Firwat eng VPN-Regel d'Uploaden vun enger Datei net stoppe kann
En Deenscht erreechen an kontrolléieren, wéi eng Dateien erausginn, sinn zwee Ufuerderungen. Setzt d'Reegel dohinner, wou d'Datei sichtbar ass: Mail, Applikatioun oder Endpunkt-Agent.
Eng kleng Equipe freet ëm Fernzougrëff op hir Aarbechtssystemer a freet am selwen Ootemzuch, datt bestëmmten Unhäng ophalen d'Firma ze verloossen. Béid Ufroen héieren sech un wéi eng eenzeg VPN-Ännerung. Et sinn zwee Ufuerderungen mat ënnerschiddlechen Duerchsetzungspunkten, an eng Reegel, déi déi éischt erfëllt, mécht näischt fir déi zweet. Fänkt mat der Nennung vun der Aktioun an den Donnéeën un, a wielt dann de Komponent, deen se wierklech ka gesinn.
Eng Ufro, zwee Ufuerderungen
Déi éischt Ufuerderung geet ëm d'Erreechbarkeet: wéi eng Benotzer an Apparater eng Verbindung op wéi en Deenscht opmaache kënnen. Déi zweet geet ëm d'Verhalen, nodeems déi Verbindung existéiert: wéi eng Dokumenter kënnen ugehänkt, agefüügt oder eropgeluede ginn. En Tunnel wierkt op déi éischt an ass vum Design hier blann fir déi zweet.
Eng Kontroll op IP-Niveau leet Packagë weider. Si parst keen Upload aus méi Deeler, iwwerpréift keng PDF an entscheet net, ob eng Tabell Kontonummeren enthält. Dat vun hir ze erwaarden ass kee Konfiguratiounsfehler; et ass e Kategoriefehler.
Sot d'Ufuerderung haart a lued an där Form, ier Dir e Produkt sicht. „Benotzer kënnen de Dateportal erreechen“ an „Benotzer däerfen keng Clientlëschten an den Dateportal eroplueden“ si verschidde Sätz, a just den zweete beschreift eng Inhaltspolitik.
Wielt de Komponent, deen d'Datei ka gesinn
D'Duerchsetzung muss do geschéien, wou d'Datei liesbar ass. Fir E-Mail ass dat meeschtens d'Mailplattform oder de Gateway, deen d'Unhäng schonn handhabt an se virun der Liwwerung evaluéiere kann. Fir Browser-Uploaden op en zougeloossenen Deenscht kann d'Applikatioun selwer déi eenzeg Partei sinn, déi den Inhalt gesäit. Fir e verwalt Laptop, deen Dateien op austauschbar Medien kopéiert, gesäit en Endpunkt-Agent déi Operatioun.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
E puer kommerziell Fernzougrëffspaken bündelen en Endpunkt-Agent, eng Webkontroll an e Modul fir Donnéesverloscht ze verhënneren. Dës Komponenten kënnen eng Inhaltspolitik duerchsetzen, awer d'Fäegkeet gehéiert zum Modul an net zum Tunnelen. Liest, wat de Pak wierklech enthält, ier Dir d'Resultat verspriecht.
En nëtzlecht Modell fir ze vergläichen ass Microsoft seng Iwwersiicht iwwer d'Verhënnerung vum Donnéesverloscht am Purview : si beschreift Politike mat sensiblen Informatiounstypen, Plazen an Aktivitéiten. Dëse Vocabulaire geet ëm Inhalt an Aktiounen, net ëm IP-Präfixer.
TLS iwwerlieft den Tunnel, also plangt dat an
D'Verschlësselung vun der Applikatioun gëtt tëscht Client an Deenscht ausgehandelt, an en VPN-Tunnel transportéiert déi Bytes, ouni se opzemaachen. En Gateway um Wee kritt dofir net automatesch d'Fäegkeet, en Unhang ze klassifizéieren, sou vill vun der Streck wéi en och besëtzt.
Fir Inhalt am Transit z'iwwerpréiwen, braucht Dir e Komponent, deen TLS mat engem vertrauenswürdegen Zertifikat terminéiert, an dat ass eng bedeitend Architekturäntscheedung mat hirem eegene Konsequenzen fir Privatsphär a Betrib. Et ass keng Këscht am VPN-Profil. D'Cliente mussen dem Iwwerpréifungszertifikat vertrauen, Applikatiounen, déi Zertifikater pinnéieren, ginn entzwee, an den Operateur kritt d'Méiglechkeet, Traffic ze liesen, deen en virdru net konnt. Dat sinn d'Grënn, firwat dës Entscheedung engem Sécherheetsverantwortlechen gehéiert an net deen, deen den Tunnel bedreift.
Dofir ass déi éierlech Äntwert op „kann d'VPN dësen Upload blockéieren“ meeschtens nee, gefollegt vun enger konkreter Alternativ. D'Alternativ kann Aschränkungen op Applikatiounsniveau, eng Mailregel oder eng Endpunktspolitik sinn, an all huet en Eegentümer, deen se ka änneren.
Schreift den Akzeptanztest virun der Reegel
Eng Inhaltsreegel brauch zwee Beispiller, net eng: eng erlaabten Aktioun, déi weider funktionéiere muss, an eng verbueden Aktioun, déi gestoppt muss ginn. Test béid aus den Applikatiounen an Apparater am Beräich, well eng Politik, déi nëmmen an engem Browser funktionéiert, ass net d'Politik, déi iergendeen gefrot huet.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDéi éischt Ufro soll vun deem Komponent ofgeleent ginn, deen d'Reegel huet, an déi zweet soll geléngen. Wann béid geléngen, ass d'Kontroll net um Wee. Wann béid stierwen, hutt Dir den Deenscht futti gemaach amplaz en ze schützen, wat dacks d'Resultat vun enger Reegel ass, déi ouni en erlaabt Beispill geschriwwe gouf.
Entscheet virun, wat de Benotzer gesäit, wien eng Ausnam ka ginn a wou en Administrateur d'Entscheedung duerno bestätegt. En blockéierten Upload ouni Noriicht produzéiert en Supportticket, an eng Reegel, déi kee ka auditéieren, produzéiert eng Diskussioun. Béides ka mat engem Saz Dokumentatioun vermidde ginn, dee virun der Aféierung vun der Politik geschriwwen ass.
Zum Schluss, haalt déi zwou Ufuerderungen a getrennten Ticketen mat getrennten Eegentümer. Se ënner „VPN“ ze bündelen garantéiert, datt d'Netzwierkteamm gefrot gëtt, en Inhaltsproblem ze léisen, an datt den Inhaltsproblem als geléist deklaréiert gëtt, wann den Tunnel eropgeet.