Saan nagtatapos ang proteksyon ng VPN sa daan patungo sa isang FTP server

Pinoprotektahan ng VPN ang isang daan, at may dulo ang bawat daan. Kapag nagtatapos ang tunnel sa gateway ng kumpanya, nagpapatuloy ang paglilipat ng file mula roon sa ilalim ng proteksyong ibinibigay ng sarili nitong protocol. Ang pagkakaibang iyon ang nagtatakda kung ang paglilipat ay protektado mula simula hanggang dulo o hanggang gateway lamang. Wala ring sinasabi ang indicator na Connected tungkol sa alinman sa dalawa.

Dalawang paglalagay, dalawang natitirang daan

Kumuha ng laptop na sumasali sa VPN ng kumpanya at pagkatapos ay nagbubukas ng sesyon ng FTP patungo sa hiwalay na panloob na server. Humihinto ang tunnel sa gateway, at ang bahagi mula sa gateway hanggang sa server na iyon ay nasa labas nito.

Ang plain FTP ay hindi nakakakuha ng encryption dahil lamang dumating ang mga packet nito sa pamamagitan ng tunnel. Sa natitirang bahaging iyon, ang mga command, kredensyal at nilalaman ng file ay naglalakbay nang eksakto ayon sa tinutukoy ng protocol, ibig sabihin, hayagan. Kung mahalaga iyon ay depende sa topolohiya at sa kung ano pa ang nagpoprotekta sa bahagi, at ang pagtawag sa address na pribado ay hindi sumasagot sa tanong. Ganoon din ang pangangatwiran sa kabaligtaran kapag ang server ay nasa cloud network na nararating ng gateway sa isa pang pagtalon.

Ilagay ang endpoint ng VPN at ang serbisyo ng FTP sa isang makina, at wala nang susunod na bahaging dapat alalahanin. Iba iyon na paglalagay, hindi patunay na ligtas ang mga proseso, file at kredensyal ng host.

Ang plain FTP, FTPS at SFTP ay tatlong desisyon

Walang ini-encrypt ang plain FTP, kahit ang password. Nagdadagdag ang FTPS ng TLS sa FTP, kaya protektado ang control channel at, kapag napagkasunduan, ang data channel. Ang SFTP ay ibang protocol na dinadala sa loob ng SSH, at hindi ito isa pang baybay ng FTPS.

Dapat suportahan ng server ang pagpipiliang iyon, dahil hindi makakalikha ang client ng tagapakinig na wala. Ang pagpili ng SFTP ay hindi ginagawang SSH endpoint ang serbisyong FTP lamang, at ang pagpapalit ng pangalan ng bookmark o pagpapalit ng port ay walang pinapatunayan tungkol sa napagkasunduan. Kumpirmahin ang protocol mula sa panig ng server at gayundin sa panig ng client. Ang kandado sa file manager ay pahayag tungkol sa sesyon, hindi tungkol sa tagapakinig sa likod nito.

Basahin ang huling hanay kapag mahalaga ang paglilipat, dahil doon lumilitaw ang hindi inaasahang pagbabago ng pagkakakilanlan.

Ang koneksyon ng data ay pangalawang koneksyon

Nagbubukas ang FTP ng control connection at pagkatapos ay hiwalay na data connection para sa mga listahan at paglilipat. Ang protektadong pag-log in ay walang sinasabi tungkol sa mga huling koneksyong iyon, maliban kung kailangan din ng deployment ang proteksyon para sa mga ito.

Sa FTPS, humihiling ang client ng protektadong data channel sa pamamagitan ng partikular na command, at maaaring tanggihan ng patakaran ng server ang hayag na alternatibo. I-verify na kailangan ito ng patakaran sa halip na ipagpalagay na sapat ang default ng client. Ang passive mode ay nagdadagdag ng pangalawang komplikasyon, dahil inaanunsyo ng server ang address at port para sa data connection. Ang firewall o device na NAT na nagsusulat muli o humaharang sa anunsyong iyon ay gumagawa ng sesyong nagpapatunay at pagkatapos ay nakabitin sa unang listahan.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Ipinapakita ng pangalawang command ang inihaharap ng server sa control channel bago hawakan ang anumang file. Ipinapakita ng pangatlo kung may naitatag na data connection, na siyang pagkakaiba ng pagkabigo sa pagpapatunay at pagkabigo sa passive mode.

Nakaliligtas ang mga pagsusuri ng pagkakakilanlan sa tunnel

Ang isang FTPS client ay nagpapatunay ng pagkakakilanlan ng TLS server, at ang isang SFTP client ay nagpapatunay ng SSH host key. Ang dalawang pagsusuri ay kabilang sa protocol ng paglilipat ng file, at wala sa mga ito ang ginagawa ng VPN.

Mahalaga ang paghihiwalay na iyon kapag may gustong siyasatin ang sesyon sa gitna. Ang pagpatay sa TLS para makabasa ang network device ng mga command ay nagbabago ng modelo ng proteksyon sa halip na kumpletuhin ito, at ganoon din ang pagtanggap ng hindi maipaliwanag na host key dahil umangat ang tunnel. Panatilihin ang inilaan na konfigurasyon ng tiwala at kunin ang tamang materyal mula sa operator. Ang tunnel na nagpapatunay ay walang sinasabi tungkol sa server sa malayong dulo nito.

Ang materyal ng pribadong key at sertipiko para sa mga protocol na ito ay isa pang ikatlong lihim, hiwalay sa kredensyal ng VPN.

Itala kung ano talaga ang na-verify mo

Pumili ng hindi mapanganib na file na may pahintulot kang ilipat, at itala ang apat na katotohanan tungkol sa pagtatangka: aling protocol ang tumakbo, aling pagkakakilanlan ng kabilang panig ang sinuri, aling daan ang inilaan, at kung natapos ang paglilipat.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Ang listahan ng direktoryo, pag-log in sa tunnel at natapos na paglilipat ay tatlong hiwalay na obserbasyon, at ang huli lamang ang nagsasabing gumagana ang daan para sa mga file. Kung ang disenyo ay umaasa lamang sa VPN para sa pagiging kompidensyal sa natitirang pagtalon, isulat iyon bilang desisyong gayon nga. Ang tala ng pagtanggap na nagpapangalan sa pagtalon at sa palagay nitong tiwala ay mas mahalaga kaysa sa screenshot ng konektadong client.