Wat zit er nog meer in uw VPN-agent? Een overzicht module voor module

Een beheerde VPN-agent vergelijken met de ingebouwde client van het besturingssysteem begint slecht wanneer de vergelijking tussen een tunnel en een tunnel gaat. Het installatieprogramma brengt meestal meerdere componenten mee, en slechts één daarvan vervoert particulier netwerkverkeer. De rest kan zichtbaarheid, postuur, DNS-beleid of endpointinventaris afhandelen, elk met een eigen configuratie en een eigen datastroom. Vraag de lijst met geïnstalleerde componenten op voordat u iets vergelijkt, want de productnaam is niet de uitrol.

Vraag de componentenlijst op, niet de productnaam

Noteer voor elke geïnstalleerde component vijf feiten: het doel, wie de configuratie bezit, met welke rechten hij draait, hoe hij wordt bijgewerkt en hoe hij wordt verwijderd. Die vijf antwoorden maken van een vaag vermoeden een controleerbare inventaris. Ze onthullen ook de componenten waar niemand sinds de pilot naar heeft gekeken.

Scheid de tunneldienst van elke afzonderlijk uitgerolde zichtbaarheids-, DNS- of postuurfunctie. Een module die stromen observeert is iets anders dan een module die ze routeert, ook wanneer beide in hetzelfde pakket worden geleverd.

Leid de inventaris niet af uit een logo of een licentepagina. Leid hem af uit de geïnstalleerde bestanden, de draaiende diensten en de configuratie die daadwerkelijk naar het apparaat wordt gestuurd.

Drie vragen bepalen of de agent blijft

Ten eerste, hangt een vereiste werkstroom af van een module die een native profiel niet kan vervangen? Postuurcontroles, DNS-beleid voor gesplitste tunnels en zichtbaarheid van stromen zijn de gebruikelijke antwoorden, en elk heeft een andere vervangingskost. Ten tweede, welke gegevens verlaten het apparaat, naar wie, onder welk beleid en hoe lang? Die vraag gaat over de configuratie van de module, niet over het bestaan ervan.

Ten derde, wie onderhoudt het? Een module die niemand bijwerkt is een last, of hij nu handig is of niet. Als het antwoord is dat we er later aan toe komen, is de eerlijke vergelijking die tussen een beheerde en een onbeheerde capaciteit.

Beantwoord alle drie voordat u interfaces vergelijkt, want een kleinere interface is geen kleinere uitrol.

Wat de zichtbaarheidsmodule documenteert, en wat niet

De Network Visibility Module van Cisco Secure Client is een bruikbaar concreet voorbeeld. De beheerdershandleiding voor release 5.1 beschrijft het verzamelen van stroomcontext, inclusief informatie over endpoints en applicaties, en documenteert verzamelbeleid dat bepaalt wat er wordt verzameld.

Dat stelt een capaciteit van één module in één release vast. Het stelt niet vast dat uw organisatie hem heeft geïnstalleerd, elk veld heeft aangezet of het resultaat ergens heen stuurt. Dat zijn uitrolfeiten, en alleen de uitrol kan ze beantwoorden.

Behandel de leveranciersdocumentatie als de grens van het mogelijke, en de configuratie van het apparaat zelf als de grens van wat er gebeurt.

Een native profiel aan dezelfde criteria toetsen

Een native profiel kan de goedgekeurde en eenvoudigere regeling zijn, en het kan ook een tunnel zijn die een werkstroom laat vallen waar niemand aan dacht te controleren. Protocolcompatibiliteit, authenticatiemethode, route- en DNS-beleid, foutafhandeling en beheervereisten zijn de vijf vergelijkingspunten, en ze moeten voor beide kanten worden beantwoord.

Verwijder een vereiste module niet stilzwijgend. Vraag goedkeuring voor het alternatief en documenteer waar elke verantwoordelijkheid naartoe gaat, want een verantwoordelijkheid die nergens heen gaat, is degene die een incident wordt.

Beschikbaarheid van open source, een bekende leverancier en een kleiner venster zijn drie verschillende feiten, en geen ervan beschrijft de vertrouwelijkheid van een uitgerolde configuratie.

Controleer de inventaris op het apparaat zelf

Begin bij de geïnstalleerde artefacten en de draaiende diensten in plaats van bij een spreadsheet. De artefactlijst is kort, is lokaal, en beslecht discussies die beleidsdocumenten niet kunnen.

Koppel vervolgens wat u vond aan het beleid dat voor dat apparaat zou moeten gelden.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Op Windows komen dezelfde bewijzen uit diensten, processen en de registersleutel van de leverancier, en de modullijst is meestal zichtbaar in de installatiemap. Verzamel de drie uitvoer, voeg ze bij de beoordeling en vraag de eigenaar te bevestigen welke van die componenten bedoeld zijn. Wanneer elke component een doel, een eigenaar en een verwijderpad heeft, wordt de keuze tussen agent en native profiel een beslissing en niet een debat.