Šta još ima u vašem VPN agentu? Pregled modul po modul

Poređenje upravljanog VPN agenta s ugrađenim klijentom operativnog sistema počinje loše kada je poređenje između tunela i tunela. Instalater obično donosi nekoliko komponenti, a samo jedna od njih prenosi privatni mrežni saobraćaj. Ostale se mogu baviti vidljivošću, stanjem, DNS politikom ili popisom krajnjih tačaka, svaka sa svojom konfiguracijom i svojim tokom podataka. Zatražite listu instaliranih komponenti prije nego što bilo šta uporedite, jer naziv proizvoda nije implementacija.

Zatražite listu komponenti, ne naziv proizvoda

Za svaku instaliranu komponentu zapišite pet činjenica: njenu svrhu, ko posjeduje njenu konfiguraciju, s kojim privilegijama radi, kako se ažurira i kako se uklanja. Tih pet odgovora pretvaraju nejasnu brigu u popis koji se može pregledati. Oni otkrivaju i komponente koje niko nije pogledao od pilot-projekta.

Odvojite tunelsku uslugu od bilo koje nezavisno implementirane funkcije vidljivosti, DNS-a ili stanja. Modul koji posmatra tokove nije isto što i modul koji ih usmjerava, čak i kada se oba isporučuju u istom paketu.

Ne izvodite popis iz logotipa ili stranice s licencom. Izvedite ga iz instaliranih datoteka, pokrenutih usluga i konfiguracije koja se zaista šalje na uređaj.

Tri pitanja odlučuju hoće li agent ostati

Prvo, zavisi li neki obavezni tok rada od modula koji ugrađeni profil ne može zamijeniti? Provjere stanja, DNS politika podijeljenog tunela i vidljivost tokova uobičajeni su odgovori, a svaki ima drugačiju cijenu zamjene. Drugo, koji podaci napuštaju uređaj, kome, po kojoj politici i na koliko dugo? To pitanje se tiče konfiguracije modula, a ne njegovog postojanja.

Treće, ko održava stvar? Modul koji niko ne ažurira je teret, bilo da je zgodan ili ne. Ako odgovor bude pozabavit ćemo se time, pošteno poređenje je između upravljane sposobnosti i neupravljane.

Odgovorite na sva tri prije nego što uporedite interfejse, jer manji interfejs nije manja implementacija.

Šta modul vidljivosti dokumentuje, a šta ne

Mrežni modul vidljivosti u Cisco Secure Client korisan je konkretan primjer. Njegov administrativni vodič za izdanje 5.1 opisuje prikupljanje konteksta tokova, uključujući informacije o krajnjim tačkama i aplikacijama, i dokumentuje politike prikupljanja koje odlučuju šta se prikuplja.

To utvrđuje sposobnost jednog modula u jednom izdanju. To ne utvrđuje da ga je vaša organizacija instalirala, da je uključila svako polje ili da rezultat negdje šalje. To su činjenice implementacije, a na njih može odgovoriti samo implementacija.

Tretirajte dokumentaciju dobavljača kao granicu onoga što je moguće, a konfiguraciju samog uređaja kao granicu onoga što se događa.

Poređenje ugrađenog profila po istim kriterijima

Ugrađeni profil može biti odobreno i jednostavnije rješenje, a može biti i tunel koji ispušta tok rada za koji se niko nije sjetio provjeriti. Kompatibilnost protokola, metoda autentifikacije, politika ruta i DNS-a, rukovanje kvarovima i zahtjevi upravljanja pet su tačaka poređenja i na njih se mora odgovoriti za obje strane.

Ne uklanjajte obavezni modul tiho. Pribavite odobrenje za alternativu i dokumentujte kuda se koja odgovornost premješta, jer odgovornost koja se nigdje ne premješta postaje incident.

Dostupnost otvorenog koda, poznat dobavljač i manji prozor tri su različite činjenice i nijedna od njih ne opisuje privatnost implementirane konfiguracije.

Provjerite popis na samom uređaju

Pođite od instaliranih artefakata i pokrenutih usluga, a ne od tabele. Lista artefakata je kratka, lokalna je i rješava sporove koje politički dokumenti ne mogu.

Zatim povežite ono što ste našli s politikom koja bi trebalo da se primjenjuje na taj uređaj.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Na Windowsu isti dokazi dolaze iz usluga, procesa i registarskog ključa dobavljača, a lista modula je obično vidljiva u instalacijskom direktoriju. Prikupite tri izlaza, priložite ih pregledu i zamolite vlasnika da potvrdi koje su od tih komponenti namjerne. Kada svaka komponenta ima svrhu, vlasnika i put uklanjanja, izbor između agenta i ugrađenog profila postaje odluka, a ne rasprava.