. Она носи сопствене одлуке: рачуне, линкове за дељење, рок трајања, задржане верзије и која је копија меродавна. Линк који свако може да отвори и радни простор који захтева пријаву представљају различите политике приступа, и ниједну не треба бирати случајно.

Шта проверити пре предаје приступа

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Који год дизајн одабрали, ограничите га на предвиђене податке и предвиђене операције. Прва команда треба да успе, а друга да буде одбијена; ако обе успеју, рачун је шири од задатка. Затим уклоните рачун и поновите прву, која сада треба да не успе. Држите власника изворних датотека препознатљивим, како би касније питање о меродавној копији имало одговор. Исход који вреди забележити је употребљив и опозив радни ток датотека, а не икона везе која недостаје.

Запишите који протокол апликација корисника заиста треба и која три теста сте извели. Та два реда спречавају већину поновног рада.