VPN کا اصول ایک فائل اپ لوڈ ہونے سے کیوں نہیں روک سکتا
کسی سروس تک پہنچنا اور یہ کنٹرول کرنا کہ اس سے کون سی فائلیں باہر جاتی ہیں، دو الگ تقاضے ہیں۔ اصول وہاں رکھیں جہاں فائل نظر آتی ہے: میل، ایپلیکیشن یا اینڈ پوائنٹ ایجنٹ۔
ایک چھوٹی ٹیم اپنے کام کے نظاموں تک دور سے رسائی مانگتی ہے اور اسی سانس میں مانگتی ہے کہ کچھ منسلکات کمپنی چھوڑنا بند کریں۔ دونوں درخواستیں ایک ہی VPN تبدیلی جیسی لگتی ہیں۔ یہ الگ الگ نفاذ کے مقامات والے دو تقاضے ہیں، اور پہلا پورا کرنے والا اصول دوسرے کے لیے کچھ نہیں کرتا۔ پہلے عمل اور ڈیٹا کا نام لیں، پھر وہ جزو منتخب کریں جو واقعی انہیں دیکھ سکتا ہے۔
ایک درخواست، دو تقاضے
پہلا تقاضہ رسائی کے بارے میں ہے: کون سے صارفین اور آلات کس سروس سے رابطہ کھول سکتے ہیں۔ دوسرا اس رابطے کے وجود کے بعد کے رویے کے بارے میں ہے: کون سی دستاویزات منسلک، چسپاں یا اپ لوڈ کی جا سکتی ہیں۔ سرنگ پہلے پر کام کرتی ہے اور ڈیزائن کے مطابق دوسرے کے لیے اندھی ہے۔
IP سطح کا کنٹرول پیکٹ آگے بھیجتا ہے۔ یہ کثیر حصوں والے اپ لوڈ کا تجزیہ نہیں کرتا، PDF نہیں دیکھتا اور یہ طے نہیں کرتا کہ اسپریڈ شیٹ میں اکاؤنٹ نمبر ہیں یا نہیں۔ اس سے ایسی توقع کرنا کنفیگریشن کی غلطی نہیں؛ یہ زمرے کی غلطی ہے۔
پروڈکٹ تلاش کرنے سے پہلے تقاضے کو اسی شکل میں بلند آواز سے کہیں۔ «صارفین فائل پورٹل تک پہنچ سکتے ہیں» اور «صارفین گاہک فہرستیں فائل پورٹل پر اپ لوڈ نہیں کر سکتے» الگ جملے ہیں، اور صرف دوسرا ہی مواد کی پالیسی بیان کرتا ہے۔
وہ جزو منتخب کریں جو فائل دیکھ سکتا ہے
نفاذ وہاں ہونا چاہیے جہاں فائل پڑھی جا سکتی ہے۔ ای میل کے لیے یہ عام طور پر میل پلیٹ فارم یا گیٹ وے ہوتا ہے، جو پہلے سے منسلکات سنبھالتا ہے اور ترسیل سے پہلے ان کا جائزہ لے سکتا ہے۔ منظور شدہ سروس میں براؤزر اپ لوڈ کے لیے خود ایپلیکیشن واحد فریق ہو سکتی ہے جو مواد دیکھتا ہے۔ زیر انتظام لیپ ٹاپ فائلوں کو ہٹانے کے قابل میڈیا پر کاپی کرتا ہے تو اینڈ پوائنٹ ایجنٹ وہ عمل دیکھتا ہے۔
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
کچھ تجارتی دور رسائی پیکیج اینڈ پوائنٹ ایجنٹ، ویب کنٹرول اور ڈیٹا ضیاع کی روک تھام کا ماڈیول ایک ساتھ دیتے ہیں۔ وہ اجزا مواد کی پالیسی نافذ کر سکتے ہیں، لیکن صلاحیت سرنگ کی نہیں، ماڈیول کی ہے۔ نتیجے کا وعدہ کرنے سے پہلے پڑھیں کہ پیکیج میں واقعی کیا ہے۔
