Какво още има във вашия VPN агент? Преглед модул по модул

Сравняването на управляван VPN агент с вградения клиент на операционната система започва зле, когато сравнението е между тунел и тунел. Инсталаторът обикновено носи няколко компонента и само един от тях пренася частен мрежов трафик. Останалите може да се занимават с видимост, състояние, DNS политика или инвентаризация на крайни точки, всеки със своя конфигурация и свой поток от данни. Поискайте списъка с инсталираните компоненти, преди да сравнявате каквото и да е, защото името на продукта не е внедряването.

Поискайте списъка с компоненти, а не името на продукта

За всеки инсталиран компонент запишете пет факта: предназначението му, кой притежава конфигурацията му, с какви права работи, как се обновява и как се премахва. Тези пет отговора превръщат едно неясно притеснение в подлежаща на преглед инвентаризация. Те разкриват и компонентите, към които никой не е поглеждал от пилота насам.

Отделете тунелната услуга от всяка самостоятелно внедрена функция за видимост, DNS или състояние. Модул, който наблюдава потоците, е различно нещо от модул, който ги маршрутизира, дори когато и двата се доставят в един пакет.

Не извеждайте инвентаризацията от лого или от страница с лиценз. Изведете я от инсталираните файлове, работещите услуги и конфигурацията, действително изпратена до устройството.

Три въпроса решават дали агентът остава

Първо, зависи ли някой задължителен работен процес от модул, който вграденият профил не може да замести? Проверките на състоянието, DNS политиката за разделен тунел и видимостта на потоците са обичайните отговори и всяко от тях има различна цена на замяна. Второ, какви данни напускат устройството, към кого, при каква политика и за колко време? Този въпрос е за конфигурацията на модула, а не за съществуването му.

Трето, кой поддържа нещото? Модул, който никой не обновява, е тежест, независимо дали е удобен. Ако отговорът е ще стигнем и до него, честното сравнение е между управлявана възможност и неуправлявана.

Отговорете на трите въпроса, преди да сравнявате интерфейси, защото по-малък интерфейс не е по-малко внедряване.

Какво документира модулът за видимост и какво не

Модулът за видимост на мрежата в Cisco Secure Client е полезен конкретен пример. Неговото ръководство за администриране за издание 5.1 описва събирането на контекст за потоците, включително информация за крайни точки и приложения, и документира политики за събиране, които определят какво се събира.

Това установява възможност на един модул в едно издание. То не установява, че вашата организация го е инсталирала, че е включила всяко поле или че изпраща резултата някъде. Това са факти за внедряването и само внедряването може да отговори на тях.

Третирайте документацията на доставчика като граница на възможното и третирайте собствената конфигурация на устройството като граница на случващото се.

Сравняване на вграден профил по същите критерии

Вграденият профил може да е одобрената и по-проста уредба, а може и да е тунел, който изпуска работен процес, за който никой не се е сетил да провери. Съвместимостта на протокола, методът за удостоверяване, политиката за маршрути и DNS, обработката на откази и изискванията за управление са петте точки за сравнение и на тях трябва да се отговори за двете страни.

Не премахвайте тихо задължителен модул. Получете одобрение за алтернативата и документирайте къде се премества всяка отговорност, защото отговорността, която не се премества никъде, е тази, която става инцидент.

Достъпността с отворен код, познатият доставчик и по-малкият прозорец са три различни факта и нито един от тях не описва поверителността на внедрена конфигурация.

Проверете инвентаризацията на самото устройство

Започнете от инсталираните артефакти и работещите услуги, а не от електронна таблица. Списъкът с артефакти е кратък, локален е и решава спорове, които документите за политика не могат.

След това съпоставете намереното с политиката, която би трябвало да се прилага за това устройство.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

В Windows същите доказателства идват от услуги, процеси и регистърния ключ на доставчика, а списъкът с модули обикновено се вижда в инсталационната директория. Съберете трите изхода, приложете ги към прегледа и помолете собственика да потвърди кои от тези компоненти са умишлени. Когато всеки компонент има предназначение, собственик и път за премахване, изборът между агент и вграден профил става решение, а не спор.