Завантаження одного файлу не потребує повного мережевого VPN

Запит на доступ через VPN часто приховує за собою одну теку й один файл. Надання маршруту до всієї офісної мережі відповідає на запит і передає значно більше, ніж вимагає завдання. Заміна підключеного спільного ресурсу сторінкою завантаження може бути так само неправильною в інший бік, бо вона змінює те, як працюють люди. Рішення починається з того, що має статися з файлом.

Три вимоги виглядають тут схоже й поводяться зовсім по-різному: копіювання готового PDF, редагування документа на місці й запуск застосунку проти спільної теки.

Почніть із редагування, а не з теки

Якщо файл готовий і його треба лише читати, достатньо облікового запису для передавання. Якщо його редагуватимуть, питання стає в тому, хто ще його редагує і як розв'язуються конфлікти, а це питання робочого процесу, а не мережі. Якщо застосунок відкриває документи безпосередньо з теки, важливі затримка й поведінка блокування шару зберігання. Відповідь на це першою запобігає рішенню, яке ідеально підключається й усе ж непридатне.

Спільне редагування вносить проблему, яку не може розв'язати жодне передавання. Користувач завантажує таблицю, редагує її офлайн і завантажує після того, як хтось інший змінив оригінал, а зашифроване з'єднання не має думки про перезапис. Домовленість про перезапис, конфлікт або версіювання має існувати раніше за метод доступу.

SFTP — це протокол передавання, а не спільний доступ

SFTP переміщує файли через зашифрований транспорт SSH, що саме потрібно копії й не потрібно підключеному диску. Це не FTP, і продукт, який пропонує FTPS, пропонує інший протокол, а не SFTP. Монтування теки SFTP через шар файлової системи не обіцяє блокувань, прав або поведінки застосунків початкового спільного ресурсу. Перевірте вимоги клієнтського застосунку, перш ніж називати це прямою заміною.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Це весь робочий процес для готового файлу: підключитися, покласти, забрати. Обліковому запису лише для передавання також потрібна обмежена служба SSH, а не тільки файлова система. chroot або ForceCommand internal-sftp обмежує те, що може запустити сеанс, а вимкнення переадресації TCP і тунелювання закриває шляхи, які інакше перетворили б файловий обліковий запис на мережеву точку входу. Обмеження лише видимої теки нічого не доводить про те, до чого може дістатися обліковий запис.

Якщо вам потрібен спільний доступ, не публікуйте його

Іноді початковий спільний ресурс справді є вимогою, і відповідь не в тому, щоб виставити SMB довільним інтернет-клієнтам. Рекомендація Microsoft — блокувати прямий трафік SMB на межі, і на те є вагома причина: протокол не створювався для протистояння недовіреним мережам. Існують SMB поверх QUIC і подібні рішення з особливими вимогами до платформи на обох кінцях, і вони не є універсальним перемикачем для довільного сервера Samba. Якщо жодне не підходить, завдання — забезпечити підтримуваний шлях доступу, а не переадресований порт.

Варіант у браузері — законна третя відповідь, коли робота йому відповідає. Він приносить власні рішення: облікові записи, посилання спільного доступу, строк дії, збережені версії та те, яка копія є авторитетною. Посилання, яке може відкрити будь-хто, і робочий простір, що вимагає входу, представляють різні політики доступу, і жодну не слід вибирати випадково.

Що перевірити перед передаванням доступу

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Який би проєкт ви не обрали, обмежте його передбаченими даними й передбаченими операціями. Перша команда має спрацювати, а друга — бути відхилена; якщо спрацюють обидві, обліковий запис ширший за завдання. Потім видаліть обліковий запис і повторіть першу, яка тепер має не спрацювати. Тримайте власника вихідних файлів упізнаваним, щоб у пізнішого питання про авторитетну копію була відповідь. Результат, який варто зафіксувати, — це придатний і відкличний файловий робочий процес, а не відсутня іконка підключення.

Запишіть, який протокол насправді потрібен застосунку користувача і які три перевірки ви виконали. Ці два рядки запобігають більшій частині переробок.