Wêrom in VPN-regel it uploade fan ien bestân net tsjinhâlde kin
In tsjinst berikke en kontrolearje hokker bestannen derút geane, binne twa easken. Set de regel dêr't it bestân sichtber is: mail, applikaasje of einpunt-agent.
In lyts team freget om tagong fanôfstân nei syn wurksystemen en freget yn deselde azem dat beskate taheaksels ophâlde it bedriuw te ferlitten. Beide fersiken klinke as ien VPN-wiziging. It binne twa easken mei ferskate hanthaveningspunten, en in regel dy't de earste foldocht, docht neat foar de twadde. Begjin mei it neamen fan 'e hanneling en de gegevens, en kies dan it ûnderdiel dat se echt sjen kin.
Ien fersyk, twa easken
De earste eask giet oer berikberens: hokker brûkers en apparaten meie in ferbining iepenje nei hokker tsjinst. De twadde giet oer gedrach neidat dy ferbining bestiet: hokker dokuminten meie taheakke, plakt of uploade wurde. In tunnel wurket op 'e earste en is neffens ûntwerp blyn foar de twadde.
In kontrôle op IP-nivo stjoert pakketten troch. It parselet gjin uploade yn meardere dielen, ynspektearret gjin PDF en beslút net oft in rekkenblêd rekkennûmers befettet. Dat fan it ferwachtsje is gjin konfiguraasjeflater; it is in kategoryflater.
Sis de eask lûdop yn dy foarm foardat jo in produkt sykje. „Brûkers meie it bestânspoarte berikke“ en „brûkers meie gjin klantlisten nei it bestânspoarte uploade“ binne ferskate sinnen, en allinnich de twadde beskriuwt in ynhâldsbelied.
Kies it ûnderdiel dat it bestân sjen kin
Hanthavening moat barre dêr't it bestân lêsber is. Foar e-post is dat meast it e-postplatfoarm of de gateway, dy't al taheaksels behannelet en se foar levering beoardielje kin. Foar browser-uploaden nei in goedkarde tsjinst kin de applikaasje sels de iennige partij wêze dy't de ynhâld sjocht. Foar in beheard laptop dy't bestannen nei ferwiderbere media kopiearret, sjocht in einpunt-agent de operaasje.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Guon kommersjele pakketten foar tagong fanôfstân bondelje in einpunt-agent, in webkontrôle en in module foar it foarkommen fan gegevensferlies. Dy ûnderdielen kinne ynhâldsbelied hanthavenje, mar de kapasiteit heart by de module en net by tunneljen. Lês wat it pakket echt befettet foardat jo it resultaat taseine.
De oersjoch fan Purview oer it foarkommen fan gegevensferlies fan Microsoft is in nuttich model om mei te fergelykjen: it beskriuwt belied yn termen fan soarten gefoelige ynformaasje, lokaasjes en aktiviteiten. Dat wurdskat giet oer ynhâld en hannelingen, net oer IP-foarheaksels.
TLS oerlibbet de tunnel, dus plan dêrfoar
Applikaasje-fersifering wurdt tusken de klient en de tsjinst ûnderhannele, en in VPN-tunnel ferfiert dy bytes sûnder se te iepenjen. In gateway op it paad krijt dêrom net automatysk de kapasiteit om in taheaksel te klassifisearjen, hoefolle fan 'e rûte it ek besit.
Om ynhâld ûnderweis te ynspektearjen hawwe jo in ûnderdiel nedich dat TLS mei in fertroud sertifikaat beëiniget, en dat is in wichtige arsjitektuerbeslissing mei eigen gefolgen foar privacy en behear. It is gjin ôffinkfakje yn it VPN-profyl. Kliïnten moatte it ynspeksjesertifikaat fertrouwe, applikaasjes dy't sertifikaten fêstsette brekke, en de operator krijt de mooglikheid om ferkear te lêzen dat er earder net koe. Dat binne de redenen wêrom't dizze beslissing by in feilichheidseigner heart en net by wa't de tunnel docht.
Dêrom is it earlike antwurd op „kin it VPN dizze uploade tsjinhâlde“ meast nee, folge troch in konkreet alternatyf. It alternatyf kin beheiningen op applikaasjenivo, in e-postregel of in einpuntbelied wêze, en elk hat in eigner dy't it feroarje kin.
Skriuw de akseptaasjetest foar de regel
In ynhâldsregel hat twa foarbylden nedich, net ien: in tastiene hanneling dy't wurkje moat bliuwe, en in ferbeane hanneling dy't stoppe wurde moat. Test beide fanôf de applikaasjes en apparaten yn it berik, want in belied dat allinnich yn ien browser wurket is net it belied dêr't immen om frege hat.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadIt earste fersyk heart wegere te wurden troch hokker ûnderdiel de regel ek hat, en it twadde heart te slagjen. As beide slagje, sit de kontrôle net yn it paad. As beide mislearje, hawwe jo de tsjinst brutsen ynstee fan beskerme, wat de meast foarkommende útkomst is fan in regel skreaun sûnder in tastien foarbyld.
Beslút foarôf wat de brûker sjocht, wa't in útsûndering jaan kin en wêr't in behearder de beslissing letter befêstiget. In blokkearre uploade sûnder berjocht makket in stipekaartsje, en in regel dy't nimmen kontrolearje kin makket in diskusje. Beide binne te foarkommen mei ien sin dokumintaasje skreaun foardat it belied yn wurking giet.
Ta beslút, hâld de twa easken yn aparte kaartsjes mei aparte eigners. Se ûnder „VPN“ bondelje garandearret dat it netwurkteam frege wurdt in ynhâldsprobleem op te lossen, en dat it ynhâldsprobleem as oplost ferklearre wurdt as de tunnel omheech komt.