Kāpēc VPN noteikums nevar apturēt vienas datnes augšupielādi
Sasniegt pakalpojumu un kontrolēt, kuras datnes no tā iziet, ir divas prasības. Novietojiet noteikumu tur, kur datne ir redzama: pasts, lietotne vai galapunkta aģents.
Neliela komanda lūdz attālinātu piekļuvi savām darba sistēmām un tajā pašā elpā lūdz, lai noteikti pielikumi pārstāj atstāt uzņēmumu. Abi lūgumi izklausās kā viena VPN izmaiņa. Tie ir divas prasības ar atšķirīgiem izpildes punktiem, un noteikums, kas apmierina pirmo, neko nedara otrajai. Sāciet ar darbības un datu nosaukšanu, pēc tam izvēlieties komponentu, kas tos patiešām var redzēt.
Viens lūgums, divas prasības
Pirmā prasība attiecas uz sasniedzamību: kuri lietotāji un ierīces drīkst atvērt savienojumu ar kuru pakalpojumu. Otrā attiecas uz uzvedību pēc tam, kad šis savienojums pastāv: kurus dokumentus drīkst pievienot, ielīmēt vai augšupielādēt. Tunelis iedarbojas uz pirmo un pēc konstrukcijas ir akls pret otro.
IP līmeņa kontrole pārsūta paketes. Tā neanalizē daudzdaļu augšupielādi, nepārbauda PDF un neizlemj, vai izklājlapā ir konta numuri. To no tās gaidīt nav konfigurācijas kļūda; tā ir kategorijas kļūda.
Pirms produkta meklēšanas pasakiet prasību skaļi šādā formā. „Lietotāji drīkst sasniegt failu portālu“ un „lietotāji nedrīkst augšupielādēt klientu sarakstus failu portālā“ ir dažādi teikumi, un tikai otrais apraksta satura politiku.
Izvēlieties komponentu, kas redz datni
Izpildei jānotiek tur, kur datne ir lasāma. E-pastam tas parasti ir pasta platforma vai vārteja, kas jau apstrādā pielikumus un var tos novērtēt pirms piegādes. Pārlūka augšupielādēm apstiprinātā pakalpojumā pati lietotne var būt vienīgā puse, kas redz saturu. Pārvaldīta klēpjdatora gadījumā, kas kopē datnes uz noņemamiem datu nesējiem, operāciju redz galapunkta aģents.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Dažas komerciālas attālinātās piekļuves pakotnes apvieno galapunkta aģentu, tīmekļa kontroli un datu noplūdes novēršanas moduli. Šie komponenti var īstenot satura politiku, taču spēja pieder modulim, nevis tuneļošanai. Izlasiet, ko pakotne patiešām ietver, pirms apsolāt rezultātu.
Noderīgs salīdzināšanas modelis ir „Purview“ datu noplūdes novēršanas pārskats no „Microsoft“: tas apraksta politikas pēc sensitīvas informācijas veidiem, atrašanās vietām un darbībām. Šī leksika ir par saturu un darbībām, nevis par IP prefiksiem.
TLS pārdzīvo tuneli, tāpēc plānojiet to
Lietotnes šifrēšana tiek saskaņota starp klientu un pakalpojumu, un VPN tunelis pārraida šos baitus tos neatverot. Tāpēc vārteja ceļā automātiski neiegūst spēju klasificēt pielikumu, lai cik lielu maršruta daļu tā arī pārvaldītu.
Lai pārbaudītu saturu pārvietošanās laikā, jums nepieciešams komponents, kas pabeidz TLS ar uzticamu sertifikātu, un tas ir nozīmīgs arhitektūras lēmums ar savām privātuma un ekspluatācijas sekām. Tas nav VPN profila ķeksītis. Klientiem jāuzticas pārbaudes sertifikātam, lietotnes, kas piesprauž sertifikātus, salūzīs, un operators iegūst iespēju lasīt satiksmi, ko iepriekš nevarēja. Šie ir iemesli, kāpēc šis lēmums pieder drošības īpašniekam, nevis tam, kurš pārvalda tuneli.
Tāpēc godīgā atbilde uz „vai VPN var bloķēt šo augšupielādi“ parasti ir nē, un tai seko konkrēta alternatīva. Alternatīva var būt lietotnes līmeņa ierobežojumi, pasta noteikums vai galapunkta politika, un katrai ir īpašnieks, kas to var mainīt.
Uzrakstiet pieņemšanas testu pirms noteikuma
Satura noteikumam vajag divus piemērus, nevis vienu: atļautu darbību, kurai jāturpina strādāt, un aizliegtu darbību, kura jāaptur. Pārbaudiet abus no lietotnēm un ierīcēm tvērumā, jo politika, kas darbojas tikai vienā pārlūkā, nav politika, ko kāds lūdza.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadPirmo lūgumu būtu jānoraida komponentam, kuram pieder noteikums, un otrajam vajadzētu izdoties. Ja izdodas abi, kontrole nav ceļā. Ja neizdodas abi, jūs salauzāt pakalpojumu, nevis aizsargājāt to, un tas ir biežāks noteikuma, kas rakstīts bez atļauta piemēra, rezultāts.
Iepriekš izlemiet, ko lietotājs redz, kas var piešķirt izņēmumu un kur administrators pēc tam apstiprina lēmumu. Bloķēta augšupielāde bez ziņojuma rada atbalsta biļeti, un noteikums, ko neviens nevar auditēt, rada strīdu. No abiem var izvairīties ar vienu dokumentācijas teikumu, kas uzrakstīts pirms politikas stāšanās spēkā.
Visbeidzot, turiet abas prasības atsevišķās biļetēs ar atsevišķiem īpašniekiem. To apvienošana zem „VPN“ garantē, ka tīkla komandai tiks lūgts atrisināt satura problēmu un ka satura problēma tiks pasludināta par atrisinātu, kad tunelis celsies.