Del filer sikkert med SMB over QUIC

Å dele filer sikkert over internett uten et tradisjonelt VPN er ikke lenger en futuristisk idé: med SMB over QUIC er det en reell mulighet, og når det er riktig konfigurert, er det svært robust. Denne tilnærmingen kombinerer den velprøvde SMB-protokollen med QUIC, en moderne transportmekanisme designet for tøffe nettverk som internett, og tilbyr en tilnærmet sømløs brukeropplevelse.

I de følgende linjene vil du se hvordan SMB fungerer over QUIC, hva du trenger for å få det i gang, hvordan det administreres og hvordan det passer inn i sikkerhetsstrategien din . Vi vil også ta opp vanlige spørsmål (som om det kan erstatte OneDrive eller om det er egnet for arbeidsgrupper), samt forbedringene som Windows Server 2025 bringer til denne protokollen.

Hva er SMB over QUIC, og hvorfor er det viktig for ekstern tilgang?

SMB over QUIC er i praksis en "SMB VPN" integrert i selve filprotokollen . I stedet for å transportere SMB over TCP (port 445), innkapsler den kommunikasjonen i QUIC ved hjelp av UDP 443, den samme porten som brukes av HTTPS, og skaper en kryptert tunnel med TLS 1.3 mellom klienten og filserveren.

QUIC er en IETF-standard som tilbyr flere klare fordeler fremfor TCP : alle pakker er alltid kryptert, håndtrykket autentiseres med TLS 1.3, den tillater pålitelige og upålitelige parallelle flyter, den kan sende applikasjonsdata på første rundreise (0-RTT), og den forbedrer kontroll av overbelastning og tapsgjenoppretting, og overlever selv endringer i klient-IP eller port (typisk i mobilnettverk eller ved endringer fra Wi-Fi til 4G).

Fra brukerens perspektiv fortsetter SMB å oppføre seg som vanlig : tilgang til delte ressurser via UNC-stier, bruk av Filutforsker, skript med NET USE eller New-SmbMapping, osv. Avanserte funksjoner som flerkanal, signering, komprimering, kontinuerlig tilgjengelighet og katalogleasing fortsetter å fungere i QUIC-tunnelen uten at brukeren merker det.

Hovedfordelen er at all SMB-trafikk (inkludert autentisering og autorisasjon) beveger seg innenfor TLS 1.3-tunnelen og aldri eksponeres i klartekst til mellomliggende nettverk. Dette gjør SMB over QUIC til et svært attraktivt alternativ for eksterne arbeidere, mobile enheter og organisasjoner som ønsker å redusere avhengigheten av tradisjonelle VPN-er.

Forutsetninger for bruk av SMB over QUIC

Før du klikker på «Konfigurer»-knappen i Windows Admin Center , er det flere krav som må oppfylles både på server- og klientsiden. Hvis noen av dem feiler, vil opplevelsen være frustrerende.

Kompatibel SMB-server

Du trenger en SMB-server som kjører på en kompatibel versjon av Windows , vanligvis Windows Server 2022 Datacenter: Azure Edition (spesielt i Azure Stack HCI- eller Azure On-Premise-miljøer) eller senere versjoner som Windows Server 2025, der SMB på QUIC kommer enda mer integrert og med nye funksjoner.

Kompatible Windows-klienter

På klientsiden er nøkkelkomponenten i dag Windows 11 (enterprise-utgaver) , som inkluderer SMB-klienten med støtte for QUIC. Fra og med Windows 11 24H2 er det lagt til forbedringer som avansert revisjon av SMB-tilkoblinger over QUIC i Hendelsesvisningen.

Integrasjon med Active Directory eller arbeidsgruppe

Microsoft anbefaler å bruke SMB fremfor QUIC med Active Directory-domener , slik at SMB-serveren og -klienten er koblet til samme domene eller klarerte domener. Serveren må kunne kommunisere med minst én domenekontroller for autentisering, selv om den domenekontrolleren ikke nødvendigvis trenger å ha internettilgang.

Det er imidlertid ikke obligatorisk å ha et domene . Du kan også sette opp SMB på QUIC i arbeidsgruppemiljøer ved hjelp av lokale og NTLM-kontoer, eller til og med på IaaS-servere som er koblet til Microsoft Entra (tidligere Azure AD), med noen forbehold: sistnevnte kan ikke bruke Entra-legitimasjon for eksterne sikkerhetsoperasjoner fordi Entra ID ikke administrerer bruker- eller gruppe-SID-er, så i praksis må du fortsatt bruke lokale eller tradisjonelle domenekontoer for å få tilgang til den delte ressursen.

