Apa lagi yang ada di agen VPN Anda? Tinjauan modul demi modul

Membandingkan agen VPN terkelola dengan klien bawaan sistem operasi dimulai dengan buruk ketika perbandingannya adalah antara terowongan dan terowongan. Penginstal biasanya membawa beberapa komponen, dan hanya satu di antaranya membawa lalu lintas jaringan privat. Sisanya mungkin menangani visibilitas, postur, kebijakan DNS, atau inventaris titik akhir, masing-masing dengan konfigurasi dan aliran datanya sendiri. Minta daftar komponen terpasang sebelum membandingkan apa pun, karena nama produk bukanlah penerapan.

Minta daftar komponen, bukan nama produk

Untuk setiap komponen terpasang, catat lima fakta: tujuannya, siapa yang memiliki konfigurasinya, dengan hak istimewa apa ia berjalan, bagaimana ia diperbarui, dan bagaimana ia dihapus. Kelima jawaban itu mengubah kekhawatiran yang samar menjadi inventaris yang dapat ditinjau. Jawaban itu juga mengungkap komponen yang belum dilihat siapa pun sejak uji coba.

Pisahkan layanan terowongan dari fungsi visibilitas, DNS, atau postur apa pun yang diterapkan secara mandiri. Modul yang mengamati aliran berbeda dari modul yang merutekannya, bahkan ketika keduanya dikirim dalam paket yang sama.

Jangan menyimpulkan inventaris dari logo atau halaman lisensi. Simpulkan dari berkas terpasang, layanan yang berjalan, dan konfigurasi yang benar-benar dikirim ke perangkat.

Tiga pertanyaan menentukan apakah agen dipertahankan

Pertama, apakah ada alur kerja wajib yang bergantung pada modul yang tidak dapat digantikan profil asli? Pemeriksaan postur, kebijakan DNS terowongan terpisah, dan visibilitas aliran adalah jawaban yang lazim, dan masing-masing punya biaya penggantian berbeda. Kedua, data apa yang meninggalkan perangkat, kepada siapa, di bawah kebijakan mana, dan berapa lama? Pertanyaan itu tentang konfigurasi modul, bukan tentang keberadaannya.

Ketiga, siapa yang merawatnya? Modul yang tidak diperbarui siapa pun adalah beban, entah nyaman atau tidak. Jika jawabannya adalah kami akan menyusul, perbandingan yang jujur adalah antara kemampuan terkelola dan yang tidak terkelola.

Jawab ketiganya sebelum membandingkan antarmuka, karena antarmuka yang lebih kecil bukan penerapan yang lebih kecil.

Apa yang didokumentasikan modul visibilitas, dan apa yang tidak

Modul Visibilitas Jaringan Cisco Secure Client adalah contoh konkret yang berguna. Panduan administrasi untuk rilis 5.1 menjelaskan pengumpulan konteks aliran, termasuk informasi tentang titik akhir dan aplikasi, dan mendokumentasikan kebijakan pengumpulan yang menentukan apa yang dikumpulkan.

Itu menetapkan kemampuan satu modul dalam satu rilis. Itu tidak menetapkan bahwa organisasi Anda memasangnya, mengaktifkan setiap bidang, atau mengirim hasilnya ke suatu tempat. Itu fakta penerapan, dan hanya penerapan yang dapat menjawabnya.

Perlakukan dokumentasi vendor sebagai batas apa yang mungkin, dan konfigurasi perangkat itu sendiri sebagai batas apa yang sedang terjadi.

Membandingkan profil asli dengan kriteria yang sama

Profil asli bisa menjadi pengaturan yang disetujui dan lebih sederhana, dan bisa juga menjadi terowongan yang menjatuhkan alur kerja yang tidak terpikirkan untuk diperiksa. Kompatibilitas protokol, metode autentikasi, kebijakan rute dan DNS, penanganan kegagalan, dan persyaratan pengelolaan adalah lima titik perbandingan, dan semuanya harus dijawab untuk kedua pihak.

Jangan mencabut modul wajib secara diam-diam. Dapatkan persetujuan untuk alternatifnya dan dokumentasikan ke mana setiap tanggung jawab berpindah, karena tanggung jawab yang tidak berpindah ke mana pun adalah yang menjadi insiden.

Ketersediaan sumber terbuka, vendor yang dikenal, dan jendela yang lebih kecil adalah tiga fakta berbeda, dan tidak satu pun menjelaskan privasi konfigurasi yang diterapkan.

Periksa inventaris di perangkat itu sendiri

Mulailah dari artefak terpasang dan layanan yang berjalan, bukan dari lembar kerja. Daftar artefak itu pendek, bersifat lokal, dan menyelesaikan perdebatan yang tidak bisa diselesaikan dokumen kebijakan.

Lalu korelasikan temuan Anda dengan kebijakan yang seharusnya berlaku pada perangkat itu.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Di Windows, bukti yang sama datang dari layanan, proses, dan kunci registri vendor, dan daftar modul biasanya terlihat di direktori pemasangan. Kumpulkan ketiga keluaran, lampirkan pada tinjauan, dan minta pemilik mengonfirmasi komponen mana yang disengaja. Ketika setiap komponen memiliki tujuan, pemilik, dan jalur penghapusan, pilihan antara agen dan profil asli menjadi keputusan, bukan perdebatan.