Tải một tệp không cần VPN mạng đầy đủ

Một yêu cầu truy cập VPN thường che giấu một thư mục và một tệp phía sau. Cấp một tuyến đến toàn bộ mạng văn phòng trả lời yêu cầu và bàn giao nhiều hơn mức nhiệm vụ đòi hỏi. Thay thế một chia sẻ được ánh xạ bằng trang tải lên có thể sai tương tự theo hướng ngược lại, vì nó thay đổi cách mọi người làm việc. Quyết định bắt đầu từ điều gì phải xảy ra với tệp.

Ba yêu cầu trông giống nhau ở đây và hành xử rất khác: sao chép một PDF đã hoàn thành, chỉnh sửa tài liệu tại chỗ và chạy ứng dụng với một thư mục dùng chung.

Bắt đầu từ việc chỉnh sửa, không phải thư mục

Nếu tệp đã hoàn thành và chỉ cần đọc, một tài khoản truyền là đủ. Nếu nó sẽ được chỉnh sửa, câu hỏi trở thành ai khác chỉnh sửa nó và xung đột được giải quyết thế nào, đó là câu hỏi về quy trình làm việc chứ không phải mạng. Nếu ứng dụng mở tài liệu trực tiếp từ thư mục, độ trễ và hành vi khóa của lớp lưu trữ có ý nghĩa. Trả lời điều đó trước sẽ ngăn một giải pháp kết nối hoàn hảo mà vẫn không dùng được.

Chỉnh sửa chung đưa vào một vấn đề mà không bản truyền nào giải quyết được. Một người dùng tải bảng tính xuống, chỉnh sửa ngoại tuyến và tải lên sau khi người khác đã thay đổi bản gốc, và kết nối mã hóa không có ý kiến gì về việc ghi đè. Thỏa thuận về ghi đè, xung đột hoặc phiên bản phải tồn tại trước phương thức truy cập.

SFTP là giao thức truyền, không phải chia sẻ

SFTP di chuyển tệp qua vận chuyển SSH được mã hóa, đúng là thứ một bản sao cần và không phải thứ một ổ đĩa được ánh xạ cần. Nó không phải FTP, và một sản phẩm cung cấp FTPS cung cấp giao thức khác thay vì SFTP. Gắn một thư mục SFTP qua lớp hệ thống tệp không hứa hẹn hành vi khóa, quyền hoặc ứng dụng của chia sẻ gốc. Kiểm tra yêu cầu của ứng dụng khách trước khi gọi đó là thay thế trực tiếp.

sftp [email protected]
put report.pdf /upload/report.pdf
get /shared/template.docx

Đó là toàn bộ quy trình cho một tệp đã hoàn thành: kết nối, đặt, lấy. Một tài khoản chỉ để truyền cũng cần dịch vụ SSH bị giới hạn, không chỉ hệ thống tệp. chroot hoặc ForceCommand internal-sftp giới hạn những gì phiên có thể chạy, và việc tắt chuyển tiếp TCP cùng đường hầm đóng các đường dẫn mà nếu không sẽ biến một tài khoản tệp thành điểm vào mạng. Chỉ giới hạn thư mục hiển thị không chứng minh được gì về những gì tài khoản có thể chạm tới.

Nếu bạn cần chia sẻ, đừng công bố nó

Đôi khi chia sẻ gốc thực sự là yêu cầu, và câu trả lời không phải là phơi bày SMB cho các ứng dụng khách internet tùy tiện. Hướng dẫn của Microsoft là chặn lưu lượng SMB trực tiếp ở ranh giới, và vì lý do chính đáng: giao thức này không được xây dựng để đối mặt với các mạng không đáng tin cậy. Có SMB qua QUIC và các thiết kế tương tự, với yêu cầu nền tảng cụ thể ở cả hai đầu, và chúng không phải là công tắc phổ quát cho một máy chủ Samba tùy tiện. Nếu cả hai đều không áp dụng, công việc là cung cấp một đường truy cập được hỗ trợ thay vì một cổng được chuyển tiếp.

Lựa chọn dựa trên trình duyệt là câu trả lời thứ ba hợp lệ khi công việc phù hợp. Nó mang theo các quyết định riêng: tài khoản, liên kết chia sẻ, hết hạn, phiên bản được giữ và bản sao nào là có thẩm quyền. Một liên kết mà bất kỳ ai cũng có thể mở và một không gian làm việc yêu cầu đăng nhập đại diện cho các chính sách truy cập khác nhau, và không cái nào nên được chọn một cách tình cờ.

Cần xác minh gì trước khi bàn giao quyền truy cập

sftp [email protected] <<< "get /shared/template.docx /tmp/probe.docx"
ssh [email protected] "cat /etc/passwd"

Dù bạn chọn thiết kế nào, hãy giới hạn nó ở dữ liệu dự định và các thao tác dự định. Lệnh đầu tiên phải thành công và lệnh thứ hai phải bị từ chối; nếu cả hai đều thành công, tài khoản rộng hơn nhiệm vụ. Sau đó xóa tài khoản và lặp lại lệnh đầu tiên, lệnh này giờ phải thất bại. Giữ chủ sở hữu các tệp nguồn có thể nhận diện, để một câu hỏi sau này về bản sao có thẩm quyền có câu trả lời. Kết quả đáng ghi lại là một quy trình tệp có thể dùng và thu hồi, không phải một biểu tượng kết nối bị thiếu.

Ghi lại giao thức nào ứng dụng của người dùng thực sự cần, và ba thử nghiệm bạn đã chạy. Hai dòng đó ngăn phần lớn việc làm lại.