Што яшчэ ў вашым VPN-агент? Разгляд модуль за модулем

Параўнанне кіраванага VPN-агента са ўбудаваным кліентам аперацыйнай сістэмы пачынаецца дрэнна, калі параўнанне ідзе паміж тунелем і тунелем. Інсталятар звычайна прыносіць некалькі кампанентаў, і толькі адзін з іх нясе прыватны сеткавы трафік. Астатнія могуць займацца бачнасцю, станам, палітыкай DNS або інвентарызацыяй канчатковых пунктаў, і кожны мае сваю канфігурацыю і свой паток даных. Запытайце спіс усталяваных кампанентаў, перш чым нешта параўноўваць, бо назва прадукту не ёсць разгортванне.

Запытайце спіс кампанентаў, а не назву прадукту

Для кожнага ўсталяванага кампанента запішыце пяць фактаў: ягоную мэту, хто валодае яго канфігурацыяй, з якімі прывілеямі ён працуе, як ён абнаўляецца і як ён выдаляецца. Гэтыя пяць адказаў пераўтвараюць расплывістую занепакоенасць у інвентарызацыю, якую можна праверыць падчас агляду. Яны таксама выяўляюць кампаненты, на якія ніхто не глядзеў з часоў пілота.

Аддзяліце службу тунеля ад любой асобна разгорнутай функцыі бачнасці, DNS або стану. Модуль, які назірае за патокамі, — гэта іншае, чым модуль, які іх маршрутызуе, нават калі абодва пастаўляюцца ў адным пакеце.

Не выводзіце інвентарызацыю з лагатыпа або старонкі ліцэнзіі. Выводзіце яе з усталяваных файлаў, працуючых службаў і канфігурацыі, якая фактычна адпраўлена на прыладу.

Тры пытанні вырашаюць, ці пакідаць агент

Па-першае, ці залежыць які-небудзь патрабаваны працэс ад модуля, які ўласны профіль не можа замяніць? Праверкі стану, палітыка DNS для раздзеленага тунеля і бачнасць патокаў — звычайныя адказы, і кожны мае сваю цану замены. Па-другое, якія даныя пакідаюць прыладу, каму, пад якой палітыкай і на які тэрмін? Гэтае пытанне пра канфігурацыю модуля, а не пра яго існаванне.

Па-трэцяе, хто гэта падтрымлівае? Модуль, які ніхто не абнаўляе, — гэта рызыка, зручна гэта ці не. Калі адказ гучыць як мы дабяромся да гэтага, то сумленнае параўнанне — паміж кіраванай магчымасцю і некіраванай.

Адказвайце на ўсе тры пытанні, перш чым параўноўваць інтэрфейсы, бо меншы інтэрфейс не ёсць меншае разгортванне.

Што дакументуе модуль бачнасці, а што не

Модуль бачнасці сеткі ў Cisco Secure Client — карысны канкрэтны прыклад. Яго кіраўніцтва адміністратара для выпуску 5.1 апісвае збор кантэксту патокаў, уключаючы звесткі пра канчатковыя пункты і праграмы, і дакументуе палітыкі збору, якія вызначаюць, што збіраецца.

Гэта ўстанаўлівае магчымасць аднаго модуля ў адным выпуску. Гэта не ўстанаўлівае, што ваша арганізацыя ўсталявала яго, уключыла кожнае поле або некуды адпраўляе вынік. Гэта факты разгортвання, і адказаць на іх можа толькі разгортванне.

Стаўцеся да дакументацыі пастаўшчыка як да мяжы магчымага, а да ўласнай канфігурацыі прылады — як да мяжы таго, што адбываецца.

Параўнанне ўласнага профілю па тых жа крытэрыях

Уласны профіль можа быць зацверджаным і больш простым варыянтам, а можа быць тунелем, які губляе працэс, пра які ніхто не падумаў праверыць. Сумяшчальнасць пратаколаў, метад аўтэнтыфікацыі, палітыка маршрутаў і DNS, апрацоўка збояў і патрабаванні да кіравання — гэта пяць пунктаў параўнання, і на іх трэба адказаць для абодвух бакоў.

Не выдаляйце патрабаваны модуль моўчкі. Атрымайце ўхвалу альтэрнатывы і задокументуйце, куды пераходзіць адказнасць, бо адказнасць, якая нікуды не пераходзіць, і становіцца інцыдэнтам.

Даступнасць з адкрытым кодам, знаёмы пастаўшчык і меншае акно — гэта тры розныя факты, і ні адзін з іх не апісвае прыватнасць разгорнутай канфігурацыі.

Праверце інвентарызацыю на самой прыладзе

Пачніце з усталяваных артэфактаў і працуючых службаў, а не з табліцы. Спіс артэфактаў кароткі, ён лакальны і вырашае спрэчкі, якія палітычныя дакументы вырашыць не могуць.

Затым суаднясіце знойдзенае з палітыкай, якая павінна прымяняцца да гэтай прылады.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

У Windows тыя ж доказы паходзяць з службаў, працэсаў і ключа рэестра пастаўшчыка, а спіс модуляў звычайна бачны ў каталогу ўсталявання. Сабярыце тры вынікі, далучыце іх да агляду і папрасіце ўладальніка пацвердзіць, якія з гэтых кампанентаў наўмысныя. Калі кожны кампанент мае мэту, уладальніка і шлях выдалення, выбар паміж агентам і ўласным профілем становіцца рашэннем, а не спрэчкай.