Att hämta en enda fil kräver inget fullständigt nätverks-VPN

En begäran om VPN-åtkomst döljer ofta en mapp och en fil bakom sig. Att ge en väg till hela kontorsnätverket besvarar begäran och lämnar över långt mer än uppgiften kräver. Att ersätta en mappad delning med en uppladdningssida kan vara lika fel i andra riktningen, eftersom det ändrar hur människor arbetar. Beslutet börjar med vad som måste hända med filen.

Tre krav ser likadana ut här och beter sig mycket olika: att kopiera en färdig PDF, att redigera ett dokument på plats och att köra ett program mot en delad katalog.

Börja med redigeringen, inte mappen

Om filen är färdig och bara behöver läsas räcker ett överföringskonto. Om den ska redigeras blir frågan vem mer som redigerar den och hur konflikter löses, vilket är en arbetsflödesfråga och inte en nätverksfråga. Om programmet öppnar dokument direkt från mappen spelar lagringsskiktets latens och låsbeteende roll. Att svara på det först förhindrar en lösning som ansluter perfekt och ändå inte kan användas.

Delad redigering inför ett problem som ingen överföring kan lösa. En användare laddar ner ett kalkylark, redigerar det offline och laddar upp det efter att någon annan ändrat originalet, och den krypterade anslutningen har ingen åsikt om överskrivningen. En överenskommelse om överskrivning, konflikt eller versionshantering måste finnas innan åtkomstmetoden.

SFTP är ett överföringsprotokoll, inte en delning

SFTP flyttar filer över en krypterad SSH-transport, vilket är exakt vad en kopia behöver och inte vad en mappad enhet behöver. Det är inte FTP, och en produkt som erbjuder FTPS erbjuder ett annat protokoll i stället för SFTP. Att montera en SFTP-katalog genom ett filsystemlager lovar inte den ursprungliga delningens lås-, behörighets- eller programbeteende. Kontrollera klientprogrammets krav innan du kallar det en direkt ersättning.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Det är hela arbetsflödet för en färdig fil: anslut, lägg, hämta. Ett konto enbart för överföring behöver också en begränsad SSH-tjänst, inte bara filsystemet. En chroot eller ForceCommand internal-sftp begränsar vad sessionen kan köra, och att inaktivera TCP-vidarebefordran och tunnling stänger vägarna som annars skulle göra ett filkonto till en nätverksingång. Att bara begränsa den synliga mappen bevisar ingenting om vad kontot kan nå.

Om du behöver delningen, publicera den inte

Ibland är den ursprungliga delningen verkligen kravet, och svaret är inte att exponera SMB för godtyckliga internetklienter. Microsofts vägledning är att blockera direkt SMB-trafik vid gränsen, och av goda skäl: protokollet byggdes inte för att möta otillförlitliga nätverk. Det finns SMB över QUIC och liknande design med specifika plattformskrav i båda ändar, och de är inte en universell brytare för en godtycklig Samba-server. Om inget av dem gäller är arbetet att tillhandahålla en stödd åtkomstväg i stället för en vidarebefordrad port.

Webbläsarbaserat alternativ är ett legitimt tredje svar när arbetet passar. Det för med sig egna beslut: konton, delningslänkar, utgång, bevarade versioner och vilken kopia som är auktoritativ. En länk som vem som helst kan öppna och en arbetsyta som kräver inloggning representerar olika åtkomstpolicyer, och ingen av dem bör väljas av misstag.

Vad du bör kontrollera innan du överlämnar åtkomst

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Vilken design du än väljer, begränsa den till de avsedda uppgifterna och de avsedda operationerna. Det första kommandot bör lyckas och det andra avvisas; om båda lyckas är kontot bredare än uppgiften. Ta sedan bort kontot och upprepa det första, som nu bör misslyckas. Håll ägaren till källfilerna identifierbar, så att en senare fråga om den auktoritativa kopian får ett svar. Resultatet som är värt att registrera är ett användbart och återkallbart filarbetsflöde, inte en saknad anslutningsikon.

Skriv ner vilket protokoll användarens program faktiskt behöver och vilka tre tester du körde. De två raderna förhindrar det mesta av omarbetet.