Kwa nini kanuni ya VPN haiwezi kuzuia upakiaji wa faili moja
Kufikia huduma na kudhibiti ni faili zipi zinaitoka ni mahitaji mawili. Weka kanuni mahali faili linapoonekana: barua pepe, programu au wakala wa kituo cha mwisho.
Timu ndogo inaomba ufikiaji wa mbali kwenye mifumo yake ya kazi na kwa pumzi moja inaomba kwamba viambatisho fulani vikome kuondoka kampuni. Maombi yote mawili yanasikika kama mabadiliko moja ya VPN. Ni mahitaji mawili yenye sehemu tofauti za utekelezaji, na kanuni inayokidhi la kwanza haifanyi chochote kwa la pili. Anza kwa kutaja kitendo na data, kisha chagua sehemu inayoweza kuviona kwa kweli.
Ombi moja, mahitaji mawili
Hitaji la kwanza linahusu ufikikaji: ni watumiaji na vifaa gani wanaweza kufungua muunganisho kwa huduma ipi. La pili linahusu tabia baada ya muunganisho huo kuwepo: ni nyaraka zipi zinaweza kuambatishwa, kubandikwa au kupakiwa. Handaki hufanya kazi kwa la kwanza na kwa muundo ni kipofu kwa la pili.
Udhibiti wa kiwango cha IP husambaza pakiti. Haufanyi uchanganuzi wa upakiaji wa sehemu nyingi, hauchunguzi PDF na hauamui kama lahajedwali lina namba za akaunti. Kutarajia hilo kutoka kwake si kosa la usanidi; ni kosa la kategoria.
Sema hitaji kwa sauti katika umbo hilo kabla ya kutafuta bidhaa. «Watumiaji wanaweza kufikia lango la faili» na «watumiaji hawawezi kupakia orodha za wateja kwenye lango la faili» ni sentensi tofauti, na ya pili pekee inaeleza sera ya maudhui.
Chagua sehemu inayoweza kuona faili
Utekelezaji lazima ufanyike mahali faili linaweza kusomwa. Kwa barua pepe, kwa kawaida ni jukwaa la barua pepe au lango, ambalo tayari hushughulikia viambatisho na linaweza kuvitathmini kabla ya kuwasilisha. Kwa upakiaji wa kivinjari kwenda huduma iliyoidhinishwa, programu yenyewe inaweza kuwa upande pekee unaoona maudhui. Kwa kompyuta ya mkononi inayosimamiwa inayonakili faili kwenda midia inayoweza kuondolewa, wakala wa kituo cha mwisho huona kitendo hicho.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Baadhi ya vifurushi vya biashara vya ufikiaji wa mbali huunganisha wakala wa kituo cha mwisho, udhibiti wa wavuti na moduli ya kuzuia upotevu wa data. Sehemu hizo zinaweza kutekeleza sera ya maudhui, lakini uwezo ni wa moduli na si wa handaki. Soma kifurushi kina nini kwa kweli kabla ya kuahidi matokeo.
Mfano muhimu wa kulinganisha ni muhtasari wa Purview wa kuzuia upotevu wa data wa Microsoft: unaeleza sera kwa mujibu wa aina za taarifa nyeti, maeneo na shughuli. Msamiati huo unahusu maudhui na vitendo, si viambishi vya IP.
TLS hunusurika handaki, kwa hivyo panga hilo
Usimbaji fiche wa programu hujadiliwa kati ya mteja na huduma, na handaki ya VPN hubeba baiti hizo bila kuzifungua. Kwa hivyo lango lililo njiani halipati uwezo wa kuainisha kiambatisho kiotomatiki, hata liwe na sehemu gani ya njia.
Ili kuchunguza maudhui wakati wa usafirishaji unahitaji sehemu inayomaliza TLS kwa cheti kinachotegemewa, na huo ni uamuzi mkubwa wa usanifu wenye athari zake za faragha na uendeshaji. Si kisanduku cha kuteua katika wasifu wa VPN. Wateja lazima waamini cheti cha ukaguzi, programu zinazobana vyeti zitavunjika, na mendeshaji anapata uwezo wa kusoma trafiki ambayo hapo awali hakukuwa na uwezo wa kuisoma. Hizi ndizo sababu uamuzi huu ni wa mmiliki wa usalama na si wa anayeendesha handaki.
Ndiyo sababu jibu la uaminifu kwa «je, VPN inaweza kuzuia upakiaji huu» kwa kawaida ni hapana, likifuatiwa na mbadala mahususi. Mbadala unaweza kuwa vizuizi vya kiwango cha programu, kanuni ya barua pepe au sera ya kituo cha mwisho, na kila moja ina mmiliki anayeweza kuibadilisha.
Andika jaribio la kukubalika kabla ya kanuni
Kanuni ya maudhui inahitaji mifano miwili, si mmoja: kitendo kilichoruhusiwa ambacho lazima kiendelee kufanya kazi, na kitendo kilichokatazwa ambacho lazima kusimamishwe. Jaribu vyote viwili kutoka kwa programu na vifaa vilivyo katika wigo, kwa sababu sera inayofanya kazi katika kivinjari kimoja pekee si sera ambayo mtu aliomba.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadOmbi la kwanza linapaswa kukataliwa na sehemu inayomiliki kanuni, na la pili linapaswa kufanikiwa. Zote zikifanikiwa, udhibiti haupo njiani. Zote zikishindikana, umevunja huduma badala ya kuilinda, ambayo ni matokeo ya kawaida ya kanuni iliyoandikwa bila mfano ulioruhusiwa.
Amua mapema mtumiaji anaona nini, nani anaweza kutoa msamaha na wapi msimamizi anathibitisha uamuzi baadaye. Upakiaji uliozuiwa bila ujumbe huzalisha tikiti ya usaidizi, na kanuni ambayo hakuna anayeweza kuikagua huzalisha mzozo. Yote mawili yanaweza kuepukwa kwa sentensi moja ya nyaraka iliyoandikwa kabla sera kuanza kutumika.
Hatimaye, weka mahitaji mawili katika tikiti tofauti na wamiliki tofauti. Kuyaunganisha chini ya «VPN» kunahakikisha kwamba timu ya mtandao itaombwa kutatua tatizo la maudhui, na kwamba tatizo la maudhui litatangazwa kuwa limetatuliwa handaki linapoinuka.