Čo ďalšie je vo vašom agente VPN? Prehľad modul po module

Porovnávanie spravovaného agenta VPN so vstavaným klientom operačného systému začína zle, keď sa porovnáva tunel s tunelom. Inštalátor zvyčajne prináša niekoľko komponentov a iba jedna z nich prenáša súkromnú sieťovú prevádzku. Ostatné sa môžu starať o viditeľnosť, stav, politiku DNS alebo inventár koncových bodov, každá s vlastnou konfiguráciou a vlastným tokom údajov. Pred porovnaním čohokoľvek si vyžiadajte zoznam nainštalovaných komponentov, pretože názov produktu nie je nasadenie.

Vyžiadajte si zoznam komponentov, nie názov produktu

Pri každej nainštalovanej komponente zapíšte päť faktov: jej účel, kto vlastní jej konfiguráciu, s akými oprávneniami beží, ako sa aktualizuje a ako sa odstraňuje. Týchto päť odpovedí mení nejasnú obavu na inventár, ktorý možno prejsť. Odhaľujú aj komponenty, na ktoré sa od pilotu nikto nepozrel.

Oddeľte tunelovú službu od akejkoľvek samostatne nasadenej funkcie viditeľnosti, DNS alebo stavu. Modul, ktorý toky pozoruje, je iná vec než modul, ktorý ich smeruje, aj keď sa oba dodávajú v tom istom balíku.

Neodvodzujte inventár z loga ani z licenčnej stránky. Odvoďte ho z nainštalovaných súborov, bežiacich služieb a konfigurácie, ktorá sa zariadeniu skutočne posiela.

O tom, či agent zostane, rozhodujú tri otázky

Po prvé, závisí nejaký povinný pracovný postup od modulu, ktorý vstavaný profil nedokáže nahradiť? Kontroly stavu, politika DNS rozdeleného tunela a viditeľnosť tokov sú obvyklé odpovede a každá má inú cenu náhrady. Po druhé, aké údaje opúšťajú zariadenie, komu, podľa akej politiky a na ako dlho? Tá otázka sa týka konfigurácie modulu, nie jeho existencie.

Po tretie, kto to udržiava? Modul, ktorý nikto neaktualizuje, je záťaž, či je pohodlný alebo nie. Ak znie odpoveď, že sa k tomu dostaneme, čestné porovnanie je medzi spravovanou a nespravovanou schopnosťou.

Odpovedzte na všetky tri skôr, než začnete porovnávať rozhrania, pretože menšie rozhranie nie je menšie nasadenie.

Čo modul viditeľnosti dokumentuje a čo nie

Modul viditeľnosti siete v Cisco Secure Client je užitočný konkrétny príklad. Jeho príručka správcu pre vydanie 5.1 opisuje zber kontextu tokov vrátane informácií o koncových bodoch a aplikáciách a dokumentuje politiky zberu, ktoré určujú, čo sa zhromažďuje.

To dokladá schopnosť jedného modulu v jednom vydaní. Nedokladá to, že ho vaša organizácia nainštalovala, zapla každé pole alebo výsledok niekam posiela. To sú fakty o nasadení a odpovedať na ne môže iba nasadenie.

Berte dokumentáciu dodávateľa ako hranicu možného a konfiguráciu samotného zariadenia ako hranicu toho, čo sa deje.

Porovnanie vstavaného profilu podľa rovnakých kritérií

Vstavaný profil môže byť schválené a jednoduchšie riešenie a môže to byť aj tunel, ktorý zahodí pracovný postup, na ktorého overenie nikto nepomyslel. Kompatibilita protokolov, metóda overovania, politika trás a DNS, ošetrenie výpadkov a požiadavky na správu sú päť porovnávacích bodov a musia sa na ne odpovedať pre obe strany.

Neodstraňujte povinný modul potichu. Získajte schválenie alternatívy a zdokumentujte, kam sa ktorá zodpovednosť presúva, pretože zodpovednosť, ktorá sa nikam nepresunie, je tá, ktorá sa stane incidentom.

Dostupnosť otvoreného kódu, známy dodávateľ a menšie okno sú tri rôzne fakty a žiadny z nich neopisuje dôvernosť nasadenej konfigurácie.

Overte inventár priamo v zariadení

Začnite od nainštalovaných artefaktov a bežiacich služieb, nie od tabuľky. Zoznam artefaktov je krátky, je lokálny a rieši spory, ktoré dokumenty politiky vyriešiť nedokážu.

Potom prepojte to, čo ste našli, s politikou, ktorá by sa na to zariadenie mala vzťahovať.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

V Windows pochádzajú rovnaké dôkazy zo služieb, procesov a kľúča registra dodávateľa a zoznam modulov je zvyčajne viditeľný v inštalačnom adresári. Zozbierajte tri výstupy, priložte ich k prehľadu a požiadajte vlastníka o potvrdenie, ktoré z týchto komponentov sú zámerné. Keď má každá komponenta účel, vlastníka a cestu odstránenia, voľba medzi agentom a vstavaným profilom sa stáva rozhodnutím, nie debatou.