موازنے کے لیے مفید نمونہ Microsoft کا Purview ڈیٹا ضیاع کی روک تھام کا جائزہ ہے: یہ پالیسیوں کو حساس معلومات کی اقسام، مقامات اور سرگرمیوں کے لحاظ سے بیان کرتا ہے۔ وہ اصطلاحات مواد اور اعمال کے بارے میں ہیں، IP سابقوں کے بارے میں نہیں۔
TLS سرنگ سے بچ نکلا ہے، اس لیے اس کی منصوبہ بندی کریں
ایپلیکیشن کی خفیہ کاری کلائنٹ اور سروس کے درمیان طے ہوتی ہے، اور VPN سرنگ ان بائٹس کو کھولے بغیر لے جاتی ہے۔ لہٰذا راستے کا گیٹ وے خود بخود منسلکہ کی درجہ بندی کی صلاحیت نہیں پاتا، راستے کا کتنا حصہ اس کا ہو۔
سفر کے دوران مواد جانچنے کے لیے ایسا جزو درکار ہے جو قابل اعتماد سند کے ساتھ TLS ختم کرے، اور یہ اپنے نجی اور عملی نتائج والا بڑا معماری فیصلہ ہے۔ یہ VPN پروفائل کا چیک باکس نہیں۔ کلائنٹ کو جانچ کے سند پر بھروسہ کرنا ہوگا، سندیں پن کرنے والی ایپلیکیشنز ٹوٹ جائیں گی، اور آپریٹر کو وہ ٹریفک پڑھنے کی صلاحیت ملتی ہے جو پہلے نہیں پڑھ سکتا تھا۔ یہی وجوہات ہیں کہ یہ فیصلہ سرنگ چلانے والے کا نہیں، سیکیورٹی کے مالک کا ہے۔
اسی لیے «کیا VPN یہ اپ لوڈ روک سکتا ہے» کا ایماندار جواب عام طور پر نہیں ہے، اور اس کے بعد ایک ٹھوس متبادل آتا ہے۔ متبادل ایپلیکیشن سطح کی پابندیاں، میل کا اصول یا اینڈ پوائنٹ پالیسی ہو سکتا ہے، اور ہر ایک کا ایک مالک ہے جو اسے بدل سکتا ہے۔
اصول سے پہلے قبولیت کا امتحان لکھیں
مواد کے اصول کو ایک نہیں، دو مثالیں درکار ہیں: ایک اجازت شدہ عمل جو جاری رہنا چاہیے، اور ایک ممنوع عمل جو روکا جانا چاہیے۔ دائرے کی ایپلیکیشنز اور آلات سے دونوں جانچیں، کیونکہ صرف ایک براؤزر میں چلنے والی پالیسی وہ پالیسی نہیں جو کسی نے مانگی ہو۔
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadپہلی درخواست کو اصول رکھنے والا جزو مسترد کرے، اور دوسری کامیاب ہونی چاہیے۔ دونوں کامیاب ہوں تو کنٹرول راستے میں نہیں ہے۔ دونوں ناکام ہوں تو آپ نے سروس کو بچانے کے بجائے توڑ دیا ہے، جو اجازت شدہ مثال کے بغیر لکھے گئے اصول کا زیادہ عام نتیجہ ہے۔
پہلے سے طے کریں کہ صارف کیا دیکھتا ہے، کون استثنا دے سکتا ہے اور منتظم بعد میں کہاں فیصلے کی تصدیق کرتا ہے۔ پیغام کے بغیر روکی گئی اپ لوڈ معاونت کی ٹکٹ بناتی ہے، اور جس اصول کا کوئی آڈٹ نہیں کر سکتا وہ بحث بناتا ہے۔ پالیسی نافذ ہونے سے پہلے لکھے گئے ایک جملے کی دستاویز سے دونوں ٹالے جا سکتے ہیں۔
آخر میں، دونوں تقاضے الگ مالکان کے ساتھ الگ ٹکٹوں میں رکھیں۔ انہیں «VPN» کے تحت یکجا کرنا یقینی بناتا ہے کہ نیٹ ورک ٹیم سے مواد کا مسئلہ حل کرنے کو کہا جائے گا، اور سرنگ چڑھتے ہی مواد کا مسئلہ حل شدہ قرار دیا جائے گا۔