Яагаад VPN дүрэм нэг файл байршуулалтыг зогсоож чадахгүй вэ
Үйлчилгээнд хүрэх, түүнээс ямар файлууд гарч байгааг хянах нь хоёр өөр шаардлага. Дүрмийг файл харагдах газарт тавь: шуудан, апп эсвэл төгсгөлийн цэгийн агент.
Жижиг баг ажлын системдээ алсын хандалт хүсч, мөн амьсгаагаар нь зарим хавсралт компанийг орхихоо болихыг хүсч байна. Хоёр хүсэлт нэг VPN өөрчлөлт мэт санагдана. Эдгээр нь өөр өөр хэрэгжүүлэх цэгтэй хоёр шаардлага бөгөөд эхнийх нь хангадаг дүрэм хоёр дахьд нь юу ч хийдэггүй. Эхлээд үйлдэл, өгөгдлийг нэрлэ, дараа нь тэдгээрийг үнэхээр харж чадах бүрэлдэхүүнийг сонго.
Нэг хүсэлт, хоёр шаардлага
Эхний шаардлага хүртээмжийн тухай: ямар хэрэглэгч, төхөөрөмж аль үйлчилгээнд холболт нээж болох вэ. Хоёр дахь нь тэр холболт үүссэний дараах зан үйлийн тухай: ямар баримт бичгийг хавсаргах, буулгах эсвэл байршуулж болох вэ. Туннель эхнийх дээр үйлчилдэг бөгөөд зохиомжоороо хоёр дахьд нь сохор.
IP түвшний хяналт пакетуудыг дамжуулдаг. Энэ нь олон хэсэгт байршуулалтыг шинжлэхгүй, PDF шалгахгүй, хүснэгтэд дансны дугаар байгаа эсэхийг шийдэхгүй. Үүнийг түүнээс хүлээх нь тохиргооны алдаа биш; энэ нь ангиллын алдаа.
Бүтээгдэхүүн хайхаасаа өмнө шаардлагыг энэ хэлбэрээр чанга хэл. «Хэрэглэгчид файлын порталд хүрч чадна», «хэрэглэгчид харилцагчийн жагсаалтыг файлын порталд байршуулж болохгүй» гэдэг нь өөр өгүүлбэр бөгөөд зөвхөн хоёр дахь нь агуулгын бодлогыг тодорхойлно.
Файлыг харж чадах бүрэлдэхүүнийг сонго
Хэрэгжүүлэлт файл уншигдах газарт болох ёстой. Имэйлийн хувьд энэ нь ихэвчлэн шуудангийн платформ эсвэл гарц бөгөөд хавсралтыг аль хэдийн боловсруулж, хүргэхээс өмнө үнэлж чадна. Зөвшөөрөгдсөн үйлчилгээ рүү хөтчөөс байршуулахад апп өөрөө агуулгыг хардаг цорын ганц тал байж болно. Удирдлагатай зөөврийн компьютер файлыг зөөврийн зөөгч рүү хуулах үед төгсгөлийн цэгийн агент үйлдлийг хардаг.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Зарим арилжааны алсын хандалтын багц төгсгөлийн цэгийн агент, вэб хяналт, өгөгдөл алдагдахаас сэргийлэх модулийг нэгтгэдэг. Тэдгээр бүрэлдэхүүн агуулгын бодлогыг хэрэгжүүлж чадна, гэхдээ чадвар нь туннельд биш, модульд хамаарна. Үр дүнг амлахаасаа өмнө багцад үнэхээр юу байгааг унш.
Харьцуулахад хэрэгтэй загвар бол Microsoft-ын Purview өгөгдөл алдагдлаас сэргийлэх тойм юм: энэ нь бодлогуудыг мэдрэмтгий мэдээллийн төрөл, байршил, үйл ажиллагаагаар тодорхойлдог. Тэр үг хэллэг нь агуулга, үйлдлийн тухай, IP угтварын тухай биш.
TLS туннелийг даван туулдаг тул үүнийг төлөвлө
Аппын шифрлэлт клиент болон үйлчилгээний хооронд хэлэлцэгдэж, VPN туннель тэдгээр байтыг нээхгүйгээр зөөдөг. Тиймээс зам дээрх гарц хавсралтыг ангилах чадварыг автоматаар олж авдаггүй, замын хэдий хэсгийг эзэмшсэн ч.
Дамжуулалтын үед агуулгыг шалгахын тулд итгэмжлэгдсэн гэрчилгээгээр TLS-ийг дуусгадаг бүрэлдэхүүн хэрэгтэй бөгөөд энэ нь өөрийн нууцлал, ашиглалтын үр дагавартай том архитектурын шийдвэр юм. Энэ нь VPN профайлын чекбокс биш. Клиентүүд шалгалтын гэрчилгээнд итгэх ёстой, гэрчилгээг тогтоодог аппууд эвдэрнэ, оператор өмнө нь уншиж чаддаггүй трафикийг унших боломж олж авна. Энэ шийдвэр туннель ажиллуулагчид биш, аюулгүй байдлын эзэнд хамаарах шалтгаан энэ юм.
Тиймээс «VPN энэ байршуулалтыг блоклож чадах уу» гэсэн асуултад шударга хариулт ихэвчлэн үгүй бөгөөд дараа нь тодорхой хувилбар ирдэг. Хувилбар нь аппын түвшний хязгаарлалт, шуудангийн дүрэм эсвэл төгсгөлийн цэгийн бодлого байж болох бөгөөд тус бүр өөрчлөх боломжтой эзэнтэй.
Дүрмээс өмнө хүлээн авах тестийг бич
Агуулгын дүрэмд нэг биш хоёр жишээ хэрэгтэй: үргэлжлүүлэн ажиллах ёстой зөвшөөрөгдсөн үйлдэл, зогсоох ёстой хориглосон үйлдэл. Хоёуланг нь хамрах хүрээний апп, төхөөрөмжөөс туршиж үз, учир нь зөвхөн нэг хөтөч дээр ажилладаг бодлого бол хэн нэгний хүссэн бодлого биш.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadЭхний хүсэлтийг дүрэм эзэмшдэг бүрэлдэхүүн татгалзах ёстой, хоёр дахь нь амжилттай болох ёстой. Хоёулаа амжилттай бол хяналт зам дээр байхгүй. Хоёулаа бүтэлгүйтвэл та үйлчилгээг хамгаалахын оронд эвдсэн бөгөөд энэ нь зөвшөөрөгдсөн жишээгүйгээр бичсэн дүрмийн илүү нийтлэг үр дүн юм.
Хэрэглэгч юу хардаг, хэн үл хамаарах зүйл өгч болох, администратор дараа нь хаана шийдвэрийг баталгаажуулахыг урьдчилан шийд. Мессежгүй блоклогдсон байршуулалт дэмжлэгийн тасалбар үүсгэдэг, хэн ч аудит хийж чадахгүй дүрэм маргаан үүсгэдэг. Хоёулангаас бодлого хүчин төгөлдөр болохоос өмнө бичсэн нэг өгүүлбэрийн баримт бичгээр зайлсхийж болно.
Эцэст нь хоёр шаардлагыг өөр өөр эзэнтэй тусдаа тасалбарт байлга. Тэднийг «VPN»-ийн дор нэгтгэх нь сүлжээний багаас агуулгын асуудлыг шийдэхийг шаардаж, туннель босох үед агуулгын асуудлыг шийдэгдсэн гэж зарлахыг баталгаажуулна.