ഒരു ഫയൽ അപ്ലോഡ് ചെയ്യുന്നത് ഒരു VPN നിയമത്തിന് എന്തുകൊണ്ട് തടയാൻ കഴിയില്ല
ഒരു സേവനത്തിൽ എത്തിച്ചേരുന്നതും അതിൽ നിന്ന് ഏതൊക്കെ ഫയലുകൾ പുറത്തുപോകുന്നു എന്ന് നിയന്ത്രിക്കുന്നതും രണ്ട് ആവശ്യങ്ങളാണ്. ഫയൽ ദൃശ്യമാകുന്നിടത്ത് നിയമം വയ്ക്കുക: മെയിൽ, ആപ്ലിക്കേഷൻ അല്ലെങ്കിൽ എൻഡ്പോയിന്റ് ഏജന്റ്.
ഒരു ചെറിയ സംഘം തങ്ങളുടെ ജോലി സംവിധാനങ്ങളിലേക്ക് വിദൂര ആക്സസ് ആവശ്യപ്പെടുന്നു, അതേ ശ്വാസത്തിൽ ചില അറ്റാച്ചുമെന്റുകൾ കമ്പനി വിടുന്നത് നിർത്തണമെന്നും ആവശ്യപ്പെടുന്നു. രണ്ട് അഭ്യർത്ഥനകളും ഒരു VPN മാറ്റം പോലെ തോന്നുന്നു. എന്നാൽ വ്യത്യസ്ത നിർവഹണ കേന്ദ്രങ്ങളുള്ള രണ്ട് ആവശ്യകതകളാണ് അവ, ആദ്യത്തേത് തൃപ്തിപ്പെടുത്തുന്ന നിയമം രണ്ടാമത്തേതിന് ഒന്നും ചെയ്യുന്നില്ല. ആദ്യം പ്രവർത്തിയും ഡാറ്റയും പേരിടുക, തുടർന്ന് അവ യഥാർത്ഥത്തിൽ കാണാൻ കഴിയുന്ന ഘടകം തിരഞ്ഞെടുക്കുക.
ഒരു അഭ്യർത്ഥന, രണ്ട് ആവശ്യകതകൾ
ആദ്യ ആവശ്യകത ലഭ്യതയെക്കുറിച്ചാണ്: ഏത് ഉപയോക്താക്കൾക്കും ഉപകരണങ്ങൾക്കും ഏത് സേവനത്തിലേക്ക് കണക്ഷൻ തുറക്കാം. രണ്ടാമത്തേത് ആ കണക്ഷൻ നിലവിലുള്ളതിനു ശേഷമുള്ള പെരുമാറ്റത്തെക്കുറിച്ചാണ്: ഏത് രേഖകൾ അറ്റാച്ച് ചെയ്യാം, ഒട്ടിക്കാം അല്ലെങ്കിൽ അപ്ലോഡ് ചെയ്യാം. ഒരു ടണൽ ആദ്യത്തേതിൽ പ്രവർത്തിക്കുന്നു, രൂപകൽപ്പനയാൽ രണ്ടാമത്തേതിനോട് അന്ധമാണ്.
IP തലത്തിലുള്ള നിയന്ത്രണം പാക്കറ്റുകൾ കൈമാറുന്നു. അത് ബഹുഭാഗ അപ്ലോഡ് വിശകലനം ചെയ്യുന്നില്ല, PDF പരിശോധിക്കുന്നില്ല, സ്പ്രെഡ്ഷീറ്റിൽ അക്കൗണ്ട് നമ്പറുകൾ ഉണ്ടോ എന്ന് തീരുമാനിക്കുന്നുമില്ല. അതിൽ നിന്ന് ഇത് പ്രതീക്ഷിക്കുന്നത് കോൺഫിഗറേഷൻ പിശകല്ല; അത് വിഭാഗ പിശകാണ്.
ഒരു ഉൽപ്പന്നം തിരയുന്നതിന് മുമ്പ് ആവശ്യകത അതേ രൂപത്തിൽ ഉറക്കെ പറയുക. «ഉപയോക്താക്കൾക്ക് ഫയൽ പോർട്ടലിൽ എത്താം», «ഉപയോക്താക്കൾക്ക് ഉപഭോക്തൃ പട്ടികകൾ ഫയൽ പോർട്ടലിൽ അപ്ലോഡ് ചെയ്യാൻ കഴിയില്ല» എന്നിവ വ്യത്യസ്ത വാക്യങ്ങളാണ്, രണ്ടാമത്തേത് മാത്രമാണ് ഉള്ളടക്ക നയം വിവരിക്കുന്നത്.
