通过 DMZ 中的 SFTP 服务器集中管理我们的 FTP 流程

Question

我们在各种内部服务器上运行着许多不同的 FTP 进程，这些进程与外部供应商连接以发送或接收敏感数据文件。因此，我们没有一个集中的位置来跟踪这些进程并记录正在传输的文件。同时，我们担心员工在我们不知情的情况下将未经批准的文件发送给外部组织。对于那些向我们推送文件的供应商，我们希望将来不允许他们进入我们的网络，即使仅通过 FTP 也是如此。为了解决这些问题，我们正在考虑一个具有两个主要目标的解决方案：

1. 集中所有 FTP 传输，以便从一个易于监控的地方进行处理。
2. 阻止防火墙中允许 FTP 和 SFTP 通信的所有端口。

这是我们的计划：我们将在 DMZ 中放置一个 SFTP 服务器，以便与供应商进行交互，这样他们以后就无需通过我们的防火墙了。然后，我们将在 DMZ 和内部服务器上设置一个 Web 服务，该服务将使用 SSL 通过我们的防火墙通过 TCP/IP 相互发送文件。

我想听听其他人对这个想法的看法，即：

1. 这个想法可行且安全吗？或者它是否存在缺陷，可能会给我们一种虚假的安全感？
2. 您是否推荐任何软件包来做到这一点，从而省去我们自己编写解决方案的麻烦？

这给简单文件传输的概念增加了很大的复杂性，所以在开始这条路径之前我想确保我们的设计是可靠的。

Answer 1

我觉得这听起来不错。用于跨组织文件传输的集中式 (S)FTP 服务器相当常见。只需尽可能紧密地设置 (S)FTP 服务器，并在本地设置防火墙以阻止任何意外连接。

至于编码……不需要编码。只需将日志记录级别设置得相当高，并为每个组织或用户创建唯一的用户帐户。将任何外部（和大多数内部）用户锁定到他们自己的目录中。

如果您想要更进一步，您还可以将可以连接到您的服务器的源 IP 列入白名单。例如，让外部组织注册其源 IP 块，并且只允许来自这些组织的外部连接。