Эмне үчүн VPN эрежеси бир файлдын жүктөлүшүн токтото албайт
Кызматка жетүү жана андан кайсы файлдар чыгаарын көзөмөлдөө — эки өзүнчө талап. Эрежени файл көрүнгөн жерге коюңуз: почта, колдонмо же акыркы чекит агенти.
Чакан топ өзүнүн жумуш системаларына алыстан кирүүнү суранып, ошол эле дем менен айрым тиркемелердин компаниядан чыгышын токтотууну суранат. Экөө тең бир VPN өзгөрүүсүндөй угулат. Бул ар кандай аткаруу чекиттери бар эки талап, жана биринчисин канааттандырган эреже экинчиси үчүн эч нерсе кылбайт. Адегенде аракетти жана маалыматты атаңыз, анан аларды чындап көрө алган компонентти тандаңыз.
Бир өтүнүч, эки талап
Биринчи талап жеткиликтүүлүк жөнүндө: кайсы колдонуучулар жана түзмөктөр кайсы кызматка байланыш ача алат. Экинчиси ошол байланыш пайда болгондон кийинки жүрүм-турум жөнүндө: кайсы документтерди тиркөөгө, чаптоого же жүктөөгө болот. Туннель биринчисине таасир этет жана долбоор боюнча экинчисине сокур.
IP деңгээлиндеги көзөмөл пакеттерди жиберет. Ал көп бөлүктүү жүктөөнү талдабайт, PDF текшербейт жана таблицада эсеп номурлары бар-жогун чечпейт. Муну андан күтүү конфигурация катасы эмес; бул категория катасы.
Продукт издеерден мурун талапты ошол формада үнүн чыгарып айтыңыз. «Колдонуучулар файл порталына жете алат» жана «колдонуучулар кардар тизмелерин файл порталына жүктөй албайт» ар башка сүйлөмдөр, жана экинчиси гана мазмун саясатын сүрөттөйт.
Файлды көрө алган компонентти тандаңыз
Аткаруу файл окула турган жерде болушу керек. Электрондук почта үчүн бул адатта почта платформасы же шлюз, ал тиркемелерди мурунтан иштетет жана жеткирүүгө чейин баалай алат. Бекитилген кызматка браузерден жүктөөдө колдонмо өзү мазмунду көргөн жалгыз тарап болушу мүмкүн. Башкарылуучу ноутбук файлдарды алынуучу ташыгычка көчүргөндө, акыркы чекит агенти аракетти көрөт.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Айрым коммерциялык алыстан кирүү топтомдору акыркы чекит агентин, веб-көзөмөлдү жана маалыматтын агып кетишин алдын алуу модулун бириктирет. Бул компоненттер мазмун саясатын аткара алат, бирок жөндөм модулга таандык, туннелдөөгө эмес. Натыйжаны убада кылбастан мурун топтом эмнени камтый турганын окуңуз.
Салыштыруу үчүн пайдалуу модель — Microsoft'тун Purview маалыматтын агып кетишин алдын алуу сереби : ал саясаттарды купуя маалымат түрлөрү, жайгашуулар жана аракеттер аркылуу сүрөттөйт. Бул сөздүк мазмун жана аракеттер жөнүндө, IP префикстери жөнүндө эмес.
TLS туннелден өтүп кетет, ошондуктан аны пландаңыз
Колдонмонун шифрлөөсү кардар менен кызматтын ортосунда макулдашат, жана VPN туннели бул байттарды ачпай ташыйт. Ошондуктан жолдогу шлюз тиркемени классификациялоо жөндөмүн автоматтык түрдө албайт, маршруттун канча бөлүгүн ээлесе да.
Жолдогу мазмунду текшерүү үчүн TLS'ти ишенимдүү сертификат менен бүтүргөн компонент керек, жана бул өзүнүн купуялык жана эксплуатациялык кесепеттери бар олуттуу архитектуралык чечим. Бул VPN профилиндеги белги кутучасы эмес. Кардарлар текшерүү сертификатына ишениши керек, сертификаттарды бекемдеген колдонмолор бузулат, ал эми оператор мурун окуй албаган трафикти окуу мүмкүнчүлүгүн алат. Ушул себептерден бул чечим туннелди башкарган адамга эмес, коопсуздук ээсине таандык.
Ошондуктан «VPN бул жүктөөнү тоскоол кыла алабы» деген суроого чыныгы жооп адатта жок, анан конкреттүү альтернатива келет. Альтернатива колдонмо деңгээлиндеги чектөөлөр, почта эрежеси же акыркы чекит саясаты болушу мүмкүн, жана ар биринин аны өзгөртө алган ээси бар.
Эрежеден мурун кабыл алуу тестин жазыңыз
Мазмун эрежесине бир эмес, эки мисал керек: иштешин улантууга тийиш уруксат берилген аракет жана токтотулууга тийиш тыюу салынган аракет. Экөөнү тең алкактагы колдонмолордон жана түзмөктөрдөн сынап көрүңүз, анткени бир гана браузерде иштеген саясат эч ким сураган саясат эмес.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadБиринчи өтүнүчтү эрежеге ээ компонент четке кагышы керек, ал эми экинчиси ийгиликтүү болушу керек. Экөө тең ийгиликтүү болсо, көзөмөл жолдо эмес. Экөө тең ийгиликсиз болсо, кызматты коргоонун ордуна буздуңуз, бул уруксат берилген мисалсыз жазылган эреженин көбүрөөк кездешүүчү натыйжасы.
Колдонуучу эмнени көрөрүн, ким өзгөчөлүк бере аларын жана администратор чечимди кийин кайдан ырастай турганын алдын ала чечиңиз. Билдирүүсүз тоскоол болгон жүктөө колдоо билетин жаратат, ал эми эч ким текшере албаган эреже талаш жаратат. Экөөнөн тең саясат күчүнө кирерден мурун жазылган бир сүйлөм документ аркылуу качууга болот.
Акырында, эки талапты өзүнчө ээлер менен өзүнчө билеттерде кармаңыз. Аларды «VPN» астында бириктирүү тармак тобунан мазмун маселесин чечүүнү талап кыла турганын жана туннель көтөрүлгөндө мазмун маселеси чечилди деп жарыяланарын кепилдейт.