Hva annet ligger i VPN-agenten din? En gjennomgang modul for modul

Å sammenligne en administrert VPN-agent med operativsystemets innebygde klient begynner dårlig når sammenligningen er mellom en tunnel og en tunnel. Installasjonsprogrammet tar vanligvis med flere komponenter, og bare én av dem fører privat nettverkstrafikk. Resten kan håndtere synlighet, tilstand, DNS-policy eller oversikt over endepunkter, hver med sin egen konfigurasjon og sin egen dataflyt. Be om listen over installerte komponenter før du sammenligner noe, for produktnavnet er ikke utrullingen.

Be om komponentlisten, ikke produktnavnet

For hver installert komponent skriver du ned fem fakta: formålet, hvem som eier konfigurasjonen, hvilke rettigheter den kjører med, hvordan den oppdateres og hvordan den fjernes. De fem svarene gjør en vag bekymring til en gjennomgåelig oversikt. De avdekker også komponentene ingen har sett på siden piloten.

Skill tunneltjenesten fra enhver selvstendig utrullet synlighets-, DNS- eller tilstandsfunksjon. En modul som observerer flyter er noe annet enn en modul som ruter dem, selv når begge leveres i samme pakke.

Ikke utled oversikten fra en logo eller en lisensside. Utled den fra de installerte filene, tjenestene som kjører og konfigurasjonen som faktisk sendes til enheten.

Tre spørsmål avgjør om agenten blir

For det første, avhenger en påkrevd arbeidsflyt av en modul som en innebygd profil ikke kan erstatte? Tilstandskontroller, DNS-policy for delt tunnel og flytsynlighet er de vanlige svarene, og hver har en annen erstatningskostnad. For det andre, hvilke data forlater enheten, til hvem, under hvilken policy og hvor lenge? Det spørsmålet handler om modulens konfigurasjon, ikke om dens eksistens.

For det tredje, hvem vedlikeholder det? En modul ingen oppdaterer er en byrde, enten den er praktisk eller ikke. Hvis svaret er at vi kommer til det, er den ærlige sammenligningen mellom en administrert og en uadministrert evne.

Svar på alle tre før du sammenligner grensesnitt, for et mindre grensesnitt er ikke en mindre utrulling.

Hva synlighetsmodulen dokumenterer, og hva den ikke gjør

Network Visibility Module i Cisco Secure Client er et nyttig konkret eksempel. Dets administrasjonsveiledning for versjon 5.1 beskriver innsamling av flytkontekst, inkludert informasjon om endepunkter og applikasjoner, og dokumenterer innsamlingspolicyer som avgjør hva som samles inn.

Dette fastslår en evne hos én modul i én versjon. Det fastslår ikke at organisasjonen din har installert det, aktivert hvert felt eller sender resultatet noe sted. Det er utrullingsfakta, og bare utrullingen kan svare på dem.

Behandle leverandørdokumentasjonen som grensen for hva som er mulig, og enhetens egen konfigurasjon som grensen for hva som skjer.

Å sammenligne en innebygd profil på de samme kriteriene

En innebygd profil kan være den godkjente og enklere ordningen, og den kan også være en tunnel som mister en arbeidsflyt ingen tenkte på å kontrollere. Protokollkompatibilitet, autentiseringsmetode, rute- og DNS-policy, feilhåndtering og administrasjonskrav er de fem sammenligningspunktene, og de må besvares for begge sider.

Ikke fjern en påkrevd modul i stillhet. Skaff godkjenning for alternativet og dokumenter hvor hvert ansvar flytter seg, for et ansvar som ikke flytter seg noe sted, er det som blir en hendelse.

Åpen kildekode-tilgjengelighet, en kjent leverandør og et mindre vindu er tre forskjellige fakta, og ingen av dem beskriver konfidensialiteten til en utrullet konfigurasjon.

Kontroller oversikten på selve enheten

Start med de installerte artefaktene og tjenestene som kjører i stedet for et regneark. Artefaktlisten er kort, den er lokal, og den avgjør diskusjoner som policydokumenter ikke kan.

Koble deretter det du fant til policyen som skal gjelde for den enheten.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

På Windows kommer de samme bevisene fra tjenester, prosesser og leverandørens registernøkkel, og modullisten er vanligvis synlig i installasjonsmappen. Samle de tre utskriftene, legg dem ved gjennomgangen og be eieren bekrefte hvilke av komponentene som er tilsiktet. Når hver komponent har et formål, en eier og en fjerningsvei, blir valget mellom agent og innebygd profil en beslutning og ikke en debatt.