Vad mer finns i din VPN-agent? En genomgång modul för modul

Att jämföra en hanterad VPN-agent med operativsystemets inbyggda klient börjar dåligt när jämförelsen är mellan en tunnel och en tunnel. Installationsprogrammet tar vanligtvis med flera komponenter, och bara en av dem transporterar privat nätverkstrafik. Resten kan hantera synlighet, tillstånd, DNS-policy eller inventering av slutpunkter, var och en med egen konfiguration och eget dataflöde. Be om listan över installerade komponenter innan du jämför något, för produktnamnet är inte utrullningen.

Be om komponentlistan, inte produktnamnet

För varje installerad komponent skriver du ned fem fakta: syftet, vem som äger konfigurationen, vilka rättigheter den körs med, hur den uppdateras och hur den tas bort. De fem svaren gör en vag oro till en granskningsbar inventering. De avslöjar också de komponenter som ingen har tittat på sedan piloten.

Skilj tunneltjänsten från alla självständigt utrullade synlighets-, DNS- eller tillståndsfunktioner. En modul som observerar flöden är något annat än en modul som dirigerar dem, även när båda levereras i samma paket.

Härled inte inventeringen från en logotyp eller en licenssida. Härled den från de installerade filerna, tjänsterna som körs och konfigurationen som faktiskt skickas till enheten.

Tre frågor avgör om agenten blir kvar

För det första, beror något obligatoriskt arbetsflöde på en modul som en inbyggd profil inte kan ersätta? Tillståndskontroller, DNS-policy för delad tunnel och flödessynlighet är de vanliga svaren, och varje har en annan ersättningskostnad. För det andra, vilka data lämnar enheten, till vem, under vilken policy och hur länge? Den frågan handlar om modulens konfiguration, inte om dess existens.

För det tredje, vem underhåller saken? En modul som ingen uppdaterar är en belastning, oavsett om den är bekväm. Om svaret är att vi kommer till det, är den ärliga jämförelsen mellan en hanterad och en ohanterad förmåga.

Svara på alla tre innan du jämför gränssnitt, för ett mindre gränssnitt är inte en mindre utrullning.

Vad synlighetsmodulen dokumenterar, och vad den inte gör

Network Visibility Module i Cisco Secure Client är ett användbart konkret exempel. Dess administrationshandbok för version 5.1 beskriver insamling av flödeskontext, inklusive information om slutpunkter och applikationer, och dokumenterar insamlingspolicyer som avgör vad som samlas in.

Detta fastställer en förmåga hos en modul i en version. Det fastställer inte att din organisation har installerat den, aktiverat varje fält eller skickar resultatet någonstans. Det är utrullningsfakta, och bara utrullningen kan svara på dem.

Behandla leverantörens dokumentation som gränsen för vad som är möjligt, och enhetens egen konfiguration som gränsen för vad som händer.

Att jämföra en inbyggd profil enligt samma kriterier

En inbyggd profil kan vara den godkända och enklare lösningen, och den kan också vara en tunnel som tappar ett arbetsflöde som ingen tänkte på att kontrollera. Protokollkompatibilitet, autentiseringsmetod, rutt- och DNS-policy, felhantering och administrationskrav är de fem jämförelsepunkterna, och de måste besvaras för båda sidor.

Ta inte bort en obligatorisk modul i tysthet. Skaffa godkännande för alternativet och dokumentera vart varje ansvar flyttar, för ett ansvar som inte flyttar någonstans är det som blir en incident.

Tillgång till öppen källkod, en välkänd leverantör och ett mindre fönster är tre olika fakta, och ingen av dem beskriver sekretessen för en utrullad konfiguration.

Kontrollera inventeringen på själva enheten

Börja med de installerade artefakterna och de körande tjänsterna i stället för ett kalkylark. Artefaktlistan är kort, den är lokal och den avgör diskussioner som policydokument inte kan.

Koppla sedan det du hittade till den policy som borde gälla för den enheten.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

På Windows kommer samma bevis från tjänster, processer och leverantörens registernyckel, och modullistan syns vanligtvis i installationskatalogen. Samla de tre utskrifterna, bifoga dem till granskningen och be ägaren bekräfta vilka av komponenterna som är avsiktliga. När varje komponent har ett syfte, en ägare och en borttagningsväg blir valet mellan agent och inbyggd profil ett beslut och inte en debatt.