替换旧版 VPN 文件门户：保留控制措施

旧的无客户端门户有一个删除按钮、一个收藏星标，以及一段粘贴在邮件里的共享路径。其中只有一项属于控制措施。替换门户意味着要决定远程用户仍需要哪些操作、每项操作在哪里实施，而不是复刻一个碰巧可用的页面布局。两种替换形态覆盖了大多数情形，它们在不同环节失效。

按钮不等于权限

从操作清单开始：读取、上传、重命名、删除。确定哪些角色获得哪一项，然后在文件服务而非界面中实施该决定。在新门户中隐藏删除控件并不会改变后端权限，任何持有原生客户端并拥有同一账户的人仍然可以删除该文件。

删除值得单独决策，因为这正是用户会后悔的操作。要问清楚被删除的条目究竟能从何处恢复，不要假设答案是笔记本的回收站或门户自带的回收站。网络共享通常不会让删除经过本地回收站。

在基于 Windows 的共享上，卷影复制提供快照机制以及备份软件所使用的协调，但它的存在并不能说明该共享是否保留了可恢复的版本。文件服务的负责人必须在门户退役前确认版本策略并演示一次恢复。

方案 A：通过隧道的原生文件客户端

映射驱动器或 SMB 客户端保留用户已经熟悉的操作，权限由文件服务器在每次请求时实施。真正重要的身份是文件服务的身份，因此只要隧道仍承载流量、账户仍然存在，访问权就能在更换 VPN 产品后继续存活。

代价是客户端必须直接访问服务。名称解析、端口可达性和认证方式都成为远程访问设计的一部分，而过去代理该连接的门户把这些要求全都掩盖了。使用非受管设备的用户还会在文件管理器中获得一个挂载的共享，这比浏览器标签页是更宽的攻击面。请在迁移前为该支持负担做好预算，因为它从第一天就会出现，而不是在宽限期之后。

恢复是这种形态最有力的论据：上一版本和恢复权限都是平台原生的，服务台可以使用与现场相同的流程。

方案 B：代理或应用网关

由门户取回文件并以流的方式送到浏览器，可以让文件服务避开用户的网络路径。当设备无法加入隧道，或组织希望把所有请求记录在单一瓶颈处时，这很有用。代价是代理成为每一项操作的参与者，它必须把用户身份传递到文件服务，而不是一切都用自己的服务账户。

删除和重命名的行为必须实现，而不是继承。如果代理暴露了删除操作，该操作会以某种身份调用后端，审计线索应指明用户而不是网关。如果代理无法重命名，请在用户于项目中途发现之前说明。

链接重写是这种形态悄悄改变含义的地方。门户代理的 URL 与浏览器直接打开的 URL 并非同一对象，把前者转换为后者可能会剥离使其可用的认证上下文。

名称、身份以及它们之间的链接

分发经批准的服务器和共享路径，而不是一份域浏览列表。浏览依赖可能无法穿越隧道的发现服务，而一条因为用户笔记本能够枚举域才可用的路径，会在下一台非受管设备上断掉。

逐一审查单点登录应用。为门户签发的令牌不应被重放到从未验证过它的文件服务，携带标识符的查询参数也不应仅仅因为出现在旧书签里就被复制进公开链接。把每个经批准的应用视为各自的信任边界。

对照需求清单做选择

两种形态都不能一概胜出。配有可用隧道的受管笔记本团队从原生客户端获益更多，因为恢复和权限来自平台而非重新实现。承包商与个人设备混合的人群可能足以证明代理的合理性，前提是身份管道真实存在，而不是共享服务账户。

把比较结果对照四项操作和恢复答案写下来，然后只有在新路径上真正执行过一次恢复之后，才让旧门户退役。这一测试会演练成功登录永远不会触及的那部分设计。