কেন একটি VPN নিয়ম একটি ফাইল আপলোড থামাতে পারে না
একটি সেবায় পৌঁছানো আর কোন ফাইল সেটি ছাড়বে তা নিয়ন্ত্রণ করা—দুটি আলাদা চাহিদা। নিয়মটি সেখানে রাখুন যেখানে ফাইলটি দৃশ্যমান: মেইল, অ্যাপ্লিকেশন বা এন্ডপয়েন্ট এজেন্ট।
একটি ছোট দল তাদের কাজের সিস্টেমে দূরবর্তী অ্যাক্সেস চায়, আর একই নিঃশ্বাসে চায় যেন নির্দিষ্ট কিছু সংযুক্তি কোম্পানি ছেড়ে যাওয়া বন্ধ করে। দুটি অনুরোধই একটি VPN পরিবর্তনের মতো শোনায়। এগুলো ভিন্ন প্রয়োগ-বিন্দুযুক্ত দুটি দাবি, আর প্রথমটি মেটানো নিয়ম দ্বিতীয়টির জন্য কিছুই করে না। প্রথমে কাজটি ও ডেটার নাম দিন, তারপর এমন উপাদান বেছে নিন যা সত্যিই সেগুলো দেখতে পায়।
এক অনুরোধ, দুটি দাবি
প্রথম দাবিটি পৌঁছানোর বিষয়ে: কোন ব্যবহারকারী ও ডিভাইস কোন সেবায় সংযোগ খুলতে পারে। দ্বিতীয়টি ওই সংযোগ তৈরি হওয়ার পরের আচরণ নিয়ে: কোন নথি সংযুক্ত, পেস্ট বা আপলোড করা যাবে। একটি টানেল প্রথমটির উপর কাজ করে এবং নকশার কারণেই দ্বিতীয়টি দেখতে পায় না।
IP-স্তরের একটি নিয়ন্ত্রণ প্যাকেট এগিয়ে দেয়। এটি বহু-অংশীয় আপলোড বিশ্লেষণ করে না, PDF দেখে না, বা কোনো স্প্রেডশিটে অ্যাকাউন্ট নম্বর আছে কি না তা নির্ধারণ করে না। এটা আশা করা কনফিগারেশনের ভুল নয়; এটি শ্রেণিগত ভুল।
পণ্য খোঁজার আগে দাবিটি সেই আকারে উচ্চস্বরে বলুন। «ব্যবহারকারীরা ফাইল পোর্টালে পৌঁছাতে পারেন» আর «ব্যবহারকারীরা গ্রাহক তালিকা ফাইল পোর্টালে আপলোড করতে পারবেন না» ভিন্ন বাক্য, এবং কেবল দ্বিতীয়টি কনটেন্ট নীতি বর্ণনা করে।
যে উপাদান ফাইলটি দেখতে পায় তা বেছে নিন
প্রয়োগ ঘটতে হবে যেখানে ফাইলটি পাঠযোগ্য। ইমেইলের জন্য সেটি সাধারণত মেইল প্ল্যাটফর্ম বা গেটওয়ে, যা ইতিমধ্যে সংযুক্তি হ্যান্ডেল করে এবং বিতরণের আগে সেগুলো মূল্যায়ন করতে পারে। অনুমোদিত সেবায় ব্রাউজার আপলোডের ক্ষেত্রে অ্যাপ্লিকেশন নিজেই হতে পারে একমাত্র পক্ষ যা কনটেন্ট দেখে। ব্যবস্থাপিত ল্যাপটপ অপসারণযোগ্য মিডিয়ায় ফাইল কপি করলে এন্ডপয়েন্ট এজেন্ট সেই ক্রিয়া দেখে।
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
কিছু বাণিজ্যিক দূর-অ্যাক্সেস স্যুট একটি এন্ডপয়েন্ট এজেন্ট, একটি ওয়েব নিয়ন্ত্রণ ও একটি ডেটা-ক্ষতি প্রতিরোধ মডিউল একসাথে দেয়। ওই উপাদানগুলো কনটেন্ট নীতি প্রয়োগ করতে পারে, কিন্তু সামর্থ্যটি টানেলিংয়ের নয়, মডিউলের। ফলাফলের প্রতিশ্রুতি দেওয়ার আগে স্যুটে আসলে কী আছে তা পড়ুন।
