ทำไมกฎ VPN จึงหยุดการอัปโหลดไฟล์เดียวไม่ได้
การเข้าถึงบริการกับการควบคุมว่าไฟล์ใดออกจากบริการเป็นสองข้อกำหนด แมปกฎไว้ที่จุดที่มองเห็นไฟล์ได้: เมล แอปพลิเคชัน หรือเอเจนต์ปลายทาง
ทีมเล็ก ๆ ขอการเข้าถึงระบบงานจากระยะไกล และในลมหายใจเดียวกันก็ขอให้ไฟล์แนบบางประเภทหยุดออกจากบริษัท คำขอทั้งสองฟังดูเหมือนการเปลี่ยนแปลง VPN เพียงครั้งเดียว แต่จริง ๆ แล้วเป็นสองข้อกำหนดที่มีจุดบังคับใช้ต่างกัน และกฎที่ตอบข้อแรกไม่ได้ทำอะไรให้ข้อที่สอง เริ่มต้นด้วยการเรียกชื่อการกระทำและข้อมูล แล้วเลือกองค์ประกอบที่มองเห็นสิ่งเหล่านั้นได้จริง
คำขอเดียว สองข้อกำหนด
ข้อกำหนดแรกเกี่ยวกับการเข้าถึงว่า ผู้ใช้และอุปกรณ์ใดเปิดการเชื่อมต่อไปยังบริการใดได้ ข้อที่สองเกี่ยวกับพฤติกรรมหลังการเชื่อมต่อนั้นมีอยู่ ว่าเอกสารใดแนบ วาง หรืออัปโหลดได้ อุโมงค์ทำงานกับข้อแรกและโดยการออกแบบมองไม่เห็นข้อที่สอง
การควบคุมระดับ IP ส่งต่อแพ็กเก็ต มันไม่วิเคราะห์การอัปโหลดแบบหลายส่วน ไม่ตรวจสอบ PDF และไม่ตัดสินว่าสเปรดชีตมีเลขบัญชีหรือไม่ การคาดหวังเช่นนั้นไม่ใช่ข้อผิดพลาดด้านการกำหนดค่า มันเป็นข้อผิดพลาดด้านหมวดหมู่
พูดข้อกำหนดออกมาดัง ๆ ในรูปแบบนั้นก่อนจะหาผลิตภัณฑ์ «ผู้ใช้เข้าถึงพอร์ทัลไฟล์ได้» กับ «ผู้ใช้ไม่สามารถอัปโหลดรายชื่อลูกค้าไปยังพอร์ทัลไฟล์ได้» เป็นคนละประโยค และมีเพียงประโยคที่สองที่อธิบายนโยบายเนื้อหา
เลือกองค์ประกอบที่มองเห็นไฟล์ได้
การบังคับใช้ต้องเกิดขึ้นที่จุดที่อ่านไฟล์ได้ สำหรับอีเมลมักเป็นแพลตฟอร์มหรือเกตเวย์เมลซึ่งจัดการไฟล์แนบอยู่แล้วและประเมินได้ก่อนส่งมอบ สำหรับการอัปโหลดผ่านเบราว์เซอร์ไปยังบริการที่ได้รับอนุญาต แอปพลิเคชันเองอาจเป็นฝ่ายเดียวที่เห็นเนื้อหา สำหรับแล็ปท็อปที่บริหารจัดการซึ่งคัดลอกไฟล์ไปยังสื่อที่ถอดออกได้ เอเจนต์ปลายทางจะเห็นการดำเนินการ
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
ชุดซอฟต์แวร์เข้าถึงระยะไกลเชิงพาณิชย์บางชุดรวมเอเจนต์ปลายทาง การควบคุมเว็บ และโมดูลป้องกันข้อมูลรั่วไหลไว้ด้วยกัน องค์ประกอบเหล่านั้นบังคับใช้นโยบายเนื้อหาได้จริง แต่ความสามารถนั้นเป็นของโมดูลไม่ใช่ของการทำอุโมงค์ อ่านว่าชุดนั้นมีอะไรจริง ๆ ก่อนสัญญาผลลัพธ์
แบบจำลองที่มีประโยชน์สำหรับการเปรียบเทียบคือ ภาพรวมการป้องกันข้อมูลสูญหายของ Purview จาก Microsoft ซึ่งอธิบายนโยบายในแง่ของประเภทข้อมูลอ่อนไหว ตำแหน่ง และกิจกรรม คำศัพท์เหล่านั้นเกี่ยวกับเนื้อหาและการกระทำ ไม่ใช่คำนำหน้า IP
