VPN koruması FTP sunucusuna giden yolda nerede biter

VPN bir yolu korur ve her yolun bir sonu vardır. Tünel şirket ağ geçidinde sona erdiğinde, dosya aktarımı oradan kendi protokolünün sağladığı koruma altında devam eder. Bu ayrım, aktarımın uçtan uca mı yoksa yalnızca ağ geçidine kadar mı korunduğunu belirler. Connected göstergesi ikisi hakkında da hiçbir şey söylemez.

İki yerleşim, iki kalan yol

Şirket VPN'ine bağlanan ve ardından ayrı bir iç sunucuya FTP oturumu açan bir dizüstü bilgisayar alın. Tünel ağ geçidinde durur ve ağ geçidinden o sunucuya kadar olan bölüm onun dışında kalır.

Düz FTP, paketleri bir tünelden geldi diye şifreleme kazanmaz. Kalan o bölümde komutlar, kimlik bilgileri ve dosya içeriği protokolün tanımladığı gibi, yani açık olarak yol alır. Bunun önemli olup olmadığı topolojiye ve bölümü başka neyin koruduğuna bağlıdır, adresi özel diye adlandırmak soruyu yanıtlamaz. Aynı akıl yürütme, sunucu ağ geçidinin bir sıçrama daha ile ulaştığı bir bulut ağında olduğunda ters yönde de geçerlidir.

VPN uç noktasını ve FTP hizmetini tek bir makineye koyun, endişelenecek sonraki bir bölüm kalmaz. Bu başka bir yerleşimdir, ana makinenin süreçlerinin, dosyalarının ve kimlik bilgilerinin güvende olduğunun kanıtı değildir.

Düz FTP, FTPS ve SFTP üç karardır

Düz FTP, parola dahil hiçbir şeyi şifrelemez. FTPS, FTP'ye TLS ekler, böylece denetim kanalı ve müzakere edildiğinde veri kanalı korunur. SFTP, SSH içinde taşınan farklı bir protokoldür ve FTPS'nin başka bir yazımı değildir.

Sunucu bu seçimi desteklemelidir, çünkü istemci var olmayan bir dinleyici yaratamaz. SFTP seçmek yalnızca FTP çalışan bir hizmeti SSH uç noktasına dönüştürmez ve bir yer imini yeniden adlandırmak veya bağlantı noktasını değiştirmek neyin müzakere edildiği hakkında hiçbir şey kanıtlamaz. Protokolü hem sunucu hem de istemci tarafından doğrulayın. Dosya yöneticisindeki kilit oturum hakkında bir iddiadır, arkasındaki dinleyici hakkında değil.

Aktarım önemli olduğunda son sütunu okuyun, çünkü beklenmedik kimlik değişikliği tam orada ortaya çıkar.

Veri bağlantısı ikinci bağlantıdır

FTP bir denetim bağlantısı açar ve ardından listeler ile aktarımlar için ayrı veri bağlantıları açar. Korumalı oturum açma, dağıtım bunlar için de koruma istemedikçe o sonraki bağlantılar hakkında hiçbir şey söylemez.

FTPS'de istemci belirli bir komutla korumalı bir veri kanalı ister ve sunucu ilkesi açık alternatifi reddedebilir. İlkenin bunu gerektirdiğini doğrulayın, istemcinin varsayılanının yeterli olduğunu varsaymayın. Pasif mod ikinci bir zorluk ekler, çünkü sunucu veri bağlantısı için bir adres ve bağlantı noktası duyurur. Bu duyuruyu yeniden yazan veya engelleyen bir güvenlik duvarı ya da NAT cihazı, kimlik doğrulamayı geçen ama ilk listede takılan bir oturum üretir.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

İkinci komut, herhangi bir dosyaya dokunulmadan önce sunucunun denetim kanalında ne sunduğunu gösterir. Üçüncüsü, bir veri bağlantısının hiç kurulup kurulmadığını gösterir; bu da kimlik doğrulama hatası ile pasif mod hatası arasındaki farktır.

Kimlik denetimleri tünelden sağ çıkar

Bir FTPS istemcisi TLS sunucusunun kimliğini doğrular, bir SFTP istemcisi ise SSH ana makine anahtarını doğrular. Her iki denetim de dosya aktarım protokolüne aittir ve hiçbirini VPN yapmaz.

Bu ayrım, ortadaki bir şey oturumu incelemek istediğinde önemlidir. Ağ cihazının komutları okuyabilmesi için TLS'yi kapatmak koruma modelini tamamlamak yerine değiştirir; tünel açıldı diye açıklanamayan bir ana makine anahtarını kabul etmek de aynı şeydir. Amaçlanan güven yapılandırmasını koruyun ve doğru malzemeyi işletmeciden alın. Kimlik doğrulayan bir tünel, uzak ucundaki sunucu hakkında hiçbir şey söylemez.

Bu protokoller için özel anahtar ve sertifika malzemesi, VPN kimlik bilgisinden ayrı, yine üçüncü bir sırdır.

Gerçekte neyi doğruladığınızı yazın

Taşımaya izniniz olan zararsız bir dosya seçin ve deneme hakkında dört gerçeği not edin: hangi protokol çalıştı, karşı tarafın hangi kimliği denetlendi, hangi yol amaçlandı ve aktarım tamamlandı mı.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Bir dizin listesi, tünele oturum açma ve tamamlanmış bir aktarım üç ayrı gözlemdir ve yolun dosyalar için çalıştığını yalnızca sonuncusu söyler. Tasarım kalan sıçramadaki gizlilik için yalnızca VPN'e güveniyorsa bunu olduğu gibi, bir karar olarak yazın. Sıçramayı ve güven varsayımını adlandıran bir kabul notu, bağlı bir istemcinin ekran görüntüsünden daha değerlidir.