Što još ima u vašem VPN agentu? Pregled modul po modul

Usporedba upravljanog VPN agenta s ugrađenim klijentom operacijskog sustava počinje loše kada je usporedba između tunela i tunela. Instalater obično donosi nekoliko komponenti, a samo jedna od njih prenosi privatni mrežni promet. Ostale se mogu baviti vidljivošću, stanjem, DNS politikom ili popisom krajnjih točaka, svaka sa svojom konfiguracijom i svojim tokom podataka. Zatražite popis instaliranih komponenti prije nego što bilo što usporedite, jer naziv proizvoda nije implementacija.

Zatražite popis komponenti, a ne naziv proizvoda

Za svaku instaliranu komponentu zapišite pet činjenica: njezinu svrhu, kome pripada njezina konfiguracija, s kojim privilegijama radi, kako se ažurira i kako se uklanja. Tih pet odgovora pretvaraju nejasnu brigu u popis koji se može pregledati. Oni također otkrivaju komponente koje nitko nije pogledao od pilot projekta.

Odvojite tunelsku uslugu od svake neovisno implementirane funkcije vidljivosti, DNS-a ili stanja. Modul koji promatra tokove nije isto što i modul koji ih usmjerava, čak i kada se oba isporučuju u istom paketu.

Ne izvodite popis iz logotipa ili stranice s licencom. Izvedite ga iz instaliranih datoteka, pokrenutih usluga i konfiguracije koja se doista šalje na uređaj.

Tri pitanja odlučuju hoće li agent ostati

Prvo, ovisi li neki obvezni tijek rada o modulu koji ugrađeni profil ne može zamijeniti? Provjere stanja, DNS politika podijeljenog tunela i vidljivost tokova uobičajeni su odgovori, a svaki ima drukčiju cijenu zamjene. Drugo, koji podaci napuštaju uređaj, kome, po kojoj politici i na koliko dugo? To se pitanje tiče konfiguracije modula, a ne njegova postojanja.

Treće, ko održava stvar? Modul koji nitko ne ažurira teret je, bilo da je zgodan ili nije. Ako odgovor bude pozabavit ćemo se time, poštena je usporedba između upravljane sposobnosti i neupravljane.

Odgovorite na sva tri prije nego što usporedite sučelja, jer manje sučelje nije manja implementacija.

Što modul vidljivosti dokumentira, a što ne

Mrežni modul vidljivosti u Cisco Secure Client koristan je konkretan primjer. Njegov administrativni vodič za izdanje 5.1 opisuje prikupljanje konteksta tokova, uključujući informacije o krajnjim točkama i aplikacijama, i dokumentira politike prikupljanja koje odlučuju što se prikuplja.

To utvrđuje sposobnost jednog modula u jednom izdanju. To ne utvrđuje da ga je vaša organizacija instalirala, uključila svako polje ili da rezultat šalje negdje. To su činjenice implementacije, a na njih može odgovoriti samo implementacija.

Tretirajte dokumentaciju dobavljača kao granicu onoga što je moguće, a konfiguraciju samog uređaja kao granicu onoga što se događa.

Usporedba ugrađenog profila po istim kriterijima

Ugrađeni profil može biti odobreno i jednostavnije rješenje, a može biti i tunel koji ispušta tijek rada za koji se nitko nije sjetio provjeriti. Kompatibilnost protokola, metoda autentikacije, politika ruta i DNS-a, rukovanje kvarovima i zahtjevi upravljanja pet su točaka usporedbe i na njih se mora odgovoriti za obje strane.

Ne uklanjajte obvezni modul tiho. Pribavite odobrenje za alternativu i dokumentirajte kamo se koja odgovornost premješta, jer odgovornost koja se nigdje ne premješta postaje incident.

Dostupnost otvorenog koda, poznat dobavljač i manji prozor tri su različite činjenice i nijedna od njih ne opisuje privatnost implementirane konfiguracije.

Provjerite popis na samom uređaju

Krenite od instaliranih artefakata i pokrenutih usluga, a ne od tablice. Popis artefakata je kratak, lokalni je i rješava sporove koje politički dokumenti ne mogu.

Zatim povežite ono što ste našli s politikom koja bi se trebala primjenjivati na taj uređaj.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Na Windowsu isti dokazi dolaze iz usluga, procesa i registarskog ključa dobavljača, a popis modula obično je vidljiv u instalacijskom direktoriju. Prikupite tri izlaza, priložite ih pregledu i zamolite vlasnika da potvrdi koje su od tih komponenti namjerne. Kada svaka komponenta ima svrhu, vlasnika i put uklanjanja, izbor između agenta i ugrađenog profila postaje odluka, a ne rasprava.