O que mais há no seu agente VPN? Uma revisão módulo a módulo

Comparar um agente VPN gerido com o cliente incorporado do sistema operativo começa mal quando a comparação é entre um túnel e um túnel. O instalador costuma trazer vários componentes, e apenas um deles transporta tráfego de rede privada. Os restantes podem tratar da visibilidade, da postura, da política de DNS ou do inventário de pontos finais, cada um com a sua própria configuração e o seu próprio fluxo de dados. Peça a lista de componentes instalados antes de comparar seja o que for, porque o nome do produto não é a implementação.

Peça a lista de componentes, não o nome do produto

Para cada componente instalado, anote cinco factos: a finalidade, quem é o proprietário da configuração, com que privilégios é executado, como é atualizado e como é removido. Essas cinco respostas transformam uma preocupação vaga num inventário verificável. Também revelam os componentes que ninguém observou desde o piloto.

Separe o serviço de túnel de qualquer função de visibilidade, DNS ou postura implementada de forma independente. Um módulo que observa fluxos é diferente de um módulo que os encaminha, mesmo quando ambos chegam no mesmo pacote.

Não deduza o inventário a partir de um logótipo ou de uma página de licença. Deduza-o a partir dos ficheiros instalados, dos serviços em execução e da configuração realmente enviada para o dispositivo.

Três perguntas decidem se o agente fica

Primeiro, algum fluxo de trabalho obrigatório depende de um módulo que um perfil nativo não consegue substituir? As verificações de postura, a política de DNS do túnel dividido e a visibilidade de fluxos são as respostas habituais, e cada uma tem um custo de substituição diferente. Segundo, que dados saem do dispositivo, para quem, sob que política e durante quanto tempo? Essa pergunta diz respeito à configuração do módulo, não à sua existência.

Terceiro, quem mantém a coisa? Um módulo que ninguém atualiza é um fardo, seja conveniente ou não. Se a resposta for que tratamos disso mais tarde, a comparação honesta é entre uma capacidade gerida e uma que não é.

Responda às três antes de comparar interfaces, porque uma interface mais pequena não é uma implementação mais pequena.

O que o módulo de visibilidade documenta e o que não documenta

O módulo de visibilidade de rede do Cisco Secure Client é um exemplo concreto útil. O seu guia de administração para a versão 5.1 descreve a recolha de contexto de fluxo, incluindo informação sobre pontos finais e aplicações, e documenta políticas de recolha que decidem o que é recolhido.

Isto estabelece uma capacidade de um módulo numa versão. Não estabelece que a sua organização o tenha instalado, ativado todos os campos ou enviado o resultado para algum lado. São factos de implementação, e só a implementação lhes pode responder.

Trate a documentação do fornecedor como o limite do possível e a configuração do próprio dispositivo como o limite do que acontece.

Comparar um perfil nativo pelos mesmos critérios

Um perfil nativo pode ser a solução aprovada e mais simples, e também pode ser um túnel que deixa cair um fluxo de trabalho que ninguém pensou em verificar. A compatibilidade de protocolos, o método de autenticação, a política de rotas e DNS, o tratamento de falhas e os requisitos de gestão são os cinco pontos de comparação, e têm de ser respondidos para os dois lados.

Não remova um módulo obrigatório em silêncio. Obtenha aprovação para a alternativa e documente para onde se transfere cada responsabilidade, porque uma responsabilidade que não vai a lado nenhum é a que se transforma num incidente.

A disponibilidade de código aberto, um fornecedor conhecido e uma janela mais pequena são três factos diferentes, e nenhum deles descreve a privacidade de uma configuração implementada.

Verifique o inventário no próprio dispositivo

Comece pelos artefactos instalados e pelos serviços em execução em vez de uma folha de cálculo. A lista de artefactos é curta, é local e resolve discussões que os documentos de política não conseguem.

Depois correlacione o que encontrou com a política que deveria aplicar-se a esse dispositivo.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

No Windows, as mesmas provas vêm dos serviços, dos processos e da chave de registo do fornecedor, e a lista de módulos costuma estar visível na pasta de instalação. Reúna as três saídas, anexe-as à revisão e peça ao proprietário que confirme quais desses componentes são intencionais. Quando cada componente tem uma finalidade, um proprietário e um caminho de remoção, a escolha entre agente e perfil nativo passa a ser uma decisão e não um debate.