Que contient d’autre votre agent VPN ? Un examen module par module

Comparer un agent VPN géré au client intégré du système d’exploitation commence mal lorsque la comparaison oppose un tunnel à un tunnel. L’installateur apporte généralement plusieurs composants, et un seul transporte du trafic réseau privé. Les autres peuvent gérer la visibilité, la posture, la politique DNS ou l’inventaire des points de terminaison, chacun avec sa propre configuration et son propre flux de données. Demandez la liste des composants installés avant de comparer quoi que ce soit, car le nom du produit n’est pas le déploiement.

Demandez la liste des composants, pas le nom du produit

Pour chaque composant installé, notez cinq faits : sa finalité, qui possède sa configuration, avec quels privilèges il s’exécute, comment il est mis à jour et comment il est retiré. Ces cinq réponses transforment une inquiétude vague en un inventaire vérifiable. Elles révèlent aussi les composants que personne n’a examinés depuis le pilote.

Séparez le service de tunnel de toute fonction de visibilité, de DNS ou de posture déployée séparément. Un module qui observe les flux est autre chose qu’un module qui les achemine, même lorsque les deux arrivent dans le même paquet.

Ne déduisez pas l’inventaire d’un logo ou d’une page de licence. Déduisez-le des fichiers installés, des services en cours d’exécution et de la configuration réellement poussée vers l’appareil.

Trois questions décident s’il faut garder l’agent

Premièrement, un flux de travail obligatoire dépend-il d’un module qu’un profil natif ne peut pas remplacer ? Les contrôles de posture, la politique DNS du tunnel divisé et la visibilité des flux sont les réponses habituelles, et chacune a un coût de remplacement différent. Deuxièmement, quelles données quittent l’appareil, vers qui, sous quelle politique et pendant combien de temps ? Cette question porte sur la configuration du module, pas sur son existence.

Troisièmement, qui maintient la chose ? Un module que personne ne met à jour est une charge, qu’il soit pratique ou non. Si la réponse est que nous y viendrons, la comparaison honnête est entre une capacité gérée et une capacité qui ne l’est pas.

Répondez aux trois avant de comparer des interfaces, car une interface plus petite n’est pas un déploiement plus petit.

Ce que le module de visibilité documente, et ce qu’il ne documente pas

Le module de visibilité réseau de Cisco Secure Client est un exemple concret utile. Son guide d’administration pour la version 5.1 décrit la collecte du contexte de flux, y compris les informations sur les points de terminaison et les applications, et documente les politiques de collecte qui décident de ce qui est recueilli.

Cela établit une capacité d’un module dans une version. Cela n’établit pas que votre organisation l’a installé, a activé chaque champ ou envoie le résultat quelque part. Ce sont des faits de déploiement, et seul le déploiement peut y répondre.

Traitez la documentation du fournisseur comme la limite du possible, et la configuration de l’appareil lui-même comme la limite de ce qui se produit.

Comparer un profil natif selon les mêmes critères

Un profil natif peut être l’arrangement approuvé et plus simple, et il peut aussi être un tunnel qui laisse tomber un flux de travail que personne n’a pensé à vérifier. La compatibilité des protocoles, la méthode d’authentification, la politique de routes et de DNS, la gestion des défaillances et les exigences d’administration sont les cinq points de comparaison, et il faut y répondre pour les deux côtés.

Ne retirez pas un module obligatoire en silence. Obtenez l’approbation de l’alternative et documentez où se déplace chaque responsabilité, car une responsabilité qui ne va nulle part est celle qui devient un incident.

La disponibilité en open source, un fournisseur familier et une fenêtre plus petite sont trois faits différents, et aucun ne décrit la confidentialité d’une configuration déployée.

Vérifiez l’inventaire sur l’appareil lui-même

Partez des artefacts installés et des services en cours d’exécution plutôt que d’un tableur. La liste des artefacts est courte, elle est locale et elle tranche des discussions que les documents de politique ne peuvent pas.

Corrélez ensuite ce que vous avez trouvé avec la politique censée s’appliquer à cet appareil.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Sous Windows, les mêmes preuves viennent des services, des processus et de la clé de registre du fournisseur, et la liste des modules est généralement visible dans le répertoire d’installation. Rassemblez les trois sorties, joignez-les à l’examen et demandez au propriétaire de confirmer lesquels de ces composants sont intentionnels. Quand chaque composant a une finalité, un propriétaire et un chemin de retrait, le choix entre agent et profil natif devient une décision et non un débat.