Šta još ima u vašem VPN agentu? Pregled modul po modul

Poređenje upravljanog VPN agenta sa ugrađenim klijentom operativnog sistema počinje loše kada je poređenje između tunela i tunela. Instalater obično donosi nekoliko komponenti, a samo jedna od njih prenosi privatni mrežni saobraćaj. Ostale mogu da se bave vidljivošću, stanjem, DNS politikom ili popisom krajnjih tačaka, svaka sa svojom konfiguracijom i svojim tokom podataka. Zatražite listu instaliranih komponenti pre nego što bilo šta uporedite, jer naziv proizvoda nije implementacija.

Zatražite listu komponenti, ne naziv proizvoda

Za svaku instaliranu komponentu zapišite pet činjenica: njenu svrhu, ko poseduje njenu konfiguraciju, sa kojim privilegijama radi, kako se ažurira i kako se uklanja. Tih pet odgovora pretvaraju nejasnu brigu u popis koji se može pregledati. Oni otkrivaju i komponente koje niko nije pogledao od pilot projekta.

Odvojite tunelsku uslugu od bilo koje nezavisno implementirane funkcije vidljivosti, DNS-a ili stanja. Modul koji posmatra tokove nije isto što i modul koji ih usmerava, čak i kada se oba isporučuju u istom paketu.

Ne izvodite popis iz logotipa ili stranice sa licencom. Izvedite ga iz instaliranih datoteka, pokrenutih usluga i konfiguracije koja se zaista šalje na uređaj.

Tri pitanja odlučuju da li agent ostaje

Prvo, da li neki obavezni tok rada zavisi od modula koji ugrađeni profil ne može da zameni? Provere stanja, DNS politika podeljenog tunela i vidljivost tokova su uobičajeni odgovori, a svaki ima drugačiju cenu zamene. Drugo, koji podaci napuštaju uređaj, kome, po kojoj politici i na koliko dugo? To pitanje se tiče konfiguracije modula, a ne njegovog postojanja.

Treće, ko održava stvar? Modul koji niko ne ažurira je teret, bilo da je zgodan ili ne. Ako odgovor bude pozabavićemo se time, pošteno poređenje je između upravljane sposobnosti i neupravljane.

Odgovorite na sva tri pre nego što uporedite interfejse, jer manji interfejs nije manja implementacija.

Šta modul vidljivosti dokumentuje, a šta ne

Mrežni modul vidljivosti u Cisco Secure Client koristan je konkretan primer. Njegov administrativni vodič za izdanje 5.1 opisuje prikupljanje konteksta tokova, uključujući informacije o krajnjim tačkama i aplikacijama, i dokumentuje politike prikupljanja koje odlučuju šta se prikuplja.

To utvrđuje sposobnost jednog modula u jednom izdanju. To ne utvrđuje da ga je vaša organizacija instalirala, uključila svako polje ili da rezultat šalje negde. To su činjenice implementacije, a na njih može odgovoriti samo implementacija.

Tretirajte dokumentaciju dobavljača kao granicu onoga što je moguće, a konfiguraciju samog uređaja kao granicu onoga što se događa.

Poređenje ugrađenog profila po istim kriterijumima

Ugrađeni profil može biti odobreno i jednostavnije rešenje, a može biti i tunel koji ispušta tok rada za koji se niko nije setio da proveri. Kompatibilnost protokola, metod autentikacije, politika ruta i DNS-a, rukovanje kvarovima i zahtevi upravljanja pet su tačaka poređenja i na njih se mora odgovoriti za obe strane.

Ne uklanjajte obavezni modul tiho. Pribavite odobrenje za alternativu i dokumentujte kuda se koja odgovornost premešta, jer odgovornost koja se nigde ne premešta postaje incident.

Dostupnost otvorenog koda, poznat dobavljač i manji prozor tri su različite činjenice i nijedna od njih ne opisuje privatnost implementirane konfiguracije.

Proverite popis na samom uređaju

Pođite od instaliranih artefakata i pokrenutih usluga, a ne od tabele. Lista artefakata je kratka, lokalna je i rešava sporove koje politički dokumenti ne mogu.

Zatim povežite ono što ste našli sa politikom koja bi trebalo da se primenjuje na taj uređaj.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

Na Windowsu isti dokazi dolaze iz usluga, procesa i registarskog ključa dobavljača, a lista modula je obično vidljiva u instalacionom direktorijumu. Prikupite tri izlaza, priložite ih pregledu i zamolite vlasnika da potvrdi koje su od tih komponenti namerne. Kada svaka komponenta ima svrhu, vlasnika i put uklanjanja, izbor između agenta i ugrađenog profila postaje odluka, a ne rasprava.