Kio plia estas en via VPN-agento? Superrigardo modulo post modulo

Kompari administritan VPN-agenton kun la enkonstruita kliento de la operaciumo komenciĝas malbone, kiam la komparo estas inter tunelo kaj tunelo. La instalilo kutime alportas plurajn komponantojn, kaj nur unu el ili portas privatan retan trafikon. La ceteraj povas trakti videblecon, sintenon, DNS-politikon aŭ inventaron de finpunktoj, ĉiu kun sia propra agordo kaj sia propra datenfluo. Petu la liston de instalitaj komponantoj antaŭ ol kompari ion ajn, ĉar la produkta nomo ne estas la deplojo.

Petu la komponantan liston, ne la produktonomon

Por ĉiu instalita komponanto, notu kvin faktojn: ĝian celon, kiu posedas ĝian agordon, kun kiuj privilegioj ĝi funkcias, kiel ĝi estas ĝisdatigata kaj kiel ĝi estas forigata. Tiuj kvin respondoj transformas nebulan zorgon en revideblan inventaron. Ili ankaŭ malkaŝas la komponantojn, kiujn neniu rigardis ekde la provo.

Apartigu la tunelan servon de iu ajn memstare deplojita videbleca, DNS-a aŭ sintena funkcio. Modulo, kiu observas fluojn, estas alia afero ol modulo, kiu enkursigas ilin, eĉ kiam ambaŭ venas en la sama pako.

Ne deduku la inventaron el emblemo aŭ el licenca paĝo. Deduku ĝin el la instalitaj dosieroj, la kurantaj servoj kaj la agordo, kiun oni efektive puŝas al la aparato.

Tri demandoj decidas, ĉu la agento restu

Unue, ĉu iu postulata laborfluo dependas de modulo, kiun indiĝena profilo ne povas anstataŭigi? Sintenaj kontroloj, DNS-politiko de dividita tunelo kaj fluvidebleco estas la kutimaj respondoj, kaj ĉiu havas alian anstataŭigan koston. Due, kiuj datenoj forlasas la aparaton, al kiu, sub kiu politiko kaj por kiom longe? Tiu demando temas pri la agordo de la modulo, ne pri ĝia ekzisto.

Trie, kiu prizorgas la aferon? Modulo, kiun neniu ĝisdatigas, estas ŝarĝo, ĉu ĝi oportunas aŭ ne. Se la respondo estas ni traktos tion, la honesta komparo estas inter administrita kapablo kaj neadministrita.

Respondu al ĉiuj tri antaŭ ol kompari interfacojn, ĉar pli malgranda interfaco ne estas pli malgranda deplojo.

Kion la videbleca modulo dokumentas, kaj kion ne

La Reta Videbleca Modulo de Cisco Secure Client estas utila konkreta ekzemplo. Ĝia administrada gvidilo por eldono 5.1 priskribas la kolektadon de flukunteksto, inkluzive informojn pri finpunktoj kaj aplikaĵoj, kaj dokumentas kolektajn politikojn, kiuj decidas, kion oni kolektas.

Tio konstatas kapablon de unu modulo en unu eldono. Ĝi ne konstatas, ke via organizo instalis ĝin, ŝaltis ĉiun kampon aŭ sendas la rezulton ien. Tiuj estas deploaj faktoj, kaj nur la deplojo povas respondi ilin.

Traktu la dokumentaron de la vendanto kiel la limon de tio, kio eblas, kaj la agordon de la aparato mem kiel la limon de tio, kio okazas.

Kompari indiĝenan profilon laŭ la samaj kriterioj

Indiĝena profilo povas esti la aprobita kaj pli simpla aranĝo, kaj ĝi ankaŭ povas esti tunelo, kiu faligas laborfluon, kiun neniu pensis kontroli. Protokolkompatindeco, aŭtentiga metodo, enkursiga kaj DNS-politiko, traktado de paneoj kaj administraj postuloj estas la kvin komparpunktoj, kaj oni devas respondi ilin por ambaŭ flankoj.

Ne forigu postulatan modulon silente. Akiru aprobon por la alternativo kaj dokumentu, kien ĉiu respondeco translokiĝas, ĉar respondeco, kiu translokiĝas nenie, estas tiu, kiu fariĝas incidento.

Malfermitkoda havebleco, konata vendanto kaj pli malgranda fenestro estas tri malsamaj faktoj, kaj neniu el ili priskribas la privatecon de deplojita agordo.

Kontrolu la inventaron sur la aparato mem

Komencu de la instalitaj artefaktoj kaj la kurantaj servoj, ne de kalkultabelo. La artefakta listo estas mallonga, ĝi estas loka, kaj ĝi solvas disputojn, kiujn politikaj dokumentoj ne povas.

Poste kunrilatigu tion, kion vi trovis, kun la politiko, kiu devus validi por tiu aparato.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

En Windows la samaj pruvoj venas de servoj, procezoj kaj la registra ŝlosilo de la vendanto, kaj la modullisto kutime videblas en la instala dosierujo. Kolektu la tri eligojn, aldonu ilin al la revizio kaj petu la posedanton konfirmi, kiuj el tiuj komponantoj estas intencaj. Kiam ĉiu komponanto havas celon, posedanton kaj forigvojon, la elekto inter agento kaj indiĝena profilo fariĝas decido anstataŭ debato.