Kva anna ligg i VPN-agenten din? Ei gjennomgang modul for modul

Å samanlikne ein administrert VPN-agent med den innebygde klienten i operativsystemet byrjar dårleg når samanlikninga er mellom ein tunnel og ein tunnel. Installasjonsprogrammet tar vanlegvis med fleire komponentar, og berre éin av dei fører privat nettverkstrafikk. Resten kan handsame synlegheit, tilstand, DNS-policy eller oversikt over endepunkt, kvar med si eiga konfigurering og si eiga dataflyt. Be om lista over installerte komponentar før du samanliknar noko, for produktnamnet er ikkje utrullinga.

Be om komponentlista, ikkje produktnamnet

For kvar installert komponent skriv du ned fem fakta: føremålet, kven som eig konfigureringa, kva rettar han køyrer med, korleis han vert oppdatert og korleis han vert fjerna. Dei fem svara gjer ei vag uro til ei gjennomgåeleg oversikt. Dei avdekkjer òg komponentane ingen har sett på sidan piloten.

Skil tunneltjenesta frå kvar einskild sjølvstendig utrulla synlegheits-, DNS- eller tilstandsfunksjon. Ein modul som observerer flytar er noko anna enn ein modul som ruter dei, sjølv når begge kjem i same pakke.

Ikkje utlei oversikta frå ein logo eller ei lisensside. Utlei ho frå dei installerte filene, tenestene som køyrer og konfigureringa som faktisk vert send til eininga.

Tre spørsmål avgjer om agenten vert verande

For det første, er ein påkravd arbeidsflyt avhengig av ein modul som ein innebygd profil ikkje kan erstatte? Tilstandskontrollar, DNS-policy for delt tunnel og flytsynlegheit er dei vanlege svara, og kvar har ein annan erstatningskostnad. For det andre, kva data forlèt eininga, til kven, under kva policy og kor lenge? Det spørsmålet handlar om konfigureringa av modulen, ikkje om at han finst.

For det tredje, kven vedlikeheld det? Ein modul ingen oppdaterer er ei byrde, anten han er praktisk eller ikkje. Viss svaret er at vi kjem til det, er den ærlege samanlikninga mellom ei styrt og ei ustyrt evne.

Svar på alle tre før du samanliknar grensesnitt, for eit mindre grensesnitt er ikkje ei mindre utrulling.

Kva synlegheitsmodulen dokumenterer, og kva han ikkje gjer

Network Visibility Module i Cisco Secure Client er eit nyttig konkret døme. Administrasjonsrettleiinga for versjon 5.1 skildrar innsamling av flytkontekst, mellom anna informasjon om endepunkt og applikasjonar, og dokumenterer innsamlingspolicyar som avgjer kva som vert samla inn.

Dette fastslår ei evne hos éin modul i éin versjon. Det fastslår ikkje at organisasjonen din har installert han, slått på kvart felt eller sender resultatet nokon stad. Det er utrullingsfakta, og berre utrullinga kan svare på dei.

Behandle leverandørdokumentasjonen som grensa for kva som er mogleg, og konfigureringa til eininga sjølv som grensa for kva som skjer.

Å samanlikne ein innebygd profil på dei same kriteria

Ein innebygd profil kan vere den godkjende og enklare ordninga, og han kan òg vere ein tunnel som mistar ein arbeidsflyt ingen tenkte på å kontrollere. Protokollkompatibilitet, autentiseringsmetode, rute- og DNS-policy, feilhandsaming og administrasjonskrav er dei fem samanlikningspunkta, og dei må svarast på for begge sider.

Ikkje fjern ein påkravd modul i det stille. Skaff godkjenning for alternativet og dokumenter kvar kvart ansvar flyttar seg, for eit ansvar som ikkje flyttar seg nokon stad, er det som vert ein hending.

Tilgjenge på open kjeldekode, ein kjend leverandør og eit mindre vindauge er tre ulike fakta, og ingen av dei skildrar konfidensialiteten til ei utrulla konfigurering.

Kontroller oversikta på sjølve eininga

Start med dei installerte artefaktane og tenestene som køyrer i staden for eit rekneark. Artefaktlista er kort, ho er lokal, og ho avgjer diskusjonar som policydokument ikkje kan.

Knyt deretter det du fann til policyen som skal gjelde for den eininga.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

På Windows kjem dei same prova frå tenester, prosessar og registernøkkelen til leverandøren, og modullista er vanlegvis synleg i installasjonsmappa. Samle dei tre utskriftene, legg dei ved gjennomgangen og be eigaren stadfeste kva av komponentane som er tilsikta. Når kvar komponent har eit føremål, ein eigar og ein fjerningsveg, vert valet mellom agent og innebygd profil ei avgjerd og ikkje ein debatt.