Ce altceva se află în agentul dumneavoastră VPN? O analiză modul cu modul

Compararea unui agent VPN administrat cu clientul integrat al sistemului de operare începe prost când comparația este între un tunel și un tunel. Instalatorul aduce de obicei mai multe componente, iar doar una dintre ele transportă trafic de rețea privat. Restul se pot ocupa de vizibilitate, postură, politica DNS sau inventarul punctelor finale, fiecare cu propria configurație și propriul flux de date. Cereți lista componentelor instalate înainte de a compara ceva, pentru că numele produsului nu este implementarea.

Cereți lista componentelor, nu numele produsului

Pentru fiecare component instalat, notați cinci fapte: scopul, cine deține configurația, cu ce privilegii rulează, cum este actualizat și cum este eliminat. Aceste cinci răspunsuri transformă o îngrijorare vagă într-un inventar verificabil. Ele dezvăluie și componentele la care nimeni nu s-a uitat de la pilot.

Separați serviciul de tunel de orice funcție de vizibilitate, DNS sau postură implementată independent. Un modul care observă fluxurile este altceva decât un modul care le dirijează, chiar și atunci când ambele vin în același pachet.

Nu deduceți inventarul dintr-un logo sau dintr-o pagină de licență. Deducți-l din fișierele instalate, din serviciile care rulează și din configurația trimisă efectiv către dispozitiv.

Trei întrebări decid dacă agentul rămâne

În primul rând, depinde vreun flux de lucru obligatoriu de un modul pe care un profil nativ nu îl poate înlocui? Verificările de postură, politica DNS a tunelului divizat și vizibilitatea fluxurilor sunt răspunsurile obișnuite, iar fiecare are un cost de înlocuire diferit. În al doilea rând, ce date părăsesc dispozitivul, către cine, sub ce politică și pentru cât timp? Această întrebare privește configurația modulului, nu existența lui.

În al treilea rând, cine întreține lucrul? Un modul pe care nimeni nu îl actualizează este o povară, fie că este comod, fie că nu. Dacă răspunsul este că ne ocupăm mai târziu, comparația onestă este între o capacitate administrată și una neadministrată.

Răspundeți la toate trei înainte de a compara interfețe, pentru că o interfață mai mică nu este o implementare mai mică.

Ce documentează modulul de vizibilitate și ce nu

Modulul de vizibilitate a rețelei din Cisco Secure Client este un exemplu concret util. Ghidul său de administrare pentru versiunea 5.1 descrie colectarea contextului de flux, inclusiv informații despre punctele finale și aplicații, și documentează politicile de colectare care decid ce se colectează.

Aceasta stabilește o capacitate a unui modul într-o versiune. Nu stabilește că organizația dumneavoastră l-a instalat, a activat fiecare câmp sau trimite rezultatul undeva. Acestea sunt fapte de implementare, iar doar implementarea le poate răspunde.

Tratați documentația furnizorului ca limita posibilului și configurația dispozitivului însuși ca limita a ceea ce se întâmplă.

Compararea unui profil nativ după aceleași criterii

Un profil nativ poate fi soluția aprobată și mai simplă și poate fi și un tunel care pierde un flux de lucru la care nimeni nu s-a gândit să verifice. Compatibilitatea protocoalelor, metoda de autentificare, politica de rute și DNS, tratarea defecțiunilor și cerințele de administrare sunt cele cinci puncte de comparație și trebuie să primească răspuns pentru ambele părți.

Nu eliminați în liniște un modul obligatoriu. Obțineți aprobarea pentru alternativă și documentați unde se mută fiecare responsabilitate, pentru că responsabilitatea care nu se mută nicăieri este cea care devine incident.

Disponibilitatea codului deschis, un furnizor cunoscut și o fereastră mai mică sunt trei fapte diferite și niciunul nu descrie confidențialitatea unei configurații implementate.

Verificați inventarul pe dispozitivul însuși

Porniți de la artefactele instalate și de la serviciile care rulează, nu de la o foaie de calcul. Lista artefactelor este scurtă, este locală și rezolvă dispute pe care documentele de politică nu le pot rezolva.

Apoi corelați ceea ce ați găsit cu politica ce ar trebui să se aplice acelui dispozitiv.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

În Windows, aceleași dovezi vin din servicii, procese și cheia de registru a furnizorului, iar lista modulelor este de obicei vizibilă în directorul de instalare. Strângeți cele trei ieșiri, atașați-le la analiză și rugați proprietarul să confirme care dintre aceste componente sunt intenționate. Când fiecare component are un scop, un proprietar și o cale de eliminare, alegerea între agent și profil nativ devine o decizie, nu o dezbatere.