تسجيل الدخول عبر VPN لا يمنح حقوق مسؤول محلي

ثلاثة أمور تختلط عندما يسأل أحدهم هل يمنح VPN الخاص بالعمل حقوق مسؤول للشركة على حاسوب شخصي: إمكانية الوصول، وتثبيت البرامج، وإدارة الأجهزة. يوفر اتصال VPN الأمر الأول، وتحضر حزمة العميل الثاني، ولا يوفر الثالث إلا تسجيل منفصل. الآلية وراء كل منها مختلفة، وواحدة فقط منها تتضمن بيانات اعتماد Windows.

لا شيء في النفق يحوّل حساب نطاق إلى حساب محلي.

مسار شبكي، وليس بيانات اعتماد

النفق يجعل موارد الشركة قابلة للوصول وقد يوفر مسارًا نحو العميل نفسه، رهناً بالتوجيه وعزل العميل ومرشحات المضيف. وهو لا ينشئ حساب Windows محليًا ولا يرفع صلاحيات حساب قائم ولا يضيف أحدًا إلى مجموعة محلية. الخدمة التي تستمع على الجهاز تحتفظ بسياسة قبولها الخاصة بصرف النظر عن الشبكة التي وصل منها الطلب. لهذا تحتاج المشاركات المكشوفة ونقاط الإدارة عن بعد إلى حماية متعمدة.

نطاق النفق سؤال منفصل: النفق الكامل ينقل حركة تطبيقات أكثر من النفق المنقسم، ولا يمنح أي منهما وصولاً إلى الملفات الموجودة على القرص.

العميل حزمة، وليس أنبوبًا

عملاء المؤسسات معياريون. يمكن أن يشمل النشر النفق إضافة إلى مكوّنات الوضع الأمني أو الفلترة أو الأمان، ولكل منها تهيئته وسلوك جمعه. استنتاج المجموعة المثبتة من اسم المنتج أو من أيقونة متصلة تخمين. قد تتبع تلك المكوّنات سياسة وحدتها الخاصة بدلًا من عمر الجلسة، لذا فصل النفق ليس زر إيقاف شاملًا.

جرد المكوّنات المثبتة يجيب عن سؤال مختلف عن السؤال الذي تجيب عنه الأيقونة المتصلة.

السكربتات تعمل بصلاحياتك، لا بصلاحيات الجذر

توجد سكربتات العميل ويستحق فهمها: يمكن أن تعمل خطافات الاتصال والقطع الموثقة أثناء الجلسة، وتبقى معطلة ما لم يمكّنها الملف الشخصي والنشر. على Windows تعمل داخل قيود الأمان القائمة للمستخدم، لذا لا يمكنها استدعاء سوى ما يحق لذلك المستخدم فعله. تمكين خطاف قدرة إضافية حقيقية؛ ووصفه بأنه منح إداري تلقائي ليس دقيقًا.

التمييز مهم في الاتجاهين. فهو أكثر من أنبوب سلبي، وأقل من حساب مسؤول نطاق.

التسليم والتحديثات هما حد الثقة الحقيقي

من يتحكم في الحزمة وقناة التحديث يملك سلطة أكبر من موقع ويب أعطيته كلمة مرور، لأنه يستطيع تغيير ما يعمل على الجهاز. وهذا سبب مشروع لمراجعة كيفية تسليم العميل وتحديثه قبل تثبيته. ومع ذلك ليس العملية نفسها كالانضمام إلى نطاق أو التسجيل في الإدارة، وهما علاقتان منفصلتان بحالة ظاهرة خاصة بكل منهما.

إذا كانت المؤسسة تتطلب جهازًا مُدارًا، فاستخدم ترتيب جهاز العمل المعتمد لديها بدلًا من افتراض أن عميلًا شخصيًا يمكنه توفير تلك الحالة. وإذا كان الجهاز مسجلًا بالفعل، فإن فصل النفق لا يلغي التسجيل.

اطلب جردًا بما هو مثبت ومن يتحكم في تحديثاته. لهذا السؤال جواب؛ أما الطمأنة فليس لها جواب.