Lo que un protocolo puede prometer
Los protocolos no coinciden en lo único que necesita el control de acceso: si el servidor puede saber quién pregunta.
| SMB | NTLMv2. La contraseña nunca cruza la red, y el recurso compartido indica a quien solo puede leer que es así, en la máscara de acceso, antes de que lo intente. |
| WebDAV | HTTP Basic, sobre TLS: rechazado sin cifrar en una dirección alcanzable, salvo que plaintext = true indique que un proxy termina TLS delante. Un recurso compartido que una persona no puede usar responde 404, no 403: no se confirma que exista. |
| SFTP | Una clave pública, o un certificado SSH de una autoridad en la que usted confía: el servidor nunca guarda el secreto y, con un certificado, el acceso de una persona se emite y caduca en otro lugar. Sin contraseña: un cliente que la pide hace justo lo que las claves existen para evitar. |
| OIDC (sobre WebDAV) | Un token bearer firmado por un proveedor de identidad. Verificado por go-authn/oidc: firma, emisor, audiencia, caducidad. Ningún otro protocolo de los aquí descritos tiene dónde ponerlo: S3 firma con SigV4, que no tiene campo para un token bearer. Por SFTP, la palabra del proveedor llega en cambio dentro de un certificado. |
| S3 | SigV4, en cabecera o prefirmado. El secreto se demuestra calculando un HMAC y nunca cruza la red; por eso, como con NTLMv2, el directorio debe GUARDAR la contraseña, y no solo comprobarla. Un recurso compartido es un bucket. |
| NFSv3 | Nada, por sí solo. AUTH_UNIX es una afirmación: el cliente dice «uid 501» y la red no puede contradecirlo. Un bloque kerberos levanta esta limitación, y también las identidades a partir de certificados. TLS lo cifra, y prueba la máquina, no la persona. |
La consecuencia, dicha una sola vez
Un recurso compartido que nombra quién puede usarlo no se exporta por NFS, salvo que Kerberos esté configurado o que NFS tome identidades a partir de certificados.
No es una advertencia ni una opción: una configuración que dice photos pertenece a
alice y un protocolo que entrega photos a quien se conecte no pueden respetarse a la
vez, y ampliar el acceso en silencio es el peor de los dos fallos. El rechazo se
imprime al arrancar y en check, con el motivo.
Lo que cada uno necesita de un directorio
Qué protocolos pueden servir a una persona determinada lo decide lo que su origen puede probar, no solo la configuración. Consulte lo que un origen puede probar.
Lo que está cifrado
WebDAV, S3 y NFS admiten tls = true; SMB 3 cifra con sus propias claves, y SFTP
es SSH. Consulte TLS, y certificados de ACME.
Creada el por tannevaled
Modificada el por tannevaled