TLS รอดพ้นอุโมงค์ ดังนั้นต้องวางแผนเรื่องนี้
การเข้ารหัสของแอปพลิเคชันเจรจาระหว่างไคลเอนต์กับบริการ และอุโมงค์ VPN ขนส่งไบต์เหล่านั้นโดยไม่เปิดออก เกตเวย์บนเส้นทางจึงไม่ได้ความสามารถในการจำแนกไฟล์แนบโดยอัตโนมัติ ไม่ว่าจะถือครองเส้นทางมากเพียงใด
การตรวจสอบเนื้อหาระหว่างทางต้องใช้องค์ประกอบที่สิ้นสุด TLS ด้วยใบรับรองที่เชื่อถือได้ ซึ่งเป็นการตัดสินใจเชิงสถาปัตยกรรมที่สำคัญและมีผลต่อความเป็นส่วนตัวและการปฏิบัติการของตัวเอง ไม่ใช่ช่องทำเครื่องหมายในโปรไฟล์ VPN ไคลเอนต์ต้องเชื่อถือใบรับรองการตรวจสอบ แอปพลิเคชันที่ปักหมุดใบรับรองจะพัง และผู้ให้บริการได้ความสามารถในการอ่านทราฟฟิกที่ก่อนหน้านี้อ่านไม่ได้ นี่คือเหตุผลที่การตัดสินใจนี้เป็นของเจ้าของความปลอดภัย ไม่ใช่ของผู้ที่ดูแลอุโมงค์
ดังนั้นคำตอบที่ซื่อสัตย์ต่อคำถาม «VPN บล็อกการอัปโหลดนี้ได้ไหม» มักคือไม่ ตามด้วยทางเลือกที่ชัดเจน ทางเลือกอาจเป็นการจำกัดระดับแอปพลิเคชัน กฎเมล หรือนโยบายปลายทาง และแต่ละอย่างมีเจ้าของที่เปลี่ยนได้
เขียนการทดสอบการยอมรับก่อนกฎ
กฎเนื้อหาต้องการสองตัวอย่างไม่ใช่หนึ่ง คือการกระทำที่อนุญาตซึ่งต้องทำงานต่อไป และการกระทำที่ห้ามซึ่งต้องถูกหยุด ทดสอบทั้งสองจากแอปพลิเคชันและอุปกรณ์ในขอบเขต เพราะนโยบายที่ทำงานในเบราว์เซอร์เดียวไม่ใช่นโยบายที่ใครขอ
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadคำขอแรกควรถูกปฏิเสธโดยองค์ประกอบที่เป็นเจ้าของกฎ และคำขอที่สองควรสำเร็จ หากทั้งสองสำเร็จ การควบคุมไม่ได้อยู่ในเส้นทาง หากทั้งสองล้มเหลว คุณทำให้บริการเสียหายแทนที่จะปกป้อง ซึ่งเป็นผลลัพธ์ที่พบบ่อยกว่าของกฎที่เขียนโดยไม่มีตัวอย่างที่อนุญาต
ตัดสินใจล่วงหน้าว่าผู้ใช้เห็นอะไร ใครให้ข้อยกเว้นได้ และผู้ดูแลยืนยันการตัดสินใจที่ใดภายหลัง การอัปโหลดที่ถูกบล็อกโดยไม่มีข้อความสร้างตั๋วสนับสนุน และกฎที่ไม่มีใครตรวจสอบได้สร้างการโต้เถียง ทั้งสองอย่างหลีกเลี่ยงได้ด้วยเอกสารหนึ่งประโยคที่เขียนก่อนนโยบายมีผล
สุดท้าย เก็บข้อกำหนดทั้งสองไว้ในตั๋วแยกกันและเจ้าของแยกกัน การรวมไว้ใต้ «VPN» รับประกันว่าทีมเครือข่ายจะถูกขอให้แก้ปัญหาเนื้อหา และปัญหาด้านเนื้อหาจะถูกประกาศว่าแก้แล้วเมื่ออุโมงค์ขึ้น