E-postfiltering oer in VPN: wêr’t ynhâldsregels echt rinne
In VPN-opname lit it berjocht net sjen. Rin it postpaad fan ûntkapseling nei SMTP TLS en S/MIME, en set de ynhâldsregel dêr’t de gegevens binne.
Dit fersyk klinkt as in netwurkprobleem: stop in beskaat soart taheaksel derfan it gebou te ferlitten, en de VPN is der al, dus brûk dy. Dat ramt brekt by de earste fraach dy’t it filter beantwurdzje moat. Ynhâldsregels moatte it berjocht sjen, en it berjocht wurdt sichtber op in oare laach as de tunnel. Ik rin it postpaad nei bûten fan it pakket en stopje by it earste plak dêr’t de fereaske gegevens echt besteane.
Trije lagen binne ûnôfhinklik: it VPN-ferfier, de SMTP TLS-ferbining en de eigen fersifering fan it berjocht. Elk einiget earne oars.
Begjin by de laach dy’t it berjocht sjen kin
VPN-ûntkapseling jout jo it ynderlike netwurkferkear. As de e-postclient in TLS-ferbining nei in yntsjinstserver iepene hat, befettet it ynderlike ferkear noch altyd dy TLS-stream, gjin lêsbere post.
Dus beantwurdet in pakketopname by de tunnelrâne in oare fraach as „befettet dit berjocht in ferbeane taheaksel“.
SMTP TLS-beëiniging einiget by de enveloppe
SMTP TLS beëinigje op de postserver lit it berjocht sjen sa’t it by dat einpunt yntsjinne is. De server sjocht kopteksten, de enveloppe en de MIME-struktuer. Dat is genôch foar in protte ynhâldsregels. De enveloppe fertelt jo de ôfstjoerder en ûntfangers sa’t de server se begrepen hat.
Dat is net genôch foar in berjocht dat mei S/MIME beskerme is. De server ûntfangt in beskerme entiteit en kin sûnder de relevante kaaien de ynhâld derbinnen net lêze. Deselde beheining jildt foar in fersifere taheaksel dat yntakt oankomt.
Swakje de ferfiersfeiligens net ôf om in passive opname lêsber te meitsjen. Dat feroaret de arsjitektuer ynstee fan de regel te pleatsen dêr’t de gegevens binne.
S/MIME einiget dêr’t de kaaien binne
S/MIME beskermet MIME-berjochtgegevens, dus syn grins is it kaaistemateriaal en de autorisearre ûntsifering. In filter sûnder dy kaaien kin noch hannelje op sichtbere metadata of op it bestean fan in beskerme objekt, mar dat is in oar resultaat.
As de organisaasje in autorisearre fersiferingsgateway of in behearde einpuntkontrôle draait, dokumintearje dan wêr’t platte tekst bestiet, hokker identiteit it ynspektearje mei en hoe’t kaaien en registraasjes beskerme wurde. Der is gjin haadkaai dy’t ûntstiet troch ferkear troch in VPN te stjoeren.
Skriuw dat op foardat immen platte-tekstklassifikaasje taseit. De tasizzing is it diel dat dreech werom te nimmen is.
Set de regel yn it postplatfoarm
As de goedkarde postserver it lêsbere berjocht ûntfangt, is syn stipe ynhâldsfilterynformaasje it hanthaveningspunt. Dat ferskilt fan it tastean fan in SMTP-ferbining troch in firewall. Dat ûnderskie beslút oft de regel ôfwize, karantêne pleatse of allinnich annotearje kin.
Postfix dokumintearret bygelyks ynhâldsfiltering nei de wachtrige: post wurdt yn de wachtrige set, oan in filter trochjûn en weromstjoerd nei it leveringspaad. Syn regeling nei de wachtrige ferskilt fan de proxy-opjes foar de wachtrige en Milter dêr’t deselde hantlieding nei ferwiist. Kies de stipe yntegraasje en it flatergedrach foar de posttsjinst dy’t jo echt draaie.
Ien taheakselregel is gjin folslein programma tsjin gegevensferlies. Browseroploaden, dielde opslach en einpunthannelingen hawwe har eigen kontrôles nedich.
Skriuw de akseptaasjetest mei syntetyske berjochten
Test mei goedkarde syntetyske foarbylden: in tastien berjocht, in ferbeane ynhâldshanneling en de oankundige omgong mei fersifering op berjochtnivo. Befetsje wat de posttsjinst docht as har filter net beskikber is.
It nuttige resultaat neamt de hanneling, it hanthaveningspunt en de gegevens dy’t dêr sichtber binne. „De VPN hat it ûntsifere“ beantwurdet ien laach en kin it ynhâlds- en autorisaasjemodel fan de postapplikaasje net ferfange.