Porter og brannmur

Et av de viktigste punktene er nettverkskonfigurasjonen . Serveren må være tilgjengelig for klienter på sitt offentlige grensesnitt via en brannmurregel som tillater innkommende UDP/443-trafikk. Det er viktig å ikke åpne TCP/445 mot internett: klassisk SMB-tilgang via 445 må blokkeres ved perimeteret.

Hvis du trenger å endre standardporten (på grunn av interne retningslinjer eller konflikter med andre tjenester), kan alternative porter konfigureres for SMB, men vanlig og anbefalt praksis for QUIC er å opprettholde UDP 443, da det forenkler gjennomgang av typiske brannmurer og proxyer.

Windows administrasjonssenter og PKI

For å forenkle administrasjonen anbefales det å bruke den nyeste versjonen av Windows Admin Center (WAC), som inkluderer spesifikke veivisere for aktivering og administrasjon av SMB over QUIC. Men som noen brukere har bemerket, er det nesten alltid et tegn på manglende forutsetninger (uinstallert rolle, utilstrekkelige tillatelser, utdatert WAC, problematisk nettleser osv.) hvis «Konfigurer»-knappen ikke svarer.

I tillegg til WAC trenger du en offentlig nøkkelinfrastruktur (PKI) som er i stand til å utstede passende serversertifikater, for eksempel en Active Directory Certificate Services CA eller en klarert offentlig CA som Digicert, Let's Encrypt, osv. Uten et gyldig sertifikat vil ikke QUIC opprette tunnelen.

SMB-sertifikater og grunnleggende konfigurasjon på QUIC

Hjertet i SMB over QUIC er serversertifikatet . Uten det finnes det ingen TLS 1.3-tunnel eller endepunktautentisering, så det er det første som må sikres ordentlig.

Funksjoner for serversertifikat

Serversertifikatet du skal bruke for QUIC må oppfylle en rekke tekniske krav :

• Nøkkelbrukdigital signatur.
• Formål (EKU)serverautentisering (OID 1.3.6.1.5.5.7.3.1).
• SignaturalgoritmeSHA256RSA eller høyere, med SHA256-hash eller høyere.
• Clave públicahelst ECDSA_P256 eller høyere; RSA med minimum 2048 bits støttes også.
• Fagalternativnavn (SAN)må inkludere DNS-oppføringer for alle FQDN-er som klienter vil bruke for å få tilgang til SMB-serveren.
• Emne (CN)Det kan være «nesten» hva du vil, men det må eksistere og følge god utstedelsespraksis.
• Privat nøkkel inkludertdefinitivt ja, lagret på serverdatamaskinen.

Hvis du jobber med en Microsoft Enterprise CA , er den enkleste måten å opprette en sertifikatmal spesielt for SMB over QUIC. Filserveradministratoren kan deretter be om sertifikatet ved å spesifisere de riktige DNS-navnene. Microsofts dokumentasjon om PKI-design og implementering forklarer malprosessen i detalj.

Be om sertifikatet fra serveren

I et miljø med Active Directory CA , ville den typiske flyten være:

1. Start MMC på filserveren og legg til snapin-modulen for sertifikater for datamaskinkontoen.
2. Naviger til Sertifikater (lokal datamaskin) > Personlig > Sertifikater og velg «Be om nytt sertifikat».
3. Velg Active Directory-registreringspolicyen og klikk på Neste til du kommer til listen over maler.
4. Marker malen som er opprettet for SMB på QUIC.
5. Fyll ut emnefeltet med et vanlig navn som er nyttig for brukere for å identifisere serveren og legge til alle DNS-navnene som skal brukes til SAN-ene.
6. Bekreft og fullfør registreringen slik at sertifikatet installeres i utstyrslageret.

Hvis du bruker en tredjeparts offentlig CA , innebærer prosessen å generere en CSR fra serveren og følge leverandørens spesifikke veiledning for å utstede et sertifikat med riktige EKU-er, SAN-er og algoritmer.