ഫയൽ കാണാൻ കഴിയുന്ന ഘടകം തിരഞ്ഞെടുക്കുക
ഫയൽ വായിക്കാൻ കഴിയുന്നിടത്താണ് നിർവഹണം നടക്കേണ്ടത്. ഇമെയിലിന് ഇത് സാധാരണയായി മെയിൽ പ്ലാറ്റ്ഫോമോ ഗേറ്റ്വേയോ ആണ്, അവ ഇതിനകം അറ്റാച്ചുമെന്റുകൾ കൈകാര്യം ചെയ്യുന്നു, ഡെലിവറിക്ക് മുമ്പ് അവ വിലയിരുത്താനും കഴിയും. അംഗീകൃത സേവനത്തിലേക്കുള്ള ബ്രൗസർ അപ്ലോഡുകൾക്ക് ആപ്ലിക്കേഷൻ തന്നെ ഉള്ളടക്കം കാണുന്ന ഏക കക്ഷിയായിരിക്കാം. നിയന്ത്രിത ലാപ്ടോപ്പ് ഫയലുകൾ നീക്കാവുന്ന മീഡിയയിലേക്ക് പകർത്തുമ്പോൾ എൻഡ്പോയിന്റ് ഏജന്റ് ആ പ്രവർത്തനം കാണുന്നു.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
ചില വാണിജ്യ വിദൂര-ആക്സസ് സ്യൂട്ടുകൾ എൻഡ്പോയിന്റ് ഏജന്റ്, വെബ് നിയന്ത്രണം, ഡാറ്റാ-നഷ്ട പ്രതിരോധ മൊഡ്യൂൾ എന്നിവ ഒരുമിച്ച് നൽകുന്നു. ആ ഘടകങ്ങൾക്ക് ഉള്ളടക്ക നയം നടപ്പാക്കാം, പക്ഷേ കഴിവ് ടണലിംഗിന്റേതല്ല, മൊഡ്യൂളിന്റേതാണ്. ഫലം വാഗ്ദാനം ചെയ്യുന്നതിന് മുമ്പ് സ്യൂട്ടിൽ യഥാർത്ഥത്തിൽ എന്താണുള്ളതെന്ന് വായിക്കുക.
താരതമ്യത്തിന് ഉപയോഗപ്രദമായ ഒരു മാതൃകയാണ് Microsoft-ന്റെ Purview ഡാറ്റാ-നഷ്ട പ്രതിരോധ അവലോകനം : അത് ഉള്ളടക്ക നയങ്ങൾ സംവേദനക്ഷമമായ വിവര തരങ്ങൾ, സ്ഥാനങ്ങൾ, പ്രവർത്തനങ്ങൾ എന്നിവയിലൂടെ വിവരിക്കുന്നു. ആ ശബ്ദാവലി ഉള്ളടക്കത്തെയും പ്രവർത്തനങ്ങളെയും കുറിച്ചാണ്, IP ഉപസർഗ്ഗങ്ങളെക്കുറിച്ചല്ല.
TLS ടണലിനെ അതിജീവിക്കുന്നു, അതിനാൽ അത് ആസൂത്രണം ചെയ്യുക
ആപ്ലിക്കേഷൻ എൻക്രിപ്ഷൻ ക്ലയന്റിനും സേവനത്തിനും ഇടയിൽ ചർച്ച ചെയ്യുന്നു, VPN ടണൽ ആ ബൈറ്റുകൾ തുറക്കാതെ കൊണ്ടുപോകുന്നു. അതിനാൽ പാതയിലുള്ള ഗേറ്റ്വേയ്ക്ക് ഒരു അറ്റാച്ചുമെന്റ് വർഗ്ഗീകരിക്കാനുള്ള കഴിവ് സ്വയമേവ ലഭിക്കുന്നില്ല, പാതയുടെ എത്ര ഭാഗം അതിന് സ്വന്തമായാലും.
കൈമാറ്റത്തിൽ ഉള്ളടക്കം പരിശോധിക്കാൻ വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റുമായി TLS അവസാനിപ്പിക്കുന്ന ഒരു ഘടകം വേണം, അത് സ്വന്തം സ്വകാര്യതാ പ്രവർത്തന പരിണിതഫലങ്ങളുള്ള വലിയ വാസ്തുവിദ്യാ തീരുമാനമാണ്. ഇത് VPN പ്രൊഫൈലിലെ ഒരു ചെക്ക്‌ബോക്സല്ല. ക്ലയന്റുകൾ പരിശോധനാ സർട്ടിഫിക്കറ്റ് വിശ്വസിക്കണം, സർട്ടിഫിക്കറ്റുകൾ പിൻ ചെയ്യുന്ന ആപ്ലിക്കേഷനുകൾ തകരും, ഓപ്പറേറ്റർക്ക് മുമ്പ് വായിക്കാൻ കഴിയാതിരുന്ന ട്രാഫിക് വായിക്കാനുള്ള കഴിവ് ലഭിക്കുന്നു. അതുകൊണ്ടാണ് ഈ തീരുമാനം ടണൽ നടത്തുന്നവരുടേതല്ല, സുരക്ഷാ ഉടമയുടേത്.