Microsoft-এর «Purview ডেটা-ক্ষতি প্রতিরোধ পর্যালোচনা» তুলনার জন্য একটি কাজের মডেল: এটি সংবেদনশীল তথ্যের ধরন, অবস্থান ও কার্যকলাপের পরিপ্রেক্ষিতে নীতি বর্ণনা করে। ওই পরিভাষা কনটেন্ট ও কাজ নিয়ে, IP প্রিফিক্স নিয়ে নয়।
TLS টানেল পেরিয়ে টিকে থাকে, তাই আগেই পরিকল্পনা করুন
অ্যাপ্লিকেশন এনক্রিপশন ক্লায়েন্ট ও সেবার মধ্যে আলোচিত হয়, আর একটি VPN টানেল সেই বাইটগুলো না খুলেই বহন করে। তাই পথের একটি গেটওয়ে স্বয়ংক্রিয়ভাবে সংযুক্তি শ্রেণিবদ্ধ করার ক্ষমতা পায় না, রুটের কতটা তার অধীনে থাকুক না কেন।
যাতায়াতের পথে কনটেন্ট পরীক্ষা করতে বিশ্বস্ত সার্টিফিকেট দিয়ে TLS সমাপ্ত করে এমন উপাদান দরকার, যা নিজস্ব গোপনীয়তা ও পরিচালনাগত পরিণতিসহ একটি বড় স্থাপত্য সিদ্ধান্ত। এটি VPN প্রোফাইলের একটি চেকবক্স নয়। ক্লায়েন্টকে পরীক্ষার সার্টিফিকেটে বিশ্বাস করতে হবে, সার্টিফিকেট পিন করা অ্যাপ্লিকেশন ভেঙে পড়বে, আর অপারেটর আগে যা পড়তে পারত না এমন ট্রাফিক পড়ার ক্ষমতা পায়। এই কারণেই এই সিদ্ধান্ত নিরাপত্তা মালিকের, টানেল চালানো কারও নয়।
তাই «VPN কি এই আপলোড আটকাতে পারে» প্রশ্নের সৎ উত্তর সাধারণত না, তারপর একটি সুনির্দিষ্ট বিকল্প। বিকল্প হতে পারে অ্যাপ্লিকেশন-স্তরের নিষেধাজ্ঞা, একটি মেইল নিয়ম বা একটি এন্ডপয়েন্ট নীতি, আর প্রতিটিরই একজন মালিক আছে যে তা বদলাতে পারে।
নিয়মের আগে গ্রহণযোগ্যতা পরীক্ষা লিখুন
একটি কনটেন্ট নিয়মে একটি নয়, দুটি উদাহরণ দরকার: একটি অনুমোদিত কাজ যা চালু থাকতে হবে, এবং একটি নিষিদ্ধ কাজ যা থামাতে হবে। আওতাভুক্ত অ্যাপ্লিকেশন ও ডিভাইস থেকে দুটোই পরীক্ষা করুন, কারণ যে নীতি কেবল একটি ব্রাউজারে কাজ করে সেটি কেউ চাওয়া নীতি নয়।
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadপ্রথম অনুরোধটি যে উপাদান নিয়মের মালিক সে-ই প্রত্যাখ্যান করবে, আর দ্বিতীয়টি সফল হওয়া উচিত। দুটোই সফল হলে নিয়ন্ত্রণটি পথে নেই। দুটোই ব্যর্থ হলে আপনি সেবাটি রক্ষা নয়, ভেঙেছেন, যা অনুমোদিত উদাহরণ ছাড়া লেখা নিয়মের বেশি সাধারণ ফলাফল।
ব্যবহারকারী কী দেখবে, কে ব্যতিক্রম দিতে পারবে আর প্রশাসক পরে কোথায় সিদ্ধান্ত নিশ্চিত করবে তা আগে থেকেই ঠিক করুন। বার্তা ছাড়া আটকানো আপলোড একটি সাপোর্ট টিকিট তৈরি করে, আর যে নিয়ম কেউ অডিট করতে পারে না তা বিতর্ক তৈরি করে। নীতি চালু হওয়ার আগে লেখা এক বাক্যের ডকুমেন্টেশন দিয়ে দুটোই এড়ানো যায়।
শেষে, দুটি দাবি আলাদা মালিকসহ আলাদা টিকিটে রাখুন। «VPN»-এর অধীনে তাদের একত্র করলে নিশ্চিত হয় যে নেটওয়ার্ক দলকে একটি কনটেন্ট সমস্যা সমাধান করতে বলা হবে, এবং টানেল চালু হলেই কনটেন্ট সমস্যাটি সমাধান হয়েছে ঘোষণা করা হবে।