Влизането през VPN не дава права на локален администратор

Три неща се смесват, когато някой попита дали работният VPN дава на компанията администраторски права на личен компютър: достъпност, инсталиране на софтуер и управление на устройството. VPN връзката осигурява първото, клиентският пакет носи второто, а само отделно записване предоставя третото. Механизмът зад всяко от тях е различен и само едно от тях включва удостоверение за Windows.

Нищо в тунела не превръща домейн акаунт в локален.

Мрежов път, а не удостоверение

Тунелът прави ресурсите на компанията достъпни и може да осигури път към самия клиент при спазване на маршрутизацията, изолацията на клиента и филтрите на хоста. Той не създава локален акаунт за Windows, не повишава правата на съществуващ и не добавя никого към локална група. Услугата, която слуша на машината, запазва собствената си политика за допускане независимо от коя мрежа е пристигнала заявката. Затова откритите споделени ресурси и крайните точки за отдалечено управление все още изискват съзнателна защита.

Обхватът на тунела е отделен въпрос: пълният тунел пренася повече приложен трафик от разделения и нито един обхват не дава достъп до файлове на диска.

Клиентът е пакет, а не тръба

Корпоративните клиенти са модулни. Внедряването може да включва тунела плюс компоненти за състояние, филтриране или сигурност, всеки със своя конфигурация и собствено поведение при събиране. Извеждането на инсталирания набор от името на продукта или от икона за свързване е догадка. Тези компоненти може да следват собствена политика на модула, а не живота на сесията, затова прекъсването на тунела не е универсален бутон за спиране.

Инвентарът на инсталираните компоненти отговаря на различен въпрос от този, на който отговаря иконата за свързване.

Скриптовете се изпълняват като вас, не като root

Клиентските скриптове съществуват и си заслужава да бъдат разбрани: документираните куки за свързване и прекъсване могат да се изпълняват по време на сесия и остават изключени, освен ако профилът и внедряването не ги разрешат. В Windows те работят в рамките на съществуващите ограничения за сигурност на потребителя, така че могат да извикват само това, на което този потребител има право. Разрешаването на кука е реална допълнителна възможност; описването ѝ като автоматично предоставяне на администраторски права не е точно.

Разликата е важна в двете посоки. Това е повече от пасивна тръба и по-малко от домейн администраторски акаунт.

Доставката и актуализациите са истинската граница на доверие

Който контролира пакета и канала за актуализации, има повече власт от уебсайт, на който сте дали парола, защото може да промени какво работи на машината. Това е законна причина да прегледате как клиентът се доставя и актуализира, преди да го инсталирате. Това все още не е същата операция като присъединяване към домейн или записване в управление, които остават отделни отношения със собствен видим статус.

Ако организацията изисква управлявано устройство, използвайте одобрената от нея уредба за работно устройство, вместо да предполагате, че личен клиент може да осигури този статус. Ако машината вече е записана, прекъсването на тунела не отменя записването.

Поискайте инвентар на това какво е инсталирано и кой контролира актуализациите му. Този въпрос има отговор; успокояването не.