Aktiver SMB over QUIC på serveren

Når du har sertifikatet, er det på tide å aktivere SMB over QUIC . Serveren aktiverer det ikke som standard, og klienter kan ikke ensidig "tvinge" det frem, av åpenbare sikkerhetshensyn.

Konfigurasjon kan gjøres via Windows Admin Center eller PowerShell . I WAC vil en veiviser be deg om å velge sertifikatet og aktivere QUIC. I PowerShell innebærer prosessen bruk av cmdleter for SMB-serversertifikattilordning for QUIC (New-SmbServerCertificateMapping og Set-SmbServerCertificateMapping, avhengig av scenarioet).

Når det gjelder klienttrafikk , vil Windows fortsatt forsøke SMB over TCP vanligvis først. Den vil bare prøve QUIC hvis TCP-forsøket mislykkes, eller hvis du eksplisitt ber den om å bruke QUIC ved hjelp av kommandoer som:

• NET USE /TRANSPORT:QUIC
• New-SmbMapping -TransportType QUIC

Kobler klienter til delte SMB-ressurser via QUIC

Fra brukerens synspunkt er tilgang til SMB-ressurser over QUIC nesten identisk med tradisjonell tilgang , med den forskjellen at denne trafikken nå er beskyttet i QUIC/TLS 1.3-tunnelen og går over Internett uten å eksponere port 445.

Forbered klienten og navneløsningen

Hvis klienten tilhører et domene , er det vanlige å koble Windows-enheten til det tilsvarende domenet og sørge for at servernavnene som brukes i UNC-banene er publisert i DNS og samsvarer med SAN-ene til filserversertifikatet.

I tilfeller der DNS ikke løser disse navnene , kan klientens HOSTS-fil brukes til å tilordne serverens FQDN til den offentlige IP-adressen. Det viktigste er at navnet brukeren skriver inn i UNC-banen er et av de som er inkludert i serversertifikatet.

Tilkobling fra eksterne nettverk

Det typiske brukstilfellet er at klienten er utenfor bedriftsnettverket , uten direkte tilgang til verken de interne domenekontrollerne eller filserverens private IP-adresser. Det er der QUIC utmerker seg: tunnelen etableres over internett ved hjelp av UDP-port 443, uten behov for et ekstra VPN.

Brukeren kan enkelt få tilgang fra Filutforsker ved å skrive inn UNC-banen til den delte ressursen (for eksempel \\fsedge1.contoso.com\sales). Alternativt kan følgende brukes:

• NET USE * \\fsedge1.contoso.com\ventas (forsøker TCP og deretter QUIC automatisk hvis TCP mislykkes).
• NET USE * \\fsedge1.contoso.com\ventas /TRANSPORT:QUIC (QUIC-styrke).
• New-SmbMapping -LocalPath 'Z:' -RemotePath '\\fsedge1.contoso.com\ventas' -TransportType QUIC (via PowerShell).

Hvis tilkoblingen mislykkes når du fremtvinger QUIC , er det vanligvis et tegn på at tunnelen prøver å opprettes, men at noe i brannmuren, sertifikatet eller tilordningskonfigurasjonen ikke er riktig konfigurert.

Autentisering: NTLMv2, Kerberos og KDC-proxy

Som standard, når en klient kobler seg til en SMB-filserver via QUIC fra internett , har den ingen direkte innsyn i de interne domenekontrollerne. I denne sammenhengen faller autentiseringen til NTLMv2, der serveren autentiserer på vegne av brukeren, men alltid innenfor TLS 1.3-tunnelen (ingen legitimasjonsinformasjon eksponeres utenfor QUIC).

Selv om NTLMv2 i tunnelen er akseptabelt, anbefaler Microsoft å opprettholde Kerberos når det er mulig , fordi det tilbyr en mer robust sikkerhetsmodell og unngår langvarig avhengighet av NTLM.

KDC-proxy for å aktivere Kerberos via Internett

Hvis du vil fortsette å bruke Kerberos uten å eksponere domenekontrollere direkte for internett , kan du konfigurere KDC-proxyen. Denne tjenesten mottar Kerberos-billettforespørsler via HTTPS (TCP-port 443), videresender dem til de interne domenekontrollerne og svarer på klienten, alt uten å sende tydelige legitimasjonsopplysninger til det eksterne nettverket.

