’n VPN-aanmelding gee nie plaaslike adminregte nie

Drie dinge word deurmekaar gegooi wanneer iemand vra of die werk-VPN die maatskappy adminregte op ’n persoonlike rekenaar gee: bereikbaarheid, sagteware-installasie en toestelbestuur. ’n VPN-verbinding verskaf die eerste, die kliëntpakket bring die tweede, en slegs ’n afsonderlike inskrywing bied die derde. Die meganisme agter elkeen is anders, en slegs een van hulle behels ’n Windows-geloofsbrief.

Niks aan ’n tonnel verander ’n domeinrekening in ’n plaaslike een nie.

’n Netwerkroete, nie ’n geloofsbrief nie

’n Tonnel maak maatskappye se hulpbronne bereikbaar en kan ’n roete na die kliënt self bied, onderhewig aan roetering, kliënt-isolasie en gasheerfilters. Dit skep nie ’n plaaslike Windows-rekening nie, verhef nie ’n bestaande een nie en voeg niemand by ’n plaaslike groep nie. ’n Diens wat op die masjien luister, behou sy eie toegangsbeleid ongeag van watter netwerk die versoek gekom het. Daarom het blootgestelde deelings en afstandbestuur-eindpunte steeds doelbewuste beskerming nodig.

Die tonnel se omvang is ’n aparte vraag: ’n volle tonnel dra meer toepassingverkeer as ’n gesplete een, en nie een van die twee omvange gee toegang tot lêers wat op die skyf lê nie.

Die kliënt is ’n pakket, nie ’n pyp nie

Ondernemingskliënte is modulêr. ’n Ontplooiing kan die tonnel plus postuur-, filter- of sekuriteitskomponente insluit, elk met sy eie konfigurasie en sy eie versamelgedrag. Om die geïnstalleerde stel uit die produknaam of ’n gekoppelde ikoon af te lei, is giswerk. Daardie komponente kan hul eie modulebeleid volg eerder as die leeftyd van ’n sessie, so die ontkoppeling van die tonnel is nie ’n universele stopknoppie nie.

’n Inventaris van geïnstalleerde komponente beantwoord ’n ander vraag as dié wat die gekoppelde ikoon beantwoord.

Skripte hardloop as jy, nie as root nie

Kliëntskriptering bestaan en is die moeite werd om te verstaan: gedokumenteerde koppel- en ontkoppelhake kan tydens ’n sessie loop, en hulle bly gedeaktiveer tensy die profiel en ontplooiing dit aktiveer. Op Windows loop hulle binne die gebruiker se bestaande sekuriteitsbeperkings, so hulle kan net noem wat daardie gebruiker geregtig is om te doen. Om ’n haak te aktiveer is werklike bykomende vermoë; om dit as ’n outomatiese administrateurtoekenning te beskryf, is nie akkuraat nie.

Die onderskeid maak in albei rigtings saak. Dit is meer as ’n passiewe pyp, en dit is minder as ’n domeinadministrateurrekening.

Aflewering en opdaterings is die werklike vertrouensgrens

Wie die pakket en die opdateringskanaal beheer, het meer gesag as ’n webwerf waaraan jy ’n wagwoord gegee het, want hulle kan verander wat op die masjien loop. Dit is ’n geldige rede om na te gaan hoe die kliënt afgelewer en opgedateer word voordat jy dit installeer. Dit is steeds nie dieselfde handeling as om by ’n domein aan te sluit of vir bestuur in te skryf nie, wat afsonderlike verhoudings met hul eie sigbare status bly.

As die organisasie ’n bestuurde toestel vereis, gebruik sy goedgekeurde werkreëling vir werktuie eerder as om te aanvaar dat ’n persoonlike kliënt daardie status kan verskaf. As die masjien reeds ingeskryf is, maak die ontkoppeling van die tonnel nie die inskrywing ongedaan nie.

Vra om ’n inventaris van wat geïnstalleer is en wie die opdaterings daarvan beheer. Daardie vraag het ’n antwoord; die gerusstelling het nie.