لماذا لا تستطيع قاعدة VPN منع رفع ملف واحد
الوصول إلى خدمة والتحكم في الملفات التي تخرج منها متطلبان مختلفان. ضع القاعدة حيث يكون الملف مرئيًا: البريد أو التطبيق أو وكيل نقطة النهاية.
يطلب فريق صغير وصولًا عن بُعد إلى أنظمة عمله، ويطلب في الوقت نفسه أن تتوقف مرفقات معينة عن مغادرة الشركة. يبدو الطلبان كأنهما تغيير واحد في VPN. لكنهما متطلبان مختلفان لهما نقطتا إنفاذ مختلفتان، والقاعدة التي تلبي الأول لا تفعل شيئًا للثاني. ابدأ بتسمية الفعل والبيانات، ثم اختر المكوّن الذي يستطيع رؤيتهما فعليًا.
طلب واحد، متطلبان
يتعلق المتطلب الأول بإمكانية الوصول: أي المستخدمين والأجهزة يجوز لهم فتح اتصال بأي خدمة. ويتعلق الثاني بالسلوك بعد قيام ذلك الاتصال: أي المستندات يجوز إرفاقها أو لصقها أو رفعها. يعمل النفق على الأول ويغفل عن الثاني بحكم التصميم.
عنصر تحكم على مستوى IP يمرّر الحزم. وهو لا يحلّل رفعًا متعدد الأجزاء، ولا يفحص ملف PDF، ولا يقرر ما إذا كان جدول بيانات يحتوي أرقام حسابات. توقّع أن يفعل ذلك ليس خطأ في الإعداد، بل خطأ في التصنيف.
قل المتطلب بصوت عالٍ بهذه الصيغة قبل البحث عن منتج. فجملة «يجوز للمستخدمين الوصول إلى بوابة الملفات» وجملة «لا يجوز للمستخدمين رفع قوائم العملاء إلى بوابة الملفات» جملتان مختلفتان، والثانية وحدها تصف سياسة محتوى.
اختر المكوّن الذي يستطيع رؤية الملف
يجب أن يحدث الإنفاذ حيث يكون الملف مقروءًا. في البريد الإلكتروني، يكون ذلك عادةً منصة البريد أو بوابته، وهي تتعامل بالفعل مع المرفقات ويمكنها تقييمها قبل التسليم. أما رفع الملفات عبر المتصفح إلى خدمة معتمدة، فقد يكون التطبيق نفسه الطرف الوحيد الذي يرى المحتوى. وأما نسخ الملفات من حاسوب محمول مُدار إلى وسائط قابلة للإزالة، فيرى وكيل نقطة النهاية العملية.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
بعض حزم الوصول عن بُعد التجارية تجمع وكيل نقطة نهاية ووحدة تحكم ويب ووحدة منع تسرب البيانات. قد تنفّذ تلك المكوّنات سياسة المحتوى بالفعل، لكن القدرة تنتمي إلى الوحدة لا إلى النفق. اقرأ ما تتضمنه الحزمة فعليًا قبل أن تعد بالنتيجة.
يُعد نظرة عامة على منع تسرب البيانات في Purview نموذجًا مفيدًا للمقارنة: فهو يصف السياسات من حيث أنواع المعلومات الحساسة والمواقع والأنشطة. وتلك المفردات تتعلق بالمحتوى والأفعال، لا ببادئات IP.
يبقى TLS صامدًا عبر النفق، فخطّط لذلك
يُتفاوض على تشفير التطبيق بين العميل والخدمة، وينقل نفق VPN تلك البايتات دون فتحها. لذلك لا تكتسب بوابة على المسار تلقائيًا القدرة على تصنيف مرفق، مهما كان نصيبها من المسار كبيرًا.
لفحص المحتوى أثناء النقل تحتاج إلى مكوّن ينهي TLS بشهادة موثوقة، وهذا قرار معماري كبير له عواقب خصوصية وتشغيلية خاصة به. إنه ليس مربع اختيار في ملف تعريف VPN. على العملاء أن يثقوا بشهادة الفحص، والتطبيقات التي تثبّت الشهادات ستتعطل، ويكتسب المشغّل قدرة على قراءة حركة لم يكن يستطيع قراءتها من قبل. هذه هي أسباب انتماء هذا القرار إلى مسؤول أمني لا إلى من يدير النفق.
لهذا فإن الإجابة الصادقة على سؤال «هل يستطيع VPN منع هذا الرفع» هي عادةً لا، يتبعها بديل ملموس. قد يكون البديل قيودًا على مستوى التطبيق، أو قاعدة بريد، أو سياسة لنقطة النهاية، ولكل منها مسؤول يستطيع تغييرها.
اكتب اختبار القبول قبل القاعدة
تحتاج قاعدة المحتوى إلى مثالين لا مثال واحد: فعل مسموح يجب أن يستمر في العمل، وفعل محظور يجب أن يتوقف. اختبر الاثنين من التطبيقات والأجهزة المشمولة، لأن سياسة تعمل في متصفح واحد فقط ليست السياسة التي طلبها أحد.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadينبغي أن يرفض الطلب الأول المكوّن الذي يملك القاعدة، وينبغي أن ينجح الثاني. فإن نجح الاثنان، فأنت لا تتحكم في المسار. وإن فشل الاثنان، فقد كسرت الخدمة بدلًا من حمايتها، وهي النتيجة الأكثر شيوعًا لقاعدة كُتبت دون مثال مسموح.
قرّر مسبقًا ما يراه المستخدم، ومن يمنح الاستثناء، وأين يؤكد المسؤول القرار بعد ذلك. فالرفع المحظور دون رسالة يولّد تذكرة دعم، والقاعدة التي لا يستطيع أحد تدقيقها تولّد جدلًا. ويمكن تجنّب كليهما بجملة توثيق تُكتب قبل سريان السياسة.
أخيرًا، أبقِ المتطلبين في تذكرتين منفصلتين بمالكين منفصلين. فجمعهما تحت «VPN» يضمن أن يُطلب من فريق الشبكة حل مشكلة محتوى، وأن تُعلن مشكلة المحتوى محلولة عند قيام النفق.