如何使面向 Internet 的 TFTP 服务器安全？

Question

我有许多 Cisco IP 电话以以下方式运行（过于简化）：

这里的问题是我有一些电话需要放在小型办公室或人们的家中。我需要能够随时更新配置文件，所以我不能只是预先配置手机并将其发送出去。如何通过 Internet 确保 TFTP 访问安全并防止未经授权的人访问配置文件？我知道我可以执行基于 IP 的 ACL，但这并不能阻止有人欺骗 IP 的可能性。

Answer 1

您可以使通过 Internet 进行的 TFTP 访问安全，就像通过 Internet 访问任何内容一样安全。通过VPN。

@getsauce 对不起，你在这里有点不合理：你有几个选择，从*正确的事情*（购买支持 VPN 的手机）到*次优但实用*（运送 VPN 路由器）与每个）。如果答案不是你想听到的，我很抱歉，但有时答案是“你不能做你想做的”，我认为这是其中之一。 (5认同)
@getsauce 好吧，做对了要花钱。如果他们不愿意为此付费，他们可能只需要不付钱。 (4认同)
对他们来说太糟糕了。此外，您没有在他们的办公室/家中放置路由器。您正在放置电话连接设备。它背后唯一的东西应该是电话。 (3认同)
@getsauce 像 MikeyB 一样，我对此感到困惑。您会在某人家中放置 250 美元的 IP 电话，但您不会在低于 50 美元的路由器中放置一个以确保其安全（和功能）？地狱？ (2认同)
@voretaq7 我对不合理的投票投给了决定在没有中央管理的情况下部署 1000 台设备的人……然后决定以低廉的价格进行部署。并让 getauce 做到这一点。让我们记住，这个人可能不是傻瓜，但可能是一个因为提出这些坏主意而获得更多报酬的人。但无论是谁的想法，它看起来肯定越来越像“无法完成”的情况。 (2认同)

Answer 2

那你做不到。您拒绝了另一个允许对请求者进行身份验证的协议（hcsteve 的回答），并且您拒绝了允许 TFTP 通过经过身份验证的服务进行隧道传输的 VPN（Hopeless N00b.* 的回答），因此您被困在了股票 TFTP。

RFC 1350在第 1 节中相当清楚地表明，身份验证不是一种选择：

[TFTP] 唯一能做的就是从/向远程服务器读取和写入文件（或邮件）。它不能列出目录，目前没有对用户身份验证的规定。

如果您坚持不能随意使用配置文件，您将需要重新考虑您的架构。