അതിനാൽ «VPN-ന് ഈ അപ്ലോഡ് തടയാൻ കഴിയുമോ» എന്ന ചോദ്യത്തിന് സത്യസന്ധമായ ഉത്തരം സാധാരണയായി ഇല്ല, അതിന് ശേഷം ഒരു കൺക്രീറ്റ് ബദൽ വരുന്നു. ബദൽ ആപ്ലിക്കേഷൻ തല നിയന്ത്രണങ്ങൾ, മെയിൽ നിയമം അല്ലെങ്കിൽ എൻഡ്പോയിന്റ് നയം ആകാം, ഓരോന്നിനും അത് മാറ്റാൻ കഴിയുന്ന ഒരു ഉടമയുണ്ട്.
നിയമത്തിന് മുമ്പ് സ്വീകാര്യതാ പരിശോധന എഴുതുക
ഉള്ളടക്ക നിയമത്തിന് ഒന്നല്ല, രണ്ട് ഉദാഹരണങ്ങൾ വേണം: പ്രവർത്തിക്കാൻ തുടരേണ്ട അനുവദനീയമായ പ്രവർത്തനവും നിർത്തേണ്ട നിരോധിത പ്രവർത്തനവും. പരിധിയിലുള്ള ആപ്ലിക്കേഷനുകളിൽ നിന്നും ഉപകരണങ്ങളിൽ നിന്നും രണ്ടും പരിശോധിക്കുക, ഒരു ബ്രൗസറിൽ മാത്രം പ്രവർത്തിക്കുന്ന നയം ആരും ആവശ്യപ്പെട്ട നയമല്ല.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadആദ്യ അഭ്യർത്ഥന നിയമം ഉള്ള ഘടകം നിരസിക്കണം, രണ്ടാമത്തേത് വിജയിക്കണം. രണ്ടും വിജയിച്ചാൽ നിയന്ത്രണം പാതയിലില്ല. രണ്ടും പരാജയപ്പെട്ടാൽ നിങ്ങൾ സേവനം സംരക്ഷിക്കുന്നതിന് പകരം തകർത്തു, അനുവദനീയമായ ഉദാഹരണമില്ലാതെ എഴുതിയ നിയമത്തിന്റെ സാധാരണ ഫലമാണത്.
ഉപയോക്താവ് എന്ത് കാണുന്നു, ആർക്ക് ഒഴിവ് നൽകാം, അഡ്മിനിസ്ട്രേറ്റർ പിന്നീട് എവിടെ തീരുമാനം സ്ഥിരീകരിക്കുന്നു എന്നിവ മുൻകൂട്ടി തീരുമാനിക്കുക. സന്ദേശമില്ലാതെ തടഞ്ഞ അപ്ലോഡ് ഒരു പിന്തുണ ടിക്കറ്റ് ഉണ്ടാക്കുന്നു, ആർക്കും ഓഡിറ്റ് ചെയ്യാൻ കഴിയാത്ത നിയമം തർക്കം ഉണ്ടാക്കുന്നു. നയം പ്രാബല്യത്തിൽ വരുന്നതിന് മുമ്പ് എഴുതുന്ന ഒരു വാക്യത്തിന്റെ ഡോക്യുമെന്റേഷൻ കൊണ്ട് രണ്ടും ഒഴിവാക്കാം.
അവസാനമായി, രണ്ട് ആവശ്യകതകളും വെവ്വേറെ ഉടമകളുള്ള വെവ്വേറെ ടിക്കറ്റുകളിൽ സൂക്ഷിക്കുക. അവയെ «VPN»-ന് കീഴിൽ ഒരുമിച്ച് ചേർക്കുന്നത് നെറ്റ്വർക്ക് ടീമിനോട് ഒരു ഉള്ളടക്ക പ്രശ്നം പരിഹരിക്കാൻ ആവശ്യപ്പെടുമെന്നും ടണൽ ഉയരുമ്പോൾ ഉള്ളടക്ക പ്രശ്നം പരിഹരിച്ചതായി പ്രഖ്യാപിക്കുമെന്നും ഉറപ്പാക്കുന്നു.