Kvifor ei VPN-regel ikkje kan stoppe opplasting av éi fil
Å nå ein teneste og å styre kva filer som forlèt henne, er to krav. Legg regelen der fila er synleg: e-post, applikasjon eller endepunktagent.
Eit lite team ber om fjern tilgang til arbeidssystema sine og ber i same andedrag om at visse vedlegg sluttar å forlate selskapet. Begge ønska høyrest ut som éi VPN-endring. Dei er to krav med ulike handhevingspunkt, og ei regel som oppfyller det første, gjer ingenting for det andre. Byrj med å namngje handlinga og dataa, og vel så komponenten som faktisk kan sjå dei.
Éi førespurnad, to krav
Det første kravet handlar om nåbarheit: kva brukarar og einingar som kan opne ei sambinding til kva teneste. Det andre handlar om åtferd etter at sambindinga finst: kva dokument som kan leggjast ved, limast inn eller lastast opp. Ein tunnel verkar på det første og er blind for det andre av design.
Ei kontroll på IP-nivå videresender pakkar. Ho parsar ikkje ei opplasting i fleire delar, inspiserer ikkje ein PDF og avgjer ikkje om eit rekneark inneheld kontonummer. Å vente det er ikkje ein konfigurasjonsfeil; det er ein kategorifeil.
Sei kravet høgt i den forma før du leitar etter eit produkt. «Brukarar kan nå filportalen» og «brukarar kan ikkje laste opp kundelister til filportalen» er ulike setningar, og berre den andre skildrar ein innhaldspolicy.
Vel komponenten som kan sjå fila
Handhevinga må skje der fila er lesbar. For e-post er det vanlegvis e-postplattforma eller gatewayen, som alt handterer vedlegg og kan vurdere dei før levering. For nettlesaropplastingar til ein godkjend teneste kan applikasjonen sjølv vere den einaste parten som ser innhaldet. For ein administrert berbar PC som kopierer filer til flyttbare medium, ser ein endepunktagent operasjonen.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Nokre kommersielle fjernaksesspakkar samlar ein endepunktagent, ei nettkontroll og ein modul for å hindre datatap. Desse komponentane kan godt handheve innhaldspolicy, men evna høyrer til modulen og ikkje til tunnelleringa. Les kva pakken faktisk inneheld før du lovar resultatet.
Microsofts oversyn over å hindre datatap i Purview er ein nyttig modell å samanlikne med: det skildrar policyar i form av typar sensitive opplysningar, stader og aktivitetar. Det ordforrådet handlar om innhald og handlingar, ikkje om IP-prefiks.
TLS overlever tunnelen, så planlegg for det
Applikasjonskryptering blir forhandla mellom klienten og tenesta, og ein VPN-tunnel ber desse byta utan å opne dei. Ein gateway på vegen får derfor ikkje automatisk evna til å klassifisere eit vedlegg, uansett kor mykje av ruta han eig.
For å inspisere innhald undervegs treng du ein komponent som avsluttar TLS med eit klarert sertifikat, og det er eit vesentleg arkitekturval med eigne konsekvensar for personvern og drift. Det er ikkje ein avkryssingsboks i VPN-profilen. Klientar må stole på inspeksjonssertifikatet, applikasjonar som pinnar sertifikat vil bryte saman, og operatøren får høve til å lese trafikk han tidlegare ikkje kunne. Det er grunnane til at dette valet høyrer til ein tryggleikseigar og ikkje til den som driv tunnelen.
Derfor er det ærlege svaret på «kan VPN-en blokkere denne opplastinga» vanlegvis nei, etterfølgt av eit konkret alternativ. Alternativet kan vere avgrensingar på applikasjonsnivå, ei e-postregel eller ein endepunktpolicy, og kvar av dei har ein eigar som kan endre henne.
Skriv akseptansetesten før regelen
Ei innhaldsregel treng to døme, ikkje eitt: ei tillaten handling som må halde fram med å verke, og ei forboden handling som må stoggast. Test begge frå applikasjonane og einingane i omfanget, fordi ein policy som berre verkar i éin nettlesar, er ikkje policyen nokon bad om.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDen første førespurnaden bør avvisast av komponenten som eig regelen, og den andre bør lukkast. Viss begge lukkast, er kontrollen ikkje på vegen. Viss begge feilar, har du øydelagt tenesta i staden for å verne henne, noko som er det vanlegare resultatet av ei regel skriven utan eit tillate døme.
Avgjer på førehand kva brukaren ser, kven som kan gi eit unntak og kvar ein administrator stadfestar avgjerda etterpå. Ei blokkert opplasting utan melding gir ein støttebillett, og ei regel ingen kan revidere gir ein diskusjon. Begge kan unngåast med éi setning dokumentasjon skriven før policyen tek til å gjelde.
Til slutt, hald dei to krava i separate saker med separate eigarar. Å samle dei under «VPN» garanterer at nettverksteamet blir bedt om å løyse eit innhaldsproblem, og at innhaldsproblemet blir erklært løyst når tunnelen kjem opp.