Konfigurasjonen inkluderer flere trinn på filserveren :

1. Registrer en lytte-URL for proxyen med NETSH, vanligvis i https://+:443/KdcProxy, med kontoen «NT AUTHORITY\Network Service».
2. Konfigurer bestemte registernøkler for KPSSVC-tjenesten (KDC-proxy) for å justere HTTPS-autentisering og aktivere nødvendige scenarier.
3. Koble det aktuelle sertifikatet til port 443 med Add-NetIPHttpsCertBinding, ved hjelp av SMB-sertifikatfingeravtrykket på QUIC.
4. Legg til SMB-navn over serverens QUIC som SPN-er i Active Directory (for eksempel med NETDOM computername).
5. Konfigurer kpssvc-tjenesten for automatisk oppstart og start den.

På klientsiden brukes gruppepolicy. For å angi KDC-proxyservere for Kerberos-klienter, tilknyttes AD-domenet (f.eks. corp.contoso.com) til proxyens eksterne URL (noe sånt som https fsedge1.contoso.com:443:kdcproxy /).

Med dette, når en bruker fra corp.contoso.com prøver å få tilgang til fsedge1.contoso.com , vil klienten vite at den må kontakte proxyen for å få tak i Kerberos-billetter, uten å måtte snakke direkte med de interne kontrollørene.

Utløp og fornyelse av sertifikater

Et av de mest oversette aspektene i praksis er sertifikatlivssyklushåndtering . Når et SMB-sertifikat over QUIC utløper og et nytt utstedes, endres det digitale fingeravtrykket, selv om det automatisk fornyes av samme CA.

Dette betyr at SMB-konfigurasjonen på QUIC må oppdateres. for å tilknytte det nye sertifikatet. Du kan gjøre dette fra Windows Admin Center ved å velge det nye sertifikatet i eksisterende innstillinger, eller via PowerShell med Set-SMBServerCertificateMapping å sikte mot det ferske fotavtrykket.

For å unngå tjenesteavbrudd på grunn av uventet utløp , foreslår Microsoft å bruke verktøy som Azure Automanage for Windows Server, som bidrar til å overvåke og automatisere sertifikatfornyelser og andre vedlikeholdsoppgaver.

Kundetilgangskontroll med sertifikater

I tillegg til kryptert tunnelering og brukerautentisering kan SMB over QUIC bruke ytterligere tilgangskontroll basert på klientsertifikater . Dette ekstra sikkerhetslaget lar deg eksplisitt definere hvilke enheter som kan opprette QUIC-tilkoblinger til serveren.

Slik fungerer kundetilgangskontroll

Serveren vedlikeholder en tilgangskontrollliste for sertifikater (tillatte og blokkerte lister), og når en klient prøver å koble til, validerer den først klientens sertifikatkjede. Serveren sjekker:

• Sørg for at sertifikatkjeden er gyldig og utstedt av en CA du stoler på.
• At sertifikatet eller utstederen er til stede (tillatt eller nektet) i tilgangskontrolllistene.

Klientsertifikater kan brukes med SAN , akkurat som med en server, og tilgangsbeslutningen tas ved å evaluere om det finnes tillatelses- eller blokkeringsoppføringer for bladsertifikatet eller for noen av utstederne i kjeden. En enkelt avslagsoppføring i kjeden prioriteres over tillatelsesoppføringer.

Dette gir mulighet for fleksible scenarier : du kan tillate alle sertifikater utstedt av en gitt CA, men nekte noen spesifikke enheter ved å legge til hashene deres som blokkerte, eller omvendt, blokkere en hel CA bortsett fra svært kontrollerte unntak.

Krav til kundetilgangskontroll

På serveren trenger du Windows Server 2022 Datacenter: Azure Edition med mars 2024-oppdateringen KB5035857 (og, for visse funksjoner i forhåndsvisning, Feature Preview-pakken 240302_030531) eller senere versjoner som Windows Server 2025. I tillegg må SMB over QUIC selvsagt allerede være aktivert.

På SMB-klientsiden må du ha et støttet operativsystem og et klientsertifikat med klientautentiserings-EKU (OID 1.3.6.1.5.5.7.3.2), utstedt av en CA som er klarert av serveren, og installert i datamaskinens sertifikatlager.

Tildel sertifikater og gi tilgang

Den typiske prosessen starter med at klienten innhenter et digitalt fingeravtrykk av sertifikatet sitt :

1. List opp sertifikater i Cert:\LocalMachine\My ved hjelp av PowerShell.
2. Filtrer etter emnet du er interessert i og lagre det i en variabel.
3. Få din SHA256 hash med $clientCert.GetCertHashString("SHA256").

