Apa lagi yang ada dalam ejen VPN anda? Semakan modul demi modul

Membandingkan ejen VPN terurus dengan klien terbina dalam sistem pengendalian bermula dengan buruk apabila perbandingannya ialah antara terowong dengan terowong. Pemasang biasanya membawa beberapa komponen, dan hanya satu daripadanya membawa trafik rangkaian peribadi. Selebihnya mungkin mengendalikan keterlihatan, postur, dasar DNS atau inventori titik akhir, masing-masing dengan konfigurasi dan aliran datanya sendiri. Minta senarai komponen yang dipasang sebelum membandingkan apa-apa, kerana nama produk bukanlah penggunaan.

Minta senarai komponen, bukan nama produk

Untuk setiap komponen yang dipasang, catat lima fakta: tujuannya, siapa yang memiliki konfigurasinya, dengan keistimewaan apa ia berjalan, bagaimana ia dikemas kini dan bagaimana ia dialih keluar. Kelima jawapan itu mengubah kebimbangan kabur menjadi inventori yang boleh disemak. Ia juga mendedahkan komponen yang tiada siapa melihat sejak perintis.

Asingkan perkhidmatan terowong daripada mana-mana fungsi keterlihatan, DNS atau postur yang digunakan secara berasingan. Modul yang memerhati aliran berbeza daripada modul yang menghalakannya, walaupun kedua-duanya tiba dalam pakej yang sama.

Jangan menyimpulkan inventori daripada logo atau halaman lesen. Simpulkannya daripada fail yang dipasang, perkhidmatan yang berjalan dan konfigurasi yang benar-benar dihantar ke peranti.

Tiga soalan menentukan sama ada ejen itu kekal

Pertama, adakah mana-mana aliran kerja wajib bergantung pada modul yang tidak dapat digantikan oleh profil asli? Semakan postur, dasar DNS terowong berpecah dan keterlihatan aliran ialah jawapan biasa, dan setiap satu mempunyai kos penggantian berbeza. Kedua, data apa yang meninggalkan peranti, kepada siapa, di bawah dasar mana dan berapa lama? Soalan itu tentang konfigurasi modul, bukan kewujudannya.

Ketiga, siapa yang menyelenggarakannya? Modul yang tidak dikemas kini oleh sesiapa ialah beban, sama ada mudah atau tidak. Jika jawapannya nanti kami uruskan, perbandingan jujur ialah antara keupayaan terurus dan tidak terurus.

Jawab ketiga-tiganya sebelum membandingkan antara muka, kerana antara muka yang lebih kecil bukan penggunaan yang lebih kecil.

Apa yang didokumenkan oleh modul keterlihatan, dan apa yang tidak

Modul Keterlihatan Rangkaian dalam Cisco Secure Client ialah contoh konkrit yang berguna. Panduan pentadbirannya untuk keluaran 5.1 menerangkan pengumpulan konteks aliran, termasuk maklumat tentang titik akhir dan aplikasi, dan mendokumenkan dasar pengumpulan yang menentukan apa yang dikumpul.

Ini membuktikan keupayaan satu modul dalam satu keluaran. Ia tidak membuktikan bahawa organisasi anda memasangnya, mengaktifkan setiap medan atau menghantar hasilnya ke suatu tempat. Ini fakta penggunaan, dan hanya penggunaan yang boleh menjawabnya.

Anggap dokumentasi vendor sebagai had apa yang mungkin, dan konfigurasi peranti itu sendiri sebagai had apa yang berlaku.

Membandingkan profil asli dengan kriteria yang sama

Profil asli boleh menjadi susunan yang diluluskan dan lebih mudah, dan ia juga boleh menjadi terowong yang menggugurkan aliran kerja yang tiada siapa terfikir untuk memeriksa. Keserasian protokol, kaedah pengesahan, dasar laluan dan DNS, pengendalian kegagalan dan keperluan pengurusan ialah lima titik perbandingan, dan ia mesti dijawab untuk kedua-dua pihak.

Jangan alih keluar modul wajib secara senyap. Dapatkan kelulusan untuk alternatif dan dokumenkan ke mana setiap tanggungjawab berpindah, kerana tanggungjawab yang tidak berpindah ke mana-mana ialah yang menjadi insiden.

Ketersediaan sumber terbuka, vendor yang dikenali dan tetingkap yang lebih kecil ialah tiga fakta berbeza, dan tiada satu pun daripada itu menerangkan privasi konfigurasi yang digunakan.

Semak inventori pada peranti itu sendiri

Mulakan daripada artifak yang dipasang dan perkhidmatan yang berjalan, bukan daripada hamparan. Senarai artifak itu pendek, ia setempat dan ia menyelesaikan perdebatan yang tidak dapat diselesaikan oleh dokumen dasar.

Kemudian kaitkan apa yang anda temui dengan dasar yang sepatutnya terpakai pada peranti itu.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Pada Windows, bukti yang sama datang daripada perkhidmatan, proses dan kunci registri vendor, dan senarai modul biasanya kelihatan dalam direktori pemasangan. Kumpulkan ketiga-tiga output, lampirkan pada semakan dan minta pemilik mengesahkan komponen mana yang disengajakan. Apabila setiap komponen mempunyai tujuan, pemilik dan laluan penyingkiran, pilihan antara ejen dan profil asli menjadi keputusan dan bukan perdebatan.