Hvad ellers ligger i din VPN-agent? En gennemgang modul for modul

Sammenligningen af en administreret VPN-agent med operativsystemets indbyggede klient begynder dårligt, når sammenligningen er mellem en tunnel og en tunnel. Installationsprogrammet medbringer normalt flere komponenter, og kun én af dem bærer privat netværkstrafik. Resten kan håndtere synlighed, tilstand, DNS-politik eller opgørelse over endpoints, hver med sin egen konfiguration og sin egen dataflow. Bed om listen over installerede komponenter, før du sammenligner noget, for produktnavnet er ikke udrulningen.

Bed om komponentlisten, ikke produktnavnet

For hver installeret komponent skal du skrive fem fakta ned: dens formål, hvem der ejer dens konfiguration, hvilke rettigheder den kører med, hvordan den opdateres, og hvordan den fjernes. De fem svar gør en vag bekymring til en gennemgangsbar opgørelse. De afslører også de komponenter, som ingen har set på siden piloten.

Adskil tunneltjenesten fra enhver selvstændigt udrullet synligheds-, DNS- eller tilstandsfunktion. Et modul, der observerer flows, er noget andet end et modul, der dirigerer dem, selv når begge leveres i samme pakke.

Udled ikke opgørelsen af et logo eller en licensside. Udled den af de installerede filer, de kørende tjenester og den konfiguration, der faktisk sendes til enheden.

Tre spørgsmål afgør, om agenten skal blive

For det første, afhænger et påkrævet arbejdsforløb af et modul, som en indbygget profil ikke kan erstatte? Tilstandskontroller, DNS-politik for delt tunnel og flow-synlighed er de sædvanlige svar, og hver har en forskellig erstatningspris. For det andet, hvilke data forlader enheden, til hvem, under hvilken politik og i hvor lang tid? Det spørgsmål handler om modulets konfiguration, ikke om dets eksistens.

For det tredje, hvem vedligeholder det? Et modul, som ingen opdaterer, er en belastning, uanset om det er bekvemt. Hvis svaret er, at vi kommer til det, er den ærlige sammenligning mellem en administreret evne og en uadministreret.

Svar på alle tre, før du sammenligner grænseflader, for en mindre grænseflade er ikke en mindre udrulning.

Hvad synlighedsmodulet dokumenterer, og hvad det ikke gør

Network Visibility Module i Cisco Secure Client er et nyttigt konkret eksempel. Dets administrationsvejledning for udgivelse 5.1 beskriver indsamling af flowkontekst, herunder oplysninger om endpoints og applikationer, og det dokumenterer indsamlingspolitikker, der afgør, hvad der indsamles.

Det fastslår en evne hos ét modul i én udgivelse. Det fastslår ikke, at din organisation har installeret det, aktiveret hvert felt eller sender resultatet nogen steder hen. Det er udrulningsfakta, og kun udrulningen kan svare på dem.

Behandl leverandørdokumentation som grænsen for, hvad der er muligt, og enhedens egen konfiguration som grænsen for, hvad der sker.

At sammenligne en indbygget profil på de samme kriterier

En indbygget profil kan være den godkendte og enklere ordning, og den kan også være en tunnel, der taber et arbejdsforløb, som ingen tænkte på at kontrollere. Protokolkompatibilitet, godkendelsesmetode, rute- og DNS-politik, fejlhåndtering og administrationskrav er de fem sammenligningspunkter, og de skal besvares for begge sider.

Fjern ikke et påkrævet modul i stilhed. Få godkendelse af alternativet, og dokumentér, hvor hvert ansvar flytter hen, for et ansvar, der ikke flytter nogen steder hen, er det, der bliver en hændelse.

Open source-tilgængelighed, en velkendt leverandør og et mindre vindue er tre forskellige fakta, og ingen af dem beskriver fortroligheden af en udrullet konfiguration.

Kontroller opgørelsen på selve enheden

Start med de installerede artefakter og de kørende tjenester i stedet for et regneark. Artefaktlisten er kort, den er lokal, og den afgør diskussioner, som politikdokumenter ikke kan.

Korrelér derefter det, du fandt, med den politik, der burde gælde for den enhed.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

På Windows kommer de samme beviser fra tjenester, processer og leverandørens registernøgle, og modullisten er normalt synlig i installationsmappen. Indsaml de tre output, vedlæg dem gennemgangen, og bed ejeren bekræfte, hvilke af komponenterne der er tilsigtede. Når hver komponent har et formål, en ejer og en fjernelsesvej, bliver valget mellem agent og indbygget profil en beslutning i stedet for en debat.