Què més hi ha al vostre agent VPN? Una revisió mòdul per mòdul

Comparar un agent VPN gestionat amb el client integrat del sistema operatiu comença malament quan la comparació és entre un túnel i un túnel. L’instal·lador normalment porta diversos components, i només un d’ells transporta trànsit de xarxa privada. La resta poden gestionar visibilitat, postura, política de DNS o inventari de punts finals, cada un amb la seva configuració i el seu flux de dades. Demaneu la llista de components instal·lats abans de comparar res, perquè el nom del producte no és el desplegament.

Demaneu la llista de components, no el nom del producte

Per a cada component instal·lat, anoteu cinc fets: la seva finalitat, qui és el propietari de la seva configuració, amb quins privilegis s’executa, com s’actualitza i com es retira. Aquestes cinc respostes converteixen una preocupació vaga en un inventari revisable. També revelen els components que ningú no ha mirat des del pilot.

Separeu el servei de túnel de qualsevol funció de visibilitat, DNS o postura desplegada de manera independent. Un mòdul que observa fluxos és una cosa diferent d’un mòdul que els encamina, fins i tot quan tots dos arriben al mateix paquet.

No deduïu l’inventari d’un logotip ni d’una pàgina de llicència. Deduïu-lo dels fitxers instal·lats, dels serveis en execució i de la configuració que realment s’envia al dispositiu.

Tres preguntes decideixen si es manté l’agent

Primer, algun flux de treball obligatori depèn d’un mòdul que un perfil natiu no pugui substituir? Les comprovacions de postura, la política de DNS del túnel dividit i la visibilitat de fluxos són les respostes habituals, i cada una té un cost de substitució diferent. Segon, quines dades surten del dispositiu, cap a qui, sota quina política i durant quant de temps? Aquesta pregunta tracta de la configuració del mòdul, no de la seva existència.

Tercer, qui manté la cosa? Un mòdul que ningú no actualitza és una càrrega, tant si és convenient com si no. Si la resposta és que ja hi arribarem, la comparació honesta és entre una capacitat gestionada i una de no gestionada.

Responeu les tres preguntes abans de comparar interfícies, perquè una interfície més petita no és un desplegament més petit.

Què documenta el mòdul de visibilitat i què no

El mòdul de visibilitat de xarxa de Cisco Secure Client és un exemple concret útil. La seva guia d’administració per a la versió 5.1 descriu la recollida de context de flux, incloent-hi informació sobre punts finals i aplicacions, i documenta les polítiques de recollida que decideixen què es recull.

Això estableix una capacitat d’un mòdul en una versió. No estableix que la vostra organització l’hagi instal·lat, que hagi activat tots els camps o que enviï el resultat enlloc. Aquests són fets de desplegament, i només el desplegament els pot respondre.

Tracteu la documentació del proveïdor com el límit del que és possible, i la configuració del propi dispositiu com el límit del que passa.

Comparar un perfil natiu amb els mateixos criteris

Un perfil natiu pot ser l’arranjament aprovat i més simple, i també pot ser un túnel que deixa caure un flux de treball que ningú no va pensar a comprovar. La compatibilitat de protocols, el mètode d’autenticació, la política de rutes i DNS, la gestió de fallades i els requisits de gestió són els cinc punts de comparació, i cal respondre’ls per a les dues bandes.

No retireu un mòdul obligatori en silenci. Obteniu l’aprovació de l’alternativa i documenteu cap a on es trasllada cada responsabilitat, perquè una responsabilitat que no va enlloc és la que es converteix en un incident.

La disponibilitat de codi obert, un proveïdor conegut i una finestra més petita són tres fets diferents, i cap d’ells no descriu la privadesa d’una configuració desplegada.

Comproveu l’inventari al propi dispositiu

Partiu dels artefactes instal·lats i dels serveis en execució, no d’un full de càlcul. La llista d’artefactes és curta, és local i resol discussions que els documents de política no poden.

Després correleu el que heu trobat amb la política que hauria d’aplicar-se a aquell dispositiu.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

A Windows les mateixes proves vénen de serveis, processos i la clau de registre del proveïdor, i la llista de mòduls sol ser visible al directori d’instal·lació. Recolliu les tres sortides, adjunteu-les a la revisió i demaneu al propietari que confirmi quins d’aquests components són intencionats. Quan cada component té una finalitat, un propietari i una via de retirada, l’elecció entre agent i perfil natiu es converteix en una decisió i no en un debat.