Зашто VPN правило не може да заустави отпремање једног фајла
Достизање сервиса и контрола тога који фајлови из њега излазе два су различита захтева. Ставите правило тамо где је фајл видљив: пошта, апликација или агент на крајњој тачки.
Мали тим тражи удаљени приступ својим радним системима и у истом даху тражи да одређени прилози престану да напуштају фирму. Оба захтева звуче као једна VPN измена. То су два захтева са различитим тачкама примене, а правило које задовољава први не чини ништа за други. Почните именовањем радње и података, па изаберите компоненту која их заиста може видети.
Један захтев, два услова
Први захтев тиче се доступности: који корисници и уређаји смеју да отворе везу ка ком сервису. Други се тиче понашања након што та веза постоји: који документи смеју да се приложе, налепе или пренесу. Тунел делује на први и по дизајну је слеп за други.
Контрола на нивоу IP-а прослеђује пакете. Она не анализира пренос у више делова, не прегледа PDF и не одлучује да ли табела садржи бројеве рачуна. Очекивати то од ње није грешка у конфигурацији; то је грешка у категорији.
Изговорите захтев наглас у том облику пре него што почнете да тражите производ. „Корисници смеју да достигну портал фајлова“ и „корисници не смеју да преносе листе купаца на портал фајлова“ различите су реченице, и само друга описује политику садржаја.
Изаберите компоненту која види фајл
Примена мора да се догоди тамо где је фајл читљив. За е-пошту је то обично поштанска платформа или приступник, који већ обрађује прилоге и може да их оцени пре доставе. За преносе из прегледача у одобрени сервис сама апликација може бити једина страна која види садржај. За управљани лаптоп који копира фајлове на преносне медије, агент на крајњој тачки види ту радњу.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Неки комерцијални пакети за удаљени приступ обједињују агента на крајњој тачки, веб контролу и модул за спречавање губитка података. Те компоненте могу да примењују политику садржаја, али способност припада модулу, а не тунелирању. Прочитајте шта пакет заиста укључује пре него што обећате исход.
Користан модел за поређење је „преглед спречавања губитка података у Purview-у“ компаније Microsoft: он описује политике кроз врсте осетљивих информација, локације и активности. Тај речник говори о садржају и радњама, не о IP префиксима.
TLS преживљава тунел, зато то планирајте
Шифровање апликације се договара између клијента и сервиса, а VPN тунел преноси те бајтове не отварајући их. Приступник на путу зато аутоматски не добија могућност класификовања прилога, колико год руте поседовао.
Да бисте прегледали садржај у преносу, потребна вам је компонента која прекида TLS са поузданим сертификатом, а то је озбиљна архитектонска одлука са сопственим последицама по приватност и рад. То није кућица у VPN профилу. Клијенти морају да верују сертификату за преглед, апликације које прикуцавају сертификате ће се покварити, а оператер добија могућност да чита саобраћај који раније није могао. Зато ова одлука припада власнику безбедности, а не ономе ко управља тунелом.
Зато је искрен одговор на „може ли VPN да блокира овај пренос“ обично не, након чега следи конкретна алтернатива. Алтернатива може бити ограничење на нивоу апликације, поштанско правило или политика крајње тачке, и свака има власника који може да је промени.
Напишите пријемни тест пре правила
Правило садржаја тражи два примера, а не један: дозвољену радњу која мора да настави да ради и забрањену радњу коју треба зауставити. Тестирајте обоје из апликација и уређаја у обухвату, јер политика која ради само у једном прегледачу није политика коју је било ко тражио.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadПрви захтев треба да одбије компонента која поседује правило, а други треба да успе. Ако оба успеју, контрола није на путу. Ако оба пропадну, покварили сте сервис уместо да сте га заштитили, што је чешћи исход правила написаног без дозвољеног примера.
Одлучите унапред шта корисник види, ко може да да изузетак и где администратор накнадно потврђује одлуку. Блокиран пренос без поруке ствара тикет подршке, а правило које нико не може да ревидира ствара свађу. Обоје се може избећи једном реченицом документације написане пре него што политика ступи на снагу.
На крају, држите два захтева у одвојеним тикетима са одвојеним власницима. Њихово спајање под „VPN“ гарантује да ће се од мрежног тима тражити да реши проблем садржаја и да ће проблем садржаја бити проглашен решеним кад тунел проради.