VPNエージェントの中身はほかに何があるのか？モジュール別のレビュー

管理されたVPNエージェントをOS内蔵のクライアントと比べるとき、トンネルとトンネルを比べてしまうと出発点から誤ります。インストーラーは通常いくつものコンポーネントを導入し、プライベートなネットワークトラフィックを運ぶのはそのうちひとつだけです。残りは可視性、ポスチャ、DNSポリシー、エンドポイント台帳を担うことがあり、それぞれに独自の設定とデータフローがあります。何かを比較する前に、製品名が配備そのものではないので、導入済みコンポーネントの一覧を求めてください。

製品名ではなくコンポーネント一覧を求める

導入された各コンポーネントについて、目的、設定の所有者、動作する権限、更新の方法、削除の方法という五つの事実を書き留めます。この五つの答えが、漠然とした懸念をレビュー可能な台帳に変えます。試験導入以降だれも見ていないコンポーネントも明らかになります。

トンネルサービスと、独立して配備された可視性・DNS・ポスチャの機能を分けてください。フローを観測するモジュールと、フローを経路制御するモジュールは、同じパッケージで届いても別物です。

ロゴやライセンスのページから台帳を推測しないでください。導入済みのファイル、稼働中のサービス、実際に端末へ配られる設定から推測します。

エージェントを残すかどうかは三つの問いで決まる

第一に、必須の業務フローが、ネイティブプロファイルでは代替できないモジュールに依存していないか。ポスチャ検査、分割トンネルのDNSポリシー、フローの可視性がよくある答えで、それぞれ代替のコストが違います。第二に、どのデータが端末を出て、だれに、どのポリシーで、どれだけの期間わたるのか。この問いはモジュールの存在ではなく設定に関わります。

第三に、だれがこれを保守するのか。だれも更新しないモジュールは、便利かどうかに関わらず負債です。そのうちやると答えるなら、正直な比較は管理された能力と管理されていない能力の間になります。

小さいインターフェースは小さい配備ではないので、インターフェースを比較する前に三つすべてに答えてください。

可視性モジュールが文書化していること、していないこと

Cisco Secure Clientのネットワーク可視性モジュールは有用な具体例です。そのリリース5.1の管理ガイドは、エンドポイントとアプリケーションに関する情報を含むフローコンテキストの収集を説明し、何を集めるかを決める収集ポリシーを文書化しています。

これはあるリリースにおけるひとつのモジュールの能力を示すものです。組織がそれを導入したこと、すべての項目を有効にしたこと、結果をどこかへ送っていることは示しません。それらは配備の事実であり、配備だけが答えられます。

ベンダーの文書は可能なことの境界として、端末自身の設定は起きていることの境界として扱ってください。

同じ基準でネイティブプロファイルを比較する

ネイティブプロファイルは承認済みでより単純な選択肢になり得ますが、だれも確認を思いつかなかった業務フローを落とすトンネルにもなり得ます。プロトコルの互換性、認証方式、経路とDNSのポリシー、障害時の扱い、管理要件が五つの比較点であり、双方について答える必要があります。

必須のモジュールを黙って外さないでください。どこにも移らない責任が事故になるため、代替案の承認を取り、どの責任がどこへ移るのかを文書化します。

オープンソースの入手性、なじみのあるベンダー、小さいウィンドウは三つの別の事実であり、どれも配備済み設定のプライバシーを説明しません。

台帳は端末そのもので確認する

表計算ではなく、導入済みの成果物と稼働中のサービスから始めます。成果物の一覧は短く、手元にあり、ポリシー文書では決着しない論争を決着させます。

そのうえで、見つけたものをその端末に適用されるべきポリシーと突き合わせます。

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Windowsでは同じ証拠がサービス、プロセス、ベンダーのレジストリキーから得られ、モジュール一覧は通常インストール先のディレクトリで確認できます。三つの出力を集めてレビューに添付し、どのコンポーネントが意図的なものかを所有者に確認してもらいます。すべてのコンポーネントに目的、所有者、削除経路があれば、エージェントとネイティブプロファイルの選択は議論ではなく判断になります。