Неге VPN ережесі бір файлды жүктеуді тоқтата алмайды
Қызметке жету және одан қандай файлдар шығатынын бақылау — екі бөлек талап. Ережені файл көрінетін жерге қойыңыз: пошта, қосымша немесе соңғы нүкте агенті.
Шағын топ өзінің жұмыс жүйелеріне қашықтан қатынауды сұрайды және сол тыныспен белгілі бір тіркемелердің компаниядан шығуын тоқтатуды сұрайды. Екі өтініш те бір VPN өзгерісіндей естіледі. Бұл — әртүрлі орындау нүктелері бар екі талап, ал біріншісін қанағаттандыратын ереже екіншісі үшін ештеңе істемейді. Алдымен әрекет пен деректерді атаңыз, содан кейін оларды шынымен көре алатын құрамдасты таңдаңыз.
Бір өтініш, екі талап
Бірінші талап қолжетімділік туралы: қандай пайдаланушылар мен құрылғылар қай қызметке байланыс аша алады. Екіншісі сол байланыс пайда болғаннан кейінгі мінез-құлық туралы: қандай құжаттарды тіркеуге, қоюға немесе жүктеуге болады. Туннель біріншісіне әсер етеді және жасалымы бойынша екіншісіне соқыр.
IP деңгейіндегі бақылау пакеттерді жібереді. Ол көпбөлікті жүктеуді талдамайды, PDF тексермейді және кестеде шот нөмірлері бар-жоғын шешпейді. Мұны одан күту конфигурация қатесі емес; бұл санат қатесі.
Өнім іздеу алдында талапты сол пішінде дауыстап айтыңыз. «Пайдаланушылар файл порталына жете алады» және «пайдаланушылар тұтынушы тізімдерін файл порталына жүктей алмайды» әртүрлі сөйлемдер, және тек екіншісі мазмұн саясатын сипаттайды.
Файлды көре алатын құрамдасты таңдаңыз
Орындау файл оқылатын жерде болуы керек. Электрондық пошта үшін бұл әдетте пошта платформасы немесе шлюзі, ол тіркемелерді әлдеқашан өңдейді және жеткізуге дейін бағалай алады. Бекітілген қызметке браузерден жүктеу кезінде қосымшаның өзі мазмұнды көретін жалғыз тарап болуы мүмкін. Басқарылатын ноутбук файлдарды алынбалы тасымалдағыштарға көшіргенде, соңғы нүкте агенті әрекетті көреді.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Кейбір коммерциялық қашықтан қатынау пакеттері соңғы нүкте агентін, веб-бақылауды және деректердің ағып кетуін болдырмау модулін біріктіреді. Бұл құрамдастар мазмұн саясатын орындай алады, бірақ қабілет модульге тиесілі, туннельдеуге емес. Нәтижені уәде етпес бұрын пакеттің шынымен не қамтитынын оқыңыз.
Салыстыру үшін пайдалы модель — Microsoft-тың Purview деректердің ағып кетуін болдырмау шолуы : ол саясаттарды құпия ақпарат түрлері, орындар және әрекеттер арқылы сипаттайды. Бұл сөздік мазмұн мен әрекеттер туралы, IP префикстері туралы емес.
TLS туннельден өтіп кетеді, сондықтан оны жоспарлаңыз
Қосымшаның шифрлауы клиент пен қызмет арасында келісіледі, ал VPN туннелі бұл байттарды ашпай тасымалдайды. Сондықтан жолдағы шлюз тіркемені жіктеу қабілетін автоматты түрде алмайды, маршруттың қанша бөлігін иемденсе де.
Жолдағы мазмұнды тексеру үшін TLS-ті сенімді сертификатпен аяқтайтын құрамдас қажет, және бұл өзінің құпиялылық пен пайдалану салдарлары бар елеулі сәулеттік шешім. Бұл VPN профиліндегі белгі құсбелгісі емес. Клиенттер тексеру сертификатына сенуі керек, сертификаттарды бекітетін қосымшалар бұзылады, ал оператор бұрын оқи алмаған трафикті оқу мүмкіндігіне ие болады. Осы себептерден бұл шешім туннельді басқаратын адамға емес, қауіпсіздік иесіне тиесілі.
Сондықтан «VPN бұл жүктеуді бөгей ала ма» сұрағына шынайы жауап әдетте жоқ, одан кейін нақты балама келеді. Балама қосымша деңгейіндегі шектеулер, пошта ережесі немесе соңғы нүкте саясаты болуы мүмкін, және әрқайсысының оны өзгерте алатын иесі бар.
Ережеден бұрын қабылдау тестін жазыңыз
Мазмұн ережесіне бір емес, екі мысал қажет: жұмысын жалғастыруы тиіс рұқсат етілген әрекет және тоқтатылуы тиіс тыйым салынған әрекет. Екеуін де ауқымдағы қосымшалар мен құрылғылардан сынап көріңіз, өйткені тек бір браузерде жұмыс істейтін саясат ешкім сұраған саясат емес.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadБірінші өтінішті ережеге ие құрамдас қабылдамауы керек, ал екіншісі сәтті болуы керек. Екеуі де сәтті болса, бақылау жолда емес. Екеуі де сәтсіз болса, қызметті қорғаудың орнына бұздыңыз, бұл рұқсат етілген мысалсыз жазылған ереженің жиірек нәтижесі.
Пайдаланушының нені көретінін, кімнің ерекшелік бере алатынын және әкімші шешімді кейін қайдан растайтынын алдын ала шешіңіз. Хабарламасыз бөгелген жүктеу қолдау билетін тудырады, ал ешкім тексере алмайтын ереже дау тудырады. Екеуінен де саясат күшіне енер алдында жазылған бір сөйлем құжаттама арқылы аулақ болуға болады.
Соңында, екі талапты бөлек иелерімен бөлек билеттерде ұстаңыз. Оларды «VPN» астында біріктіру желі тобынан мазмұн мәселесін шешуді талап ететініне және туннель көтерілгенде мазмұн мәселесі шешілді деп жарияланатынына кепілдік береді.