Kas dar yra jūsų VPN agente? Apžvalga modulis po modulio

Valdomo VPN agento palyginimas su operacinės sistemos įtaisytuoju klientu prasideda blogai, kai lyginamas tunelis su tuneliu. Diegėjas paprastai atneša kelis komponentus, ir tik vienas jų perduoda privatų tinklo srautą. Kiti gali tvarkyti matomumą, būseną, DNS politiką ar galinių taškų inventorių, kiekvienas su sava konfigūracija ir savo duomenų srautu. Prieš ką nors lygindami paprašykite įdiegtų komponentų sąrašo, nes produkto pavadinimas nėra diegimas.

Paprašykite komponentų sąrašo, o ne produkto pavadinimo

Kiekvienam įdiegtam komponentui užrašykite penkis faktus: paskirtį, kas valdo jo konfigūraciją, su kokiomis teisėmis jis veikia, kaip jis atnaujinamas ir kaip pašalinamas. Šie penki atsakymai neaiškų rūpestį paverčia peržiūrimu inventoriumi. Jie taip pat atskleidžia komponentus, į kuriuos niekas nepažiūrėjo nuo bandomojo diegimo.

Atskirkite tunelio tarnybą nuo bet kurios savarankiškai įdiegtos matomumo, DNS ar būsenos funkcijos. Srautus stebintis modulis yra kas kita nei juos maršrutizuojantis modulis, net kai abu ateina tame pačiame pakete.

Neišveskite inventoriaus iš logotipo ar licencijos puslapio. Išveskite jį iš įdiegtų failų, veikiančių tarnybų ir konfigūracijos, kuri iš tikrųjų siunčiama į įrenginį.

Trys klausimai nusprendžia, ar agentas liks

Pirma, ar kuri nors privaloma darbo eiga priklauso nuo modulio, kurio įtaisytasis profilis negali pakeisti? Būsenos patikros, suskaidyto tunelio DNS politika ir srautų matomumas yra įprasti atsakymai, ir kiekvienas turi skirtingą pakeitimo kainą. Antra, kokie duomenys palieka įrenginį, kam, pagal kokią politiką ir kiek laiko? Šis klausimas apie modulio konfigūraciją, o ne apie jo egzistavimą.

Trečia, kas tai prižiūri? Modulis, kurio niekas neatnaujina, yra našta, nesvarbu, ar jis patogus. Jei atsakymas yra kad vėliau tuo užsiimsime, sąžiningas palyginimas vyksta tarp valdomo ir nevaldomo pajėgumo.

Atsakykite į visus tris prieš lygindami sąsajas, nes mažesnė sąsaja nėra mažesnis diegimas.

Ką matomumo modulis dokumentuoja, o ko ne

Cisco Secure Client tinklo matomumo modulis yra naudingas konkretus pavyzdys. Jo administravimo vadovas, skirtas 5.1 leidimui, aprašo srauto konteksto rinkimą, įskaitant informaciją apie galinius taškus ir programas, ir dokumentuoja rinkimo politikas, kurios nusprendžia, kas renkama.

Tai įrodo vieno modulio pajėgumą viename leidime. Tai neįrodo, kad jūsų organizacija jį įdiegė, įjungė kiekvieną lauką ar siunčia rezultatą kur nors. Tai diegimo faktai, ir į juos gali atsakyti tik diegimas.

Tiekėjo dokumentaciją laikykite galimo riba, o paties įrenginio konfigūraciją – vykstančio riba.

Įtaisytojo profilio palyginimas pagal tuos pačius kriterijus

Įtaisytasis profilis gali būti patvirtintas ir paprastesnis sprendimas, o taip pat tunelis, kuris pameta darbo eigą, kurios niekas nepagalvojo patikrinti. Protokolų suderinamumas, autentifikavimo metodas, maršrutų ir DNS politika, gedimų tvarkymas ir administravimo reikalavimai yra penki palyginimo taškai, ir į juos reikia atsakyti abiem pusėms.

Netrinkite privalomo modulio tyliai. Gaukite alternatyvos patvirtinimą ir dokumentuokite, kur kuri atsakomybė persikelia, nes atsakomybė, kuri niekur nepersikelia, ir tampa incidentu.

Atvirojo kodo prieinamumas, pažįstamas tiekėjas ir mažesnis langas yra trys skirtingi faktai, ir nė vienas jų neaprašo įdiegtos konfigūracijos privatumo.

Patikrinkite inventorių pačiame įrenginyje

Pradėkite nuo įdiegtų artefaktų ir veikiančių tarnybų, o ne nuo skaičiuoklės. Artefaktų sąrašas trumpas, jis vietinis, ir jis išsprendžia ginčus, kurių politikos dokumentai negali.

Tada susiekite tai, ką radote, su politika, kuri turėtų galioti tam įrenginiui.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Windows aplinkoje tie patys įrodymai gaunami iš tarnybų, procesų ir tiekėjo registro rakto, o modulių sąrašas paprastai matomas diegimo kataloge. Surinkite tris išvestis, pridėkite jas prie apžvalgos ir paprašykite savininko patvirtinti, kurie iš šių komponentų yra tyčiniai. Kai kiekvienas komponentas turi paskirtį, savininką ir pašalinimo kelią, pasirinkimas tarp agento ir įtaisytojo profilio tampa sprendimu, o ne ginču.