Чаму правіла VPN не можа спыніць загрузку аднаго файла
Досягнуць сэрвісу і кантраляваць, якія файлы з яго выходзяць, — гэта два патрабаванні. Змясціце правіла там, дзе файл бачны: пошта, праграма або агент канчатковага пункта.
Невялікая каманда просіць аддалены доступ да сваіх працоўных сістэм і адначасова просіць, каб пэўныя ўкладанні перасталі пакідаць кампанію. Абодва запыты гучаць як адно змяненне VPN. Гэта два патрабаванні з рознымі пунктамі прымянення, і правіла, якое задавальняе першае, нічога не робіць для другога. Пачніце з назвы дзеяння і даных, а потым выберыце кампанент, які сапраўды можа іх бачыць.
Адзін запыт, два патрабаванні
Першае патрабаванне датычыцца дасяжнасці: якія карыстальнікі і прылады могуць адкрыць злучэнне з якім сэрвісам. Другое датычыцца паводзін пасля ўзнікнення гэтага злучэння: якія дакументы можна далучаць, устаўляць або загружаць. Тунель працуе з першым і па сваёй задуме не бачыць другога.
Кантроль на ўзроўні IP перасылае пакеты. Ён не разбірае шматчасткавую загрузку, не правярае PDF і не вырашае, ці змяшчае табліца нумары рахункаў. Чакаць ад яго гэтага — не памылка канфігурацыі; гэта памылка катэгорыі.
Прагаварыце патрабаванне ўголас у такой форме, перш чым шукаць прадукт. «Карыстальнікі могуць дасягаць файлавага партала» і «карыстальнікі не могуць загружаць спісы кліентаў у файлавы партал» — гэта розныя сказы, і толькі другі апісвае палітыку змесціва.
Выберыце кампанент, які бачыць файл
Прымяненне павінна адбывацца там, дзе файл чытэльны. Для пошты гэта звычайна паштовая платформа або шлюз, якія ўжо апрацоўваюць укладанні і могуць ацаніць іх да дастаўкі. Для загрузак праз браўзер у дазволены сэрвіс адзіным бокам, які бачыць змесціва, можа быць сама праграма. Для кіраванага ноўтбука, які капіруе файлы на здымныя носьбіты, аперацыю бачыць агент канчатковага пункта.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Некаторыя камерцыйныя пакеты аддаленага доступу аб'ядноўваюць агент канчатковага пункта, вэб-кантроль і модуль прадухілення ўцечкі даных. Гэтыя кампаненты цалкам могуць прымяняць палітыку змесціва, але гэтая здольнасць належыць модулю, а не тунеляванню. Прачытайце, што пакет сапраўды ўключае, перш чым абяцаць вынік.
Карысным узорам для параўнання служыць матэрыял Microsoft «Агляд прадухілення ўцечкі даных Purview» : ён апісвае палітыкі з пункту гледжання тыпаў канфідэнцыйнай інфармацыі, месцаў і дзеянняў. Гэты набор тэрмінаў датычыцца змесціва і дзеянняў, а не прэфіксаў IP.
TLS перажывае тунель, таму плануйце гэта загадзя
Шыфраванне праграмы ўзгадняецца паміж кліентам і сэрвісам, а тунель VPN пераносіць гэтыя байты, не адкрываючы іх. Таму шлюз на шляху не атрымлівае аўтаматычна здольнасць класіфікаваць укладанне, незалежна ад таго, якую частку маршруту ён кантралюе.
Каб правяраць змесціва ў шляху, патрэбны кампанент, які завяршае TLS давераным сертыфікатам, а гэта сур'ёзнае архітэктурнае рашэнне з уласнымі наступствамі для прыватнасці і эксплуатацыі. Гэта не сцяжок у профілі VPN. Кліенты павінны давяраць сертыфікату праверкі, праграмы, якія замацоўваюць сертыфікаты, зламаюцца, а аператар атрымае магчымасць чытаць трафік, які раней не мог. Менавіта таму гэтае рашэнне належыць уласніку бяспекі, а не таму, хто кіруе тунелем.
Таму сумленны адказ на пытанне «ці можа VPN заблакаваць гэтую загрузку» звычайна «не», пасля чаго ідзе канкрэтная альтэрнатыва. Альтэрнатывай могуць быць абмежаванні на ўзроўні праграмы, паштовае правіла або палітыка канчатковага пункта, і ў кожнай з іх ёсць уласнік, які можа яе змяніць.
Напішыце прыёмачны тэст да правіла
Правілу змесціва патрэбны два прыклады, а не адзін: дазволенае дзеянне, якое павінна працягваць працаваць, і забароненае дзеянне, якое трэба спыніць. Праверце абодва з праграм і прылад у межах ахопу, бо палітыка, якая працуе толькі ў адным браўзеры, — гэта не тая палітыка, якую хтосьці прасіў.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadПершы запыт павінен быць адхілены тым кампанентам, які валодае правілам, а другі — прайсці. Калі праходзяць абодва, кантролю няма на шляху. Калі абодва не праходзяць, вы зламалі сэрвіс, а не абаранілі яго, і гэта больш звычайны вынік правіла, напісанага без дазволенага прыкладу.
Зараней вырашыце, што бачыць карыстальнік, хто можа даць выключэнне і дзе адміністратар пацвердзіць рашэнне пасля. Заблакаваная загрузка без паведамлення спараджае зварот у падтрымку, а правіла, якое ніхто не можа праверыць, спараджае спрэчку. Абодвух можна пазбегнуць адным сказам дакументацыі, напісаным да ўключэння палітыкі.
Нарэшце, трымайце два патрабаванні ў асобных заяўках з асобнымі ўласнікамі. Звязванне іх пад «VPN» гарантуе, што ў сеткавай каманды папросяць вырашыць праблему змесціва, а праблема змесціва будзе абвешчана вырашанай, калі тунель узнімецца.