VPN नियम एक फाइल अपलोड होण्यापासून का थांबवू शकत नाही
एखाद्या सेवेपर्यंत पोहोचणे आणि तिच्यातून कोणत्या फाइल्स बाहेर पडतात हे नियंत्रित करणे या दोन वेगळ्या गरजा आहेत। नियम तिथे ठेवा जिथे फाइल दिसते: मेल, ॲप्लिकेशन किंवा एंडपॉइंट एजंट।
एक छोटा संघ आपल्या कामाच्या प्रणालींमध्ये दूरस्थ प्रवेश मागतो आणि त्याच श्वासात मागतो की काही जोडपत्रे कंपनी सोडणे थांबवावीत। दोन्ही विनंत्या एकाच VPN बदलासारख्या वाटतात। त्या वेगवेगळ्या अंमलबजावणी बिंदूंच्या दोन गरजा आहेत, आणि पहिली पूर्ण करणारा नियम दुसऱ्यासाठी काहीही करत नाही। आधी कृती आणि डेटाची नावे घ्या, मग ते खरोखर पाहू शकणारा घटक निवडा।
एक विनंती, दोन गरजा
पहिली गरज पोहोचण्याबद्दल आहे: कोणते वापरकर्ते आणि उपकरणे कोणत्या सेवेशी कनेक्शन उघडू शकतात। दुसरी ते कनेक्शन अस्तित्वात आल्यानंतरच्या वर्तनाबद्दल आहे: कोणती कागदपत्रे जोडता, पेस्ट करता किंवा अपलोड करता येतात। बोगदा पहिल्यावर काम करतो आणि रचनेनुसार दुसऱ्याप्रति आंधळा असतो।
IP स्तराचे नियंत्रण पॅकेट पुढे पाठवते। ते बहु-भाग अपलोडचे विश्लेषण करत नाही, PDF तपासत नाही आणि स्प्रेडशीटमध्ये खाते क्रमांक आहेत का हे ठरवत नाही। त्याच्याकडून ही अपेक्षा करणे ही संरचना चूक नाही; ती वर्ग चूक आहे।
उत्पादन शोधण्यापूर्वी गरज त्या स्वरूपात मोठ्याने सांगा। «वापरकर्ते फाइल पोर्टलपर्यंत पोहोचू शकतात» आणि «वापरकर्ते ग्राहक याद्या फाइल पोर्टलवर अपलोड करू शकत नाहीत» या वेगळ्या वाक्ये आहेत, आणि फक्त दुसरेच सामग्री धोरण वर्णन करते।
फाइल पाहू शकणारा घटक निवडा
अंमलबजावणी तिथे व्हायला हवी जिथे फाइल वाचनीय आहे। ईमेलसाठी ते सहसा मेल प्लॅटफॉर्म किंवा गेटवे असते, जे आधीच जोडपत्रे हाताळते आणि वितरणापूर्वी त्यांचे मूल्यांकन करू शकते। मंजूर सेवेमध्ये ब्राउझर अपलोडसाठी ॲप्लिकेशन स्वतःच सामग्री पाहणारा एकमेव पक्ष असू शकतो। व्यवस्थापित लॅपटॉप फाइल्स काढता येण्याजोग्या माध्यमांवर कॉपी करताना एंडपॉइंट एजंट ती क्रिया पाहतो।
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
काही व्यावसायिक दूरस्थ-प्रवेश संच एंडपॉइंट एजंट, वेब नियंत्रण आणि डेटा-हानी प्रतिबंध मॉड्यूल एकत्र देतात। ते घटक सामग्री धोरण लागू करू शकतात, पण क्षमता बोगद्याची नाही, मॉड्यूलची आहे। निकालाचे वचन देण्यापूर्वी संचात प्रत्यक्षात काय आहे ते वाचा।
Microsoft चे Purview डेटा-हानी प्रतिबंध विहंगावलोकन तुलनेसाठी उपयुक्त नमुना आहे: ते धोरणे संवेदनशील माहितीचे प्रकार, स्थाने आणि क्रियाकलाप यांच्या संदर्भात वर्णन करते। ती शब्दसंग्रह सामग्री आणि कृतींबद्दल आहे, IP उपसर्गांबद्दल नाही।
