Was steckt sonst noch in Ihrem VPN-Agenten? Eine Prüfung Modul für Modul

Der Vergleich eines verwalteten VPN-Agenten mit dem im Betriebssystem eingebauten Client beginnt schlecht, wenn dabei ein Tunnel mit einem Tunnel verglichen wird. Der Installer bringt meist mehrere Komponenten mit, und nur eine davon trägt privaten Netzwerkverkehr. Die übrigen können Sichtbarkeit, Haltung, DNS-Richtlinien oder Endpunktinventar übernehmen, jede mit eigener Konfiguration und eigenem Datenfluss. Fordern Sie die Liste der installierten Komponenten an, bevor Sie irgendetwas vergleichen, denn der Produktname ist nicht die Bereitstellung.

Fordern Sie die Komponentenliste an, nicht den Produktnamen

Notieren Sie für jede installierte Komponente fünf Fakten: ihren Zweck, wer ihre Konfiguration verantwortet, mit welchen Rechten sie läuft, wie sie aktualisiert wird und wie sie entfernt wird. Diese fünf Antworten machen aus einer vagen Sorge ein prüfbares Inventar. Sie zeigen auch die Komponenten, die seit dem Pilotprojekt niemand angesehen hat.

Trennen Sie den Tunneldienst von jeder eigenständig bereitgestellten Sichtbarkeits-, DNS- oder Haltungsfunktion. Ein Modul, das Flüsse beobachtet, ist etwas anderes als ein Modul, das sie weiterleitet, auch wenn beide im selben Paket ausgeliefert werden.

Leiten Sie das Inventar nicht aus einem Logo oder einer Lizenzseite ab. Leiten Sie es aus den installierten Dateien, den laufenden Diensten und der Konfiguration ab, die tatsächlich auf das Gerät ausgerollt wird.

Drei Fragen entscheiden, ob der Agent bleibt

Erstens, hängt ein erforderlicher Arbeitsablauf von einem Modul ab, das ein natives Profil nicht ersetzen kann? Haltungsprüfungen, DNS-Richtlinien für geteilte Tunnel und Flusssichtbarkeit sind die üblichen Antworten, und jede hat andere Ersatzkosten. Zweitens, welche Daten verlassen das Gerät, an wen, unter welcher Richtlinie und für wie lange? Diese Frage betrifft die Konfiguration des Moduls, nicht seine Existenz.

Drittens, wer pflegt die Sache? Ein Modul, das niemand aktualisiert, ist eine Last, ob es bequem ist oder nicht. Wenn die Antwort lautet, dass wir uns darum kümmern, ist der ehrliche Vergleich der zwischen einer verwalteten und einer unverwalteten Fähigkeit.

Beantworten Sie alle drei, bevor Sie Oberflächen vergleichen, denn eine kleinere Oberfläche ist keine kleinere Bereitstellung.

Was das Sichtbarkeitsmodul dokumentiert und was nicht

Das Network Visibility Module von Cisco Secure Client ist ein brauchbares konkretes Beispiel. Sein Administrationshandbuch für Release 5.1 beschreibt das Sammeln von Flusskontext, einschließlich Informationen zu Endpunkten und Anwendungen, und dokumentiert Sammelrichtlinien, die festlegen, was erhoben wird.

Das belegt eine Fähigkeit eines Moduls in einer Version. Es belegt nicht, dass Ihre Organisation es installiert, jedes Feld aktiviert oder das Ergebnis irgendwohin sendet. Das sind Bereitstellungsfakten, und nur die Bereitstellung kann sie beantworten.

Behandeln Sie Herstellerdokumentation als Grenze des Möglichen und die Konfiguration des Geräts selbst als Grenze dessen, was geschieht.

Ein natives Profil nach denselben Kriterien vergleichen

Ein natives Profil kann die genehmigte und einfachere Lösung sein, und es kann auch ein Tunnel sein, der einen Arbeitsablauf fallen lässt, den niemand zu prüfen gedachte. Protokollkompatibilität, Authentifizierungsmethode, Routen- und DNS-Richtlinien, Fehlerbehandlung und Verwaltungsanforderungen sind die fünf Vergleichspunkte, und sie müssen für beide Seiten beantwortet werden.

Entfernen Sie ein erforderliches Modul nicht stillschweigend. Holen Sie die Genehmigung für die Alternative ein und dokumentieren Sie, wohin welche Verantwortung wandert, denn eine Verantwortung, die nirgendwohin wandert, wird zum Vorfall.

Open-Source-Verfügbarkeit, ein vertrauter Hersteller und ein kleineres Fenster sind drei verschiedene Fakten, und keiner davon beschreibt die Vertraulichkeit einer bereitgestellten Konfiguration.

Prüfen Sie das Inventar auf dem Gerät selbst

Beginnen Sie bei den installierten Artefakten und den laufenden Diensten statt bei einer Tabelle. Die Artefaktliste ist kurz, sie ist lokal, und sie entscheidet Streitfragen, die Richtliniendokumente nicht entscheiden können.

Verknüpfen Sie dann das Gefundene mit der Richtlinie, die für dieses Gerät gelten soll.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Unter Windows stammen dieselben Belege aus Diensten, Prozessen und dem Registrierungsschlüssel des Herstellers, und die Modulliste ist meist im Installationsverzeichnis sichtbar. Sammeln Sie die drei Ausgaben, hängen Sie sie an die Prüfung an und bitten Sie den Verantwortlichen zu bestätigen, welche dieser Komponenten beabsichtigt sind. Wenn jede Komponente einen Zweck, einen Verantwortlichen und einen Entfernungspfad hat, wird die Wahl zwischen Agent und nativem Profil zu einer Entscheidung statt zu einer Debatte.