Co dalšího je ve vašem agentu VPN? Přehled modul po modulu

Srovnávání spravovaného agenta VPN s vestavěným klientem operačního systému začíná špatně, když se srovnává tunel s tunelem. Instalátor obvykle přináší několik komponent a jen jedna z nich přenáší soukromý síťový provoz. Ostatní se mohou starat o viditelnost, stav, zásady DNS nebo inventář koncových bodů, každá s vlastní konfigurací a vlastním tokem dat. Než cokoli srovnáte, vyžádejte si seznam nainstalovaných komponent, protože název produktu není nasazení.

Vyžádejte si seznam komponent, ne název produktu

U každé nainstalované komponenty zapište pět skutečností: její účel, kdo vlastní její konfiguraci, s jakými oprávněními běží, jak se aktualizuje a jak se odstraňuje. Těchto pět odpovědí mění neurčitou obavu na inventář, který lze projít. Odhalují také komponenty, na které se od pilotu nikdo nepodíval.

Oddělte tunelovou službu od jakékoli samostatně nasazené funkce viditelnosti, DNS nebo stavu. Modul, který toky pozoruje, je jiná věc než modul, který je směruje, i když se oba dodávají ve stejném balíčku.

Neodvozujte inventář z loga ani z licenční stránky. Odvoďte ho z nainstalovaných souborů, běžících služeb a konfigurace, která se zařízení skutečně posílá.

O tom, zda agent zůstane, rozhodují tři otázky

Za prvé, závisí nějaký povinný pracovní postup na modulu, který vestavěný profil nedokáže nahradit? Kontroly stavu, zásady DNS rozděleného tunelu a viditelnost toků jsou obvyklé odpovědi a každá má jinou cenu náhrady. Za druhé, jaká data opouštějí zařízení, komu, podle jakých zásad a na jak dlouho? Ta otázka se týká konfigurace modulu, ne jeho existence.

Za třetí, kdo tu věc udržuje? Modul, který nikdo neaktualizuje, je zátěž, ať je pohodlný nebo ne. Pokud zní odpověď, že se k tomu dostaneme, je poctivé srovnání mezi spravovanou schopností a nespravovanou.

Odpovězte na všechny tři dřív, než začnete srovnávat rozhraní, protože menší rozhraní není menší nasazení.

Co modul viditelnosti dokumentuje a co ne

Modul viditelnosti sítě v Cisco Secure Client je užitečný konkrétní příklad. Jeho průvodce správou pro vydání 5.1 popisuje sběr kontextu toků včetně informací o koncových bodech a aplikacích a dokumentuje zásady sběru, které určují, co se shromažďuje.

To dokládá schopnost jednoho modulu v jednom vydání. Nedokládá to, že ho vaše organizace nainstalovala, zapnula každé pole nebo výsledek někam posílá. To jsou fakta o nasazení a odpovědět na ně může jen nasazení.

Berte dokumentaci dodavatele jako hranici možného a vlastní konfiguraci zařízení jako hranici toho, co se děje.

Srovnání vestavěného profilu podle stejných kritérií

Vestavěný profil může být schválené a jednodušší řešení, a může to být také tunel, který zahodí pracovní postup, na jehož ověření nikdo nepomyslel. Kompatibilita protokolů, metoda ověřování, zásady tras a DNS, ošetření výpadků a požadavky na správu jsou pět srovnávacích bodů a musí se na ně odpovědět pro obě strany.

Neodstraňujte povinný modul potichu. Získejte schválení alternativy a zdokumentujte, kam se která odpovědnost přesouvá, protože odpovědnost, která se nikam nepřesune, je ta, která se stane incidentem.

Dostupnost otevřeného kódu, známý dodavatel a menší okno jsou tři různé skutečnosti a žádná z nich nepopisuje soukromí nasazené konfigurace.

Ověřte inventář přímo na zařízení

Začněte od nainstalovaných artefaktů a běžících služeb, ne od tabulky. Seznam artefaktů je krátký, je místní a řeší spory, které dokumenty zásad vyřešit nedokážou.

Potom propojte to, co jste našli, se zásadami, které by se na to zařízení měly vztahovat.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Ve Windows pocházejí stejné důkazy ze služeb, procesů a klíče registru dodavatele a seznam modulů je obvykle vidět v instalačním adresáři. Sesbírejte tři výstupy, přiložte je k revizi a požádejte vlastníka, aby potvrdil, které z těch komponent jsou záměrné. Když má každá komponenta účel, vlastníka a cestu odstranění, volba mezi agentem a vestavěným profilem se stává rozhodnutím, ne debatou.