Niyə VPN qaydası bir faylın yüklənməsinin qarşısını ala bilmir
Xidmətə çatmaq və ondan hansı faylların çıxdığına nəzarət etmək iki ayrı tələbdir. Qaydanı faylın göründüyü yerə qoyun: poçt, tətbiq və ya son nöqtə agenti.
Kiçik bir komanda iş sistemlərinə uzaqdan giriş istəyir və eyni nəfəsdə müəyyən əlavələrin şirkətdən çıxmasının dayanmasını xahiş edir. Hər iki istək bir VPN dəyişikliyi kimi səslənir. Onlar fərqli icra nöqtələri olan iki tələbdir və birincini ödəyən qayda ikinci üçün heç nə etmir. Əvvəlcə hərəkəti və məlumatı adlandırın, sonra onları həqiqətən görə bilən komponenti seçin.
Bir istək, iki tələb
Birinci tələb çatanlıqla bağlıdır: hansı istifadəçilər və cihazlar hansı xidmətə bağlantı aça bilər. İkinci tələb o bağlantı yarandıqdan sonrakı davranışla bağlıdır: hansı sənədlər əlavə edilə, yapışdırıla və ya yüklənə bilər. Tunel birincisi üzərində işləyir və dizaynına görə ikincini görmür.
IP səviyyəsində nəzarət paketləri yönləndirir. O, çoxhissəli yükləməni təhlil etmir, PDF faylına baxmır və cədvəlin hesab nömrələri ehtiva edib-etmədiyini müəyyən etmir. Bunu gözləmək konfiqurasiya səhvi deyil; bu, kateqoriya səhvidir.
Məhsul axtarmazdan əvvəl tələbi bu formada ucadan deyin. «İstifadəçilər fayl portalına çata bilər» və «istifadəçilər müştəri siyahılarını fayl portalına yükləyə bilməz» fərqli cümlələrdir və yalnız ikincisi məzmun siyasətini təsvir edir.
Faylı görə bilən komponenti seçin
İcra faylın oxunaqlı olduğu yerdə baş verməlidir. E-poçt üçün bu, adətən əlavələri artıq idarə edən və çatdırmadan əvvəl onları qiymətləndirə bilən poçt platforması və ya şlüzüdür. Təsdiqlənmiş xidmətə brauzer yükləmələri üçün məzmunu görən yeganə tərəf tətbiqin özü ola bilər. İdarə olunan noutbukun faylları çıxarıla bilən mediaya köçürməsi üçün isə son nöqtə agenti əməliyyatı görür.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Bəzi kommersiya uzaqdan giriş paketləri son nöqtə agentini, veb nəzarəti və məlumat itkisinin qarşısının alınması modulunu birləşdirir. Həmin komponentlər məzmun siyasətini həqiqətən tətbiq edə bilər, lakin bu qabiliyyət tunelə deyil, modula aiddir. Nəticəni vəd etməzdən əvvəl paketin həqiqətən nəyi ehtiva etdiyini oxuyun.
Microsoft-un Purview məlumat itkisinin qarşısının alınmasına ümumi baxış müqayisə üçün faydalı bir modeldir: siyasətləri həssas məlumat növləri, yerlər və fəaliyyətlər baxımından təsvir edir. Bu lüğət məzmun və hərəkətlərlə bağlıdır, IP prefiksləri ilə deyil.
TLS tuneldən sağ çıxır, buna görə əvvəlcədən planlaşdırın
Tətbiq şifrələməsi müştəri ilə xidmət arasında razılaşdırılır və VPN tuneli həmin baytları açmadan daşıyır. Buna görə yoldakı şlüz avtomatik olaraq əlavəni təsnif etmə qabiliyyəti qazanmır, marşrutun nə qədərini idarə etməsindən asılı olmayaraq.
Kontentı yolda yoxlamaq üçün TLS-i etibarlı sertifikatla bağlayan komponent lazımdır ki, bu da öz məxfilik və əməliyyat nəticələri olan ciddi arxitektura qərarıdır. Bu, VPN profilindəki işarə qutusu deyil. Müştərilər yoxlama sertifikatına etibar etməlidir, sertifikatları bərkidən tətbiqlər pozulacaq və operator əvvəllər oxuya bilmədiyi trafiki oxumaq imkanı qazanacaq. Bu qərarın tuneli idarə edənə deyil, təhlükəsizlik sahibinə aid olmasının səbəbləri bunlardır.
Buna görə «VPN bu yükləməni bloklaya bilərmi» sualına dürüst cavab adətən xeyr olur və ardınca konkret alternativ gəlir. Alternativ tətbiq səviyyəsində məhdudiyyətlər, poçt qaydası və ya son nöqtə siyasəti ola bilər və hər birinin onu dəyişə bilən sahibi var.
Qaydadan əvvəl qəbul testini yazın
Məzmun qaydası bir deyil, iki nümunə tələb edir: işləməyə davam etməli olan icazəli hərəkət və dayandırılmalı olan qadağan edilmiş hərəkət. Hər ikisini əhatə dairəsindəki tətbiqlərdən və cihazlardan sınaqdan keçirin, çünki yalnız bir brauzerdə işləyən siyasət heç kimin istədiyi siyasət deyil.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadBirinci sorğu qaydaya sahib olan komponent tərəfindən rədd edilməli, ikincisi isə uğurlu olmalıdır. Hər ikisi uğurlu olarsa, nəzarət yolda deyil. Hər ikisi uğursuz olarsa, xidməti qorumadan onu pozmussunuz və bu, icazəli nümunə olmadan yazılmış qaydanın daha çox rast gəlinən nəticəsidir.
İstifadəçinin nə görəcəyini, istisnanı kimin verə biləcəyini və administratorun qərarı sonradan harada təsdiqləyəcəyini əvvəlcədən müəyyənləşdirin. Mesajsız bloklanmış yükləmə dəstək bileti yaradır, heç kimin audit edə bilmədiyi qayda isə mübahisə yaradır. Siyasət qüvvəyə minməzdən əvvəl yazılmış bir cümlə sənədləşdirmə ilə hər ikisindən qaçmaq olar.
Nəhayət, iki tələbi ayrı biletlərdə və ayrı sahiblərlə saxlayın. Onları «VPN» altında birləşdirmək şəbəkə komandasından məzmun problemini həll etməyin tələb olunacağını və tunel qalxdıqda məzmun probleminin həll olunmuş elan ediləcəyini təmin edir.