Co jeszcze kryje się w Twoim agencie VPN? Przegląd moduł po module

Porównywanie zarządzanego agenta VPN z wbudowanym klientem systemu operacyjnego źle się zaczyna, gdy porównanie dotyczy tunelu i tunelu. Instalator zwykle przynosi kilka komponentów, a tylko jeden z nich przenosi prywatny ruch sieciowy. Pozostałe mogą obsługiwać widoczność, stan, politykę DNS lub inwentarz punktów końcowych, każdy z własną konfiguracją i własnym przepływem danych. Przed porównywaniem czegokolwiek poproś o listę zainstalowanych komponentów, bo nazwa produktu nie jest wdrożeniem.

Poproś o listę komponentów, nie o nazwę produktu

Dla każdego zainstalowanego komponentu zapisz pięć faktów: jego cel, kto jest właścicielem konfiguracji, z jakimi uprawnieniami działa, jak jest aktualizowany i jak jest usuwany. Te pięć odpowiedzi zamienia mgliste obawy w możliwy do przejrzenia inwentarz. Pokazują też komponenty, na które nikt nie spojrzał od czasów pilotażu.

Oddziel usługę tunelu od wszelkich niezależnie wdrożonych funkcji widoczności, DNS lub stanu. Moduł obserwujący przepływy to coś innego niż moduł, który je trasuje, nawet gdy oba przychodzą w tej samej paczce.

Nie wnioskuj inwentarza z logo ani ze strony licencji. Wnioskuj go z zainstalowanych plików, działających usług i konfiguracji faktycznie wysyłanej na urządzenie.

Trzy pytania decydują, czy agent zostaje

Po pierwsze, czy któryś obowiązkowy proces zależy od modułu, którego natywny profil nie zastąpi? Kontrole stanu, polityka DNS tunelu dzielonego i widoczność przepływów to zwykłe odpowiedzi, a każda ma inny koszt zastąpienia. Po drugie, jakie dane opuszczają urządzenie, do kogo, pod jaką polityką i na jak długo? To pytanie dotyczy konfiguracji modułu, a nie jego istnienia.

Po trzecie, kto to utrzymuje? Moduł, którego nikt nie aktualizuje, jest obciążeniem, czy jest wygodny, czy nie. Jeśli odpowiedź brzmi, że się tym zajmiemy, uczciwe porównanie dotyczy zdolności zarządzanej i niezarządzanej.

Odpowiedz na wszystkie trzy, zanim porównasz interfejsy, bo mniejszy interfejs nie jest mniejszym wdrożeniem.

Co dokumentuje moduł widoczności, a czego nie

Moduł Network Visibility w Cisco Secure Client to przydatny konkretny przykład. Jego przewodnik administracyjny dla wydania 5.1 opisuje zbieranie kontekstu przepływów, w tym informacje o punktach końcowych i aplikacjach, oraz dokumentuje polityki zbierania, które decydują, co jest zbierane.

To ustala zdolność jednego modułu w jednym wydaniu. Nie ustala, że Twoja organizacja go zainstalowała, włączyła każde pole albo wysyła wynik gdziekolwiek. To fakty wdrożenia i tylko wdrożenie może na nie odpowiedzieć.

Traktuj dokumentację dostawcy jako granicę tego, co możliwe, a konfigurację samego urządzenia jako granicę tego, co się dzieje.

Porównanie natywnego profilu według tych samych kryteriów

Profil natywny może być zatwierdzonym i prostszym rozwiązaniem, a może też być tunelem, który gubi proces, o którego sprawdzeniu nikt nie pomyślał. Zgodność protokołów, metoda uwierzytelniania, polityka tras i DNS, obsługa awarii oraz wymagania zarządzania to pięć punktów porównania i trzeba na nie odpowiedzieć dla obu stron.

Nie usuwaj po cichu wymaganego modułu. Uzyskaj zgodę na alternatywę i udokumentuj, gdzie przenosi się każda odpowiedzialność, bo odpowiedzialność, która nie przenosi się nigdzie, staje się incydentem.

Dostępność otwartego kodu, znany dostawca i mniejsze okno to trzy różne fakty i żaden z nich nie opisuje poufności wdrożonej konfiguracji.

Sprawdź inwentarz na samym urządzeniu

Zacznij od zainstalowanych artefaktów i działających usług, a nie od arkusza kalkulacyjnego. Lista artefaktów jest krótka, jest lokalna i rozstrzyga spory, których dokumenty polityki nie potrafią.

Następnie powiąż to, co znalazłeś, z polityką, która powinna obowiązywać na tym urządzeniu.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

W Windows te same dowody pochodzą z usług, procesów i klucza rejestru dostawcy, a lista modułów jest zwykle widoczna w katalogu instalacji. Zbierz trzy wyniki, dołącz je do przeglądu i poproś właściciela o potwierdzenie, które z tych komponentów są zamierzone. Gdy każdy komponent ma cel, właściciela i ścieżkę usunięcia, wybór między agentem a profilem natywnym staje się decyzją, a nie sporem.