Deretter opprettes SMB-klientsertifikattilordningen med New-SmbClientCertificateMappingspesifiserer navneområdet (serverens FQDN) og det tilhørende fingeravtrykket. Fra det øyeblikket av vil klienten bruke det sertifikatet når den kobler til serveren som samsvarer med det navneområdet.

På serveren kreves klientautentisering. med Set-SmbServerCertificateMapping -RequireClientAuthentication $trueDerfra gis tillatelser til bestemte klienter med Grant-SmbClientAccessToServer eller de blir blokkert med Block-SmbClientAccessToServer, og bruker SHA256-hashen til sertifikatbladet eller utstederens emne som identifikator.

Revisjons- og hendelseslogger for SMB på QUIC

I kritiske miljøer er synlighet like viktig som sikkerhet . SMB på QUIC inkluderer revisjonsfunksjoner på både klient- og serversiden for å hjelpe med å diagnostisere problemer og spore tilgang.

På klienter som kjører Windows 11 24H2 og nyere , logger hendelsesvisningen SMB-tilkoblingsinformasjon om QUIC i banen Program- og tjenestelogger\Microsoft\Windows\SMBClient\Connectivity, der for eksempel hendelse 30832 gjenspeiler detaljer om QUIC-tilkoblinger.

På serveren kan du aktivere revisjon av tilgang via klientsertifikater. med Set-SmbServerConfiguration -AuditClientCertificateAccess $trueRelevante hendelser er registrert i:

• SMBServer\Audit (hendelser 3007, 3008 og 3009) for serversiden.
• SMBClient\Connectivity (hendelse 30831) for å korrelere tilkoblinger fra klientens synspunkt.

Disse hendelsene inkluderer data om klientsertifikater (unntatt rotsertifikatet), som emne, utsteder, serienummer, SHA1/SHA256-hasher og hvilke tilgangskontrolloppføringer som ble brukt på hver forespørsel, samt en tilkoblingsidentifikator som forenkler kryssreferanseinformasjon mellom klient og server.

Nettverkssikkerhet rundt SMB: segmentering og brannmur

SMB over QUIC eksisterer ikke i et vakuum; det er en del av en bredere nettverkssikkerhetsstrategi . Microsoft anbefaler å utfylle denne krypterte tunnelen med segmenterings- og isolasjonsteknikker for å minimere sideveis bevegelse og unødvendig eksponering.

Som en generell regel bør TCP-port 445 forbli blokkert til og fra internett , både innkommende og utgående, unntatt i spesifikke tilfeller som Azure Files eller andre kontrollerte skytjenester. Når SMB er nødvendig i den offentlige skyen, anbefales det å innkapsle det i et VPN eller bruke SMB direkte over QUIC for å redusere angrepsflaten.

På det interne nettverket er det verdt å kartlegge SMB-trafikk (hvem snakker med hvem, hvilke ressurser som brukes, og hvilke servere som eksponerer virkelig nødvendige delte ressurser). Verktøy som PowerShell-moduler (for eksempel Get-FileShareInfo) og revisjon av delt tilgang hjelper deg å forstå hva som er i bruk og hva som ikke er det.

Windows Defender- brannmur med avansert sikkerhet er en annen nøkkelkomponent . Du kan opprette innkommende og utgående regler som blokkerer SMB globalt og bruke handlingen «Tillat tilkobling hvis sikker» for å definere tillatelseslister basert på IPsec- eller Kerberos-autentisering med nullinnkapsling, som bare tillater autoriserte domenekontrollere og filservere.

I nyere versjoner av Windows (Windows 11 24H2 og Windows Server 2025) åpner ikke lenger de innebygde brannmurreglene automatisk NetBIOS-portene 137–139 når delte ressurser opprettes, noe som styrker standardsikkerheten. Hvis noen trenger å vedlikeholde SMB1 (anbefales ikke unntatt i ekstreme tilfeller av eldre versjoner), må de åpne disse portene manuelt.

Brukstilfeller, vanlige spørsmål og forholdet til OneDrive/SharePoint

En av de vanligste debattene er hvorvidt små og mellomstore bedrifter på QUIC kan erstatte løsninger som OneDrive eller SharePoint . Det korte svaret er at de ikke er designet for samme formål, selv om det er noe overlapping.

