Kas vēl ir jūsu VPN aģentā? Pārskats moduli pa modulim

Pārvaldīta VPN aģenta salīdzināšana ar operētājsistēmas iebūvēto klientu sākas slikti, ja salīdzinājums ir starp tuneli un tuneli. Instalētājs parasti atnes vairākus komponentus, un tikai viens no tiem pārvadā privātu tīkla satiksmi. Pārējie var nodarboties ar redzamību, stāvokli, DNS politiku vai galapunktu uzskaiti, katram ir sava konfigurācija un sava datu plūsma. Pirms kaut ko salīdzināt, pieprasiet instalēto komponentu sarakstu, jo produkta nosaukums nav izvietojums.

Pieprasiet komponentu sarakstu, nevis produkta nosaukumu

Katram instalētajam komponentam pierakstiet piecus faktus: tā mērķi, kas pārvalda tā konfigurāciju, ar kādām tiesībām tas darbojas, kā tas tiek atjaunināts un kā tas tiek noņemts. Šīs piecas atbildes neskaidras bažas pārvērš pārskatāmā uzskaitē. Tās arī atklāj komponentus, kuros neviens nav ieskatījies kopš izmēģinājuma.

Atdaliet tuneļa pakalpojumu no jebkuras patstāvīgi izvietotas redzamības, DNS vai stāvokļa funkcijas. Modulis, kas novēro plūsmas, ir kas cits nekā modulis, kas tās maršrutē, pat ja abi nāk vienā pakotnē.

Neatvasiniet uzskaiti no logotipa vai licences lapas. Atvasiniet to no instalētajām datnēm, darbojošajiem pakalpojumiem un konfigurācijas, kas faktiski tiek nosūtīta uz ierīci.

Trīs jautājumi izšķir, vai aģents paliks

Pirmkārt, vai kāda obligāta darbplūsma ir atkarīga no moduļa, ko iebūvēts profils nevar aizstāt? Stāvokļa pārbaudes, sadalītā tuneļa DNS politika un plūsmu redzamība ir ierastās atbildes, un katrai ir atšķirīgas aizstāšanas izmaksas. Otrkārt, kādi dati atstāj ierīci, kam, saskaņā ar kādu politiku un cik ilgi? Šis jautājums ir par moduļa konfigurāciju, nevis par tā pastāvēšanu.

Treškārt, kas to uztur? Modulis, ko neviens neatjaunina, ir nasta, neatkarīgi no tā, vai tas ir ērts. Ja atbilde ir, ka tam ķersimies klāt, godīgais salīdzinājums ir starp pārvaldītu un nepārvaldītu spēju.

Atbildiet uz visiem trim pirms saskarņu salīdzināšanas, jo mazāka saskarne nav mazāks izvietojums.

Ko redzamības modulis dokumentē un ko ne

Cisco Secure Client tīkla redzamības modulis ir noderīgs konkrēts piemērs. Tā administrēšanas rokasgrāmata 5.1 izlaidumam apraksta plūsmas konteksta vākšanu, tostarp informāciju par galapunktiem un lietojumprogrammām, un dokumentē vākšanas politikas, kas nosaka, kas tiek vākts.

Tas pierāda viena moduļa spēju vienā izlaidumā. Tas nepierāda, ka jūsu organizācija to instalēja, ieslēdza katru lauku vai sūta rezultātu kaut kur. Tie ir izvietojuma fakti, un uz tiem var atbildēt tikai izvietojums.

Uzskatiet piegādātāja dokumentāciju par iespējamā robežu, bet pašas ierīces konfigurāciju – par notiekošā robežu.

Iebūvēta profila salīdzināšana pēc tiem pašiem kritērijiem

Iebūvēts profils var būt apstiprināts un vienkāršāks risinājums, un tas var būt arī tunelis, kas nomet darbplūsmu, kuru neviens neiedomājās pārbaudīt. Protokolu saderība, autentifikācijas metode, maršrutu un DNS politika, kļūdu apstrāde un pārvaldības prasības ir pieci salīdzināšanas punkti, un uz tiem jāatbild abām pusēm.

Nenoņemiet obligātu moduli klusām. Iegūstiet alternatīvas apstiprinājumu un dokumentējiet, kur pārvietojas katrs pienākums, jo pienākums, kas nekur nepārvietojas, kļūst par incidentu.

Atvērtā koda pieejamība, pazīstams piegādātājs un mazāks logs ir trīs dažādi fakti, un neviens no tiem neapraksta izvietotas konfigurācijas privātumu.

Pārbaudiet uzskaiti pašā ierīcē

Sāciet ar instalētajiem artefaktiem un darbojošajiem pakalpojumiem, nevis ar izklājlapu. Artefaktu saraksts ir īss, tas ir lokāls, un tas izšķir strīdus, ko politiku dokumenti nevar.

Pēc tam sasaistiet atrasto ar politiku, kurai būtu jāattiecas uz šo ierīci.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Windows vidē tie paši pierādījumi nāk no pakalpojumiem, procesiem un piegādātāja reģistra atslēgas, un moduļu saraksts parasti ir redzams instalācijas direktorijā. Apkopojiet trīs izvades, pievienojiet tās pārskatam un lūdziet īpašniekam apstiprināt, kuri no šiem komponentiem ir apzināti. Kad katram komponentam ir mērķis, īpašnieks un noņemšanas ceļš, izvēle starp aģentu un iebūvētu profilu kļūst par lēmumu, nevis strīdu.