Що ще є у вашому VPN-агенті? Розгляд модуль за модулем

Порівняння керованого VPN-агента з вбудованим клієнтом операційної системи починається погано, коли порівнюють тунель із тунелем. Інсталятор зазвичай приносить кілька компонентів, і лише один із них несе приватний мережевий трафік. Решта можуть відповідати за видимість, стан, політику DNS або інвентаризацію кінцевих точок, і кожен має свою конфігурацію та свій потік даних. Запитайте список встановлених компонентів, перш ніж щось порівнювати, бо назва продукту — це ще не розгортання.

Запитайте список компонентів, а не назву продукту

Для кожного встановленого компонента запишіть п'ять фактів: призначення, хто володіє конфігурацією, з якими правами він працює, як оновлюється і як видаляється. Ці п'ять відповідей перетворюють неясне занепокоєння на перелік, який можна переглянути. Вони також виявляють компоненти, на які ніхто не дивився від початку пілоту.

Відокремте службу тунелю від будь-якої самостійно розгорнутої функції видимості, DNS або стану. Модуль, який спостерігає за потоками, — це не те саме, що модуль, який їх маршрутизує, навіть коли обидва постачаються в одному пакеті.

Не виводьте перелік із логотипа чи сторінки ліцензії. Виводьте його зі встановлених файлів, працюючих служб і конфігурації, яка справді надсилається на пристрій.

Три питання вирішують, чи залишиться агент

По-перше, чи залежить якийсь обов'язковий робочий процес від модуля, який вбудований профіль замінити не може? Перевірки стану, політика DNS розділеного тунелю та видимість потоків — звичайні відповіді, і кожна має іншу ціну заміни. По-друге, які дані залишають пристрій, кому, за якою політикою і на який термін? Це питання про конфігурацію модуля, а не про його існування.

По-третє, хто це підтримує? Модуль, який ніхто не оновлює, — це тягар, зручно це чи ні. Якщо відповідь «дійдемо й до цього», чесне порівняння — між керованою та некерованою можливістю.

Дайте відповідь на всі три, перш ніж порівнювати інтерфейси, бо менший інтерфейс — не менше розгортання.

Що модуль видимості документує, а що ні

Модуль мережевої видимості в Cisco Secure Client — корисний конкретний приклад. Його посібник адміністратора для випуску 5.1 описує збирання контексту потоків, зокрема відомості про кінцеві точки та застосунки, і документує політики збирання, які визначають, що саме збирається.

Це встановлює можливість одного модуля в одному випуску. Це не встановлює, що ваша організація його встановила, увімкнула кожне поле або кудись надсилає результат. Це факти розгортання, і відповісти на них може лише розгортання.

Ставтеся до документації постачальника як до межі можливого, а до конфігурації самого пристрою — як до межі того, що відбувається.

Порівняння вбудованого профілю за тими самими критеріями

Вбудований профіль може бути схваленим і простішим рішенням, а може бути й тунелем, який губить робочий процес, про перевірку якого ніхто не подумав. Сумісність протоколів, метод автентифікації, політика маршрутів і DNS, обробка збоїв та вимоги до керування — це п'ять точок порівняння, і на них треба відповісти для обох сторін.

Не видаляйте обов'язковий модуль мовчки. Отримайте схвалення альтернативи та задокументуйте, куди переходить кожна відповідальність, бо відповідальність, яка нікуди не переходить, і стає інцидентом.

Доступність відкритого коду, знайомий постачальник і менше вікно — три різні факти, і жоден із них не описує конфіденційність розгорнутої конфігурації.

Перевірте перелік на самому пристрої

Почніть зі встановлених артефактів і працюючих служб, а не з електронної таблиці. Список артефактів короткий, він локальний і вирішує суперечки, які документи політики вирішити не можуть.

Потім зіставте знайдене з політикою, яка має застосовуватися до цього пристрою.

systemextensionsctl list
ls /opt/cisco/secureclient 2>/dev/null
pgrep -fl vpnagentd

У Windows ті самі докази беруться зі служб, процесів і ключа реєстру постачальника, а список модулів зазвичай видно в каталозі встановлення. Зберіть три виводи, долучіть їх до огляду та попросіть власника підтвердити, які з цих компонентів навмисні. Коли кожен компонент має призначення, власника й шлях видалення, вибір між агентом і вбудованим профілем стає рішенням, а не суперечкою.