Шта још има у вашем VPN агенту? Преглед модул по модул

Поређење управљаног VPN агента са уграђеним клијентом оперативног система почиње лоше када је поређење између тунела и тунела. Инсталатер обично доноси неколико компоненти, а само једна од њих преноси приватни мрежни саобраћај. Остале могу да се баве видљивошћу, стањем, DNS политиком или пописом крајњих тачака, свака са својом конфигурацијом и својим током података. Затражите листу инсталираних компоненти пре него што било шта упоредите, јер назив производа није имплементација.

Затражите листу компоненти, а не назив производа

За сваку инсталирану компоненту запишите пет чињеница: њену сврху, ко поседује њену конфигурацију, са којим привилегијама ради, како се ажурира и како се уклања. Тик пет одговора претварају нејасну бригу у попис који се може прегледати. Они откривају и компоненте које нико није погледао од пилот пројекта.

Одвојте услугу тунела од било које независно имплементиране функције видљивости, DNS-а или стања. Модул који посматра токове није исто што и модул који их усмерава, чак и када се оба испоручују у истом пакету.

Не изводите попис из логотипа или странице са лиценцом. Изведите га из инсталираних датотека, покренутих услуга и конфигурације која се заиста шаље на уређај.

Три питања одлучују да ли агент остаје

Прво, да ли неки обавезни ток рада зависи од модула који уграђени профил не може да замени? Провере стања, DNS политика подељеног тунела и видљивост токова су уобичајени одговори, а сваки има другачију цену замене. Друго, који подаци напуштају уређај, коме, по којој политици и на колико дуго? То питање се тиче конфигурације модула, а не његовог постојања.

Треће, ко одржава ствар? Модул који нико не ажурира је терет, било да је згодан или не. Ако одговор буде позабавићемо се тиме, поштено поређење је између управљане способности и неуправљане.

Одговорите на сва три пре него што упоредите интерфејсе, јер мањи интерфејс није мања имплементација.

Шта модул видљивости документује, а шта не

Мрежни модул видљивости у Cisco Secure Client користан је конкретан пример. Његов административни водич за издање 5.1 описује прикупљање контекста токова, укључујући информације о крајњим тачкама и апликацијама, и документује политике прикупљања које одлучују шта се прикупља.

То утврђује способност једног модула у једном издању. То не утврђује да га је ваша организација инсталирала, укључила свако поље или да резултат шаље негде. То су чињенице имплементације, а на њих може одговорити само имплементација.

Третирајте документацију добављача као границу онога што је могуће, а конфигурацију самог уређаја као границу онога што се догађа.

Поређење уграђеног профила по истим критеријумима

Уграђени профил може бити одобрено и једноставније решење, а може бити и тунел који испушта ток рада за који се нико није сетио да провери. Компатибилност протокола, метод аутентикације, политика рута и DNS-а, руковање кваровима и захтеви управљања пет су тачака поређења и на њих се мора одговорити за обе стране.

Не уклањајте обавезни модул тихо. Прибавите одобрење за алтернативу и документујте куда се која одговорност премешта, јер одговорност која се нигде не премешта постаје инцидент.

Доступност отвореног кода, познат добављач и мањи прозор три су различите чињенице и ниједна од њих не описује приватност имплементиране конфигурације.

Проверите попис на самом уређају

Пођите од инсталираних артефаката и покренутих услуга, а не од табеле. Листа артефаката је кратка, локална је и решава спорове које политички документи не могу.

Затим повежите оно што сте нашли са политиком која би требало да се примењује на тај уређај.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

На Windows-у исти докази долазе из услуга, процеса и регистарског кључа добављача, а листа модула је обично видљива у инсталационом директоријуму. Прикупите три излаза, приложите их прегледу и замолите власника да потврди које су од тих компоненти намерне. Када свака компонента има сврху, власника и пут уклањања, избор између агента и уграђеног профила постаје одлука, а не расправа.