SMB over QUIC gir direkte ekstern tilgang til serverdelinger , med samme mappestruktur, NTFS- tillatelser og arbeidsflyter som du allerede har på ditt lokale nettverk. Det er ideelt for brukere og applikasjoner som er avhengige av UNC-baner, fillåser, kontinuerlige dataflyter eller klassiske filserverfunksjoner.

OneDrive og SharePoint fungerer derimot som SaaS-tjenester med synkronisering, samarbeid på nett og Microsoft 365- økosystemet . De er bedre egnet for samarbeid, samtidig redigering i Office, versjonskontroll i dokumentstil og tilgang fra hvor som helst uten å bekymre seg for serverinfrastruktur.

Når det gjelder domeneløse arbeidsgrupper , kan SMB over QUIC brukes, men det er ikke et universalmiddel og forvandler ikke magisk en gruppe PC-er til et distribuert "Dropbox P2P"-system. Ja, en maskin kan fungere som en SMB-server over QUIC og eksponere ressurser for resten, forutsatt at den har et gyldig sertifikat og er tilgjengelig via UDP-port 443, men:

• Maskinen som er vert for filene må være påslått og tilgjengelig. slik at andre kan koble seg til.
• Det er ingen innebygd datasynkronisering mellom alle enheterSMB over QUIC er ekstern tilgang, ikke automatisk replikering i multimastermodus.
• Sett opp et «desentralisert system» der alle maskiner er både server og klient samtidig Det ville kreve et ekstra lag med replikeringsprogramvare eller klynging; QUIC løser det ikke alene.

Enklere sagt: nei, du har ikke oppdaget et magisk alternativ til OneDrive for å synkronisere alt på tvers av alle systemer uten infrastruktur . Det du har er en kraftig og sikker måte å eksponere filserverressursene dine for internett uten VPN, samtidig som du beholder kjente tillatelser og verktøy.

Nye funksjoner i Windows Server 2025 relatert til SMB på QUIC

Windows Server 2025 kommer med flere forbedringer som direkte støtter SMB over QUIC og ideen om å tilby sikker og effektiv ekstern tilgang til lokale og perimeterressurser.

På den ene siden forsterker det SMB-støtte over QUIC som en sentral komponent for hybrid- og telearbeidsmiljøer, med et klart fokus på ende-til-ende-krypterte forbindelser uten VPN, bedre ytelse på nettverk med høy latens og en preferanse for TLS- og Kerberos-sertifikater over NTLM.

På den annen side utvider den administrasjons- og høytilgjengelighetsfunksjoner takket være funksjoner som hotpatching (bruk av kritiske oppdateringer uten omstart, spesielt i Datacenter: Azure Edition) og dypere integrasjon med Windows Admin Center, Hyper-V, containere og Azure Arc.

Azure Arc og tilhørende tjenester (Monitor, Policy, Automation) lar deg behandle fysiske eller virtuelle servere som skyressurser, og bruke sikkerhetspolicyer, oppdateringer og revisjon på ensartet måte. Dette er spesielt nyttig når disse serverne eksponerer SMB-ressurser over QUIC til Internett.

Selv om den endelige versjonen av Windows Server 2025 fortsatt er i den tekniske evalueringsfasen , viser forhåndsvisningen som er tilgjengelig via Windows Insider allerede tydelig at fjerntilgangsmodellen involverer moderne protokoller som QUIC og integrering av den klassiske filserveren i hybrid- og multisky-scenarier.

SMB over QUIC har blitt et strategisk verktøy for sikker deling av filer over internett . Den kombinerer den kjente SMB-protokollen med en moderne, kryptert og robust transportmetode som QUIC, forenkler ekstern tilgang uten å kreve distribusjon og vedlikehold av komplekse VPN-er, muliggjør finjustert tilgangskontroll ved hjelp av klientsertifikater, integreres med Kerberos via en KDC-proxy og er i samsvar med SMB-trafikksegmentering og herdingspraksis. Når den er godt utformet (med nøye administrerte sertifikater, en finjustert brannmur, aktiv revisjon og en robust passordpolicy eller passordløs autentisering), tilbyr den en svært sikker måte å eksponere filservere for omverdenen, samtidig som den opprettholder kontroll over hvem som får tilgang til dem, hvorfra og med hvilke garantier.