TLS बोगद्यातून टिकून राहते, म्हणून त्याची योजना करा
ॲप्लिकेशन एन्क्रिप्शन क्लायंट आणि सेवेमध्ये वाटाघाटी केले जाते, आणि VPN बोगदा ते बाइट न उघडता वाहून नेतो। त्यामुळे मार्गावरील गेटवे जोडपत्राचे वर्गीकरण करण्याची क्षमता आपोआप मिळवत नाही, मार्गाचा कितीही भाग त्याच्याकडे असो।
प्रवासात सामग्री तपासण्यासाठी विश्वासार्ह प्रमाणपत्रासह TLS संपवणारा घटक लागतो, आणि हा स्वतःच्या गोपनीयता व कार्यान्वयन परिणामांसह मोठा स्थापत्य निर्णय आहे। हा VPN प्रोफाइलमधील चेकबॉक्स नाही। क्लायंटना तपासणी प्रमाणपत्रावर विश्वास ठेवावा लागतो, प्रमाणपत्रे पिन करणारी ॲप्लिकेशन्स तुटतील, आणि ऑपरेटरला पूर्वी वाचता येत नव्हते असा रहदारी वाचण्याची क्षमता मिळते। याच कारणांमुळे हा निर्णय बोगदा चालवणाऱ्याचा नाही, सुरक्षा मालकाचा आहे।
म्हणून «VPN हे अपलोड थांबवू शकतो का» या प्रश्नाचे प्रामाणिक उत्तर सहसा नाही असते, आणि त्यानंतर ठोस पर्याय येतो। पर्याय ॲप्लिकेशन-स्तरीय निर्बंध, मेल नियम किंवा एंडपॉइंट धोरण असू शकतो, आणि प्रत्येकाचा तो बदलू शकणारा मालक असतो।
नियमापूर्वी स्वीकृती चाचणी लिहा
सामग्री नियमाला एक नाही, दोन उदाहरणे लागतात: चालू राहिली पाहिजे अशी अनुमत कृती आणि थांबवली पाहिजे अशी प्रतिबंधित कृती। व्याप्तीतील ॲप्लिकेशन्स आणि उपकरणांमधून दोन्हीची चाचणी करा, कारण एकाच ब्राउझरमध्ये चालणारे धोरण हे कोणी मागितलेले धोरण नाही।
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadपहिली विनंती नियमाचा मालक असलेल्या घटकाने नाकारली पाहिजे, आणि दुसरी यशस्वी व्हायला हवी। दोन्ही यशस्वी झाल्या तर नियंत्रण मार्गावर नाही। दोन्ही अयशस्वी झाल्या तर तुम्ही सेवा संरक्षित करण्याऐवजी तोडली आहे, जो अनुमत उदाहरणाशिवाय लिहिलेल्या नियमाचा अधिक सामान्य निकाल आहे।
वापरकर्त्याला काय दिसते, कोण अपवाद देऊ शकतो आणि प्रशासक नंतर कुठे निर्णयाची पुष्टी करतो हे आधीच ठरवा। संदेशाशिवाय अडवलेले अपलोड सपोर्ट तिकीट निर्माण करते, आणि जो नियम कोणीही ऑडिट करू शकत नाही तो वाद निर्माण करतो। धोरण लागू होण्यापूर्वी लिहिलेल्या एका वाक्याच्या दस्तऐवजीकरणाने दोन्ही टाळता येतात।
शेवटी, दोन्ही गरजा वेगळ्या मालकांसह वेगळ्या तिकिटांमध्ये ठेवा। त्यांना «VPN» अंतर्गत एकत्र केल्यास नेटवर्क संघाला सामग्रीची समस्या सोडवायला सांगितले जाईल, आणि बोगदा वर आला की सामग्रीची समस्या सोडवली गेली असे जाहीर केले जाईल याची खात्री होते।