VPN লগইন স্থানীয় অ্যাডমিন অধিকার দেয় না
পৌঁছানোযোগ্যতা, ইনস্টল করা সফটওয়্যার ও ডিভাইস ব্যবস্থাপনা আলাদা বিষয়। কেবল একটি আলাদা এনরোলমেন্টই ঠিক করে কে কম্পিউটার পরিচালনা করে, আর তা আলাদাভাবে দেখা যায়।
কেউ জিজ্ঞাসা করলে অফিসের VPN ব্যক্তিগত পিসিতে কোম্পানিকে অ্যাডমিন অধিকার দেয় কি না, তখন তিনটি বিষয় মিশে যায়: পৌঁছানোযোগ্যতা, সফটওয়্যার ইনস্টল এবং ডিভাইস ব্যবস্থাপনা। VPN সংযোগ প্রথমটি দেয়, ক্লায়েন্ট প্যাকেজ দ্বিতীয়টি আনে, আর তৃতীয়টি কেবল আলাদা এনরোলমেন্টই দেয়। প্রতিটির পেছনের কৌশল আলাদা, এবং তাদের মধ্যে কেবল একটিতেই Windows ক্রেডেনশিয়াল জড়িত।
টানেলের কোনো দিকই ডোমেইন অ্যাকাউন্টকে স্থানীয় অ্যাকাউন্টে বদলে দেয় না।
নেটওয়ার্ক পথ, ক্রেডেনশিয়াল নয়
টানেল কোম্পানির রিসোর্সে পৌঁছানো সম্ভব করে এবং রাউটিং, ক্লায়েন্ট আইসোলেশন ও হোস্ট ফিল্টার সাপেক্ষে ক্লায়েন্টের নিজের দিকে একটি পথ দিতে পারে। এটি স্থানীয় Windows অ্যাকাউন্ট তৈরি করে না, বিদ্যমান অ্যাকাউন্টের অধিকার বাড়ায় না, এবং কাউকে স্থানীয় গ্রুপে যোগ করে না। মেশিনে শোনা কোনো সার্ভিস অনুরোধটি কোন নেটওয়ার্ক থেকে এসেছে তা নির্বিশেষে নিজের প্রবেশ নীতি বজায় রাখে। তাই উন্মুক্ত শেয়ার ও দূরবর্তী ব্যবস্থাপনার এন্ডপয়েন্টের এখনও সচেতন সুরক্ষা দরকার।
টানেলের পরিধি আলাদা প্রশ্ন: পূর্ণ টানেল বিভক্ত টানেলের চেয়ে বেশি অ্যাপ্লিকেশন ট্র্যাফিক বহন করে, এবং কোনো পরিধিই ডিস্কে থাকা ফাইলে প্রবেশ দেয় না।
ক্লায়েন্ট একটি প্যাকেজ, পাইপ নয়
এন্টারপ্রাইজ ক্লায়েন্ট মডুলার। একটি ডিপ্লয়মেন্টে টানেলের সঙ্গে পোস্টচার, ফিল্টারিং বা নিরাপত্তা উপাদান থাকতে পারে, প্রতিটির নিজস্ব কনফিগারেশন ও নিজস্ব সংগ্রহ আচরণ। পণ্যের নাম বা সংযুক্ত আইকন থেকে ইনস্টল করা সেট অনুমান করা আন্দাজ। ওই উপাদানগুলো সেশনের আয়ুষ্কালের বদলে নিজেদের মডিউল নীতি অনুসরণ করতে পারে, তাই টানেল বিচ্ছিন্ন করা কোনো সার্বজনীন স্টপ বোতাম নয়।
ইনস্টল করা উপাদানের ইনভেন্টরি সংযুক্ত আইকন যে প্রশ্নের উত্তর দেয় তার চেয়ে ভিন্ন প্রশ্নের উত্তর দেয়।
স্ক্রিপ্ট চলে আপনার পরিচয়ে, রুট হিসেবে নয়
ক্লায়েন্ট স্ক্রিপ্টিং আছে এবং তা বোঝা মূল্যবান: নথিভুক্ত সংযোগ ও বিচ্ছিন্নতার হুক সেশন চলাকালে চলতে পারে, এবং প্রোফাইল ও ডিপ্লয়মেন্ট সক্রিয় না করলে সেগুলো নিষ্ক্রিয় থাকে। Windows-এ তারা ব্যবহারকারীর বিদ্যমান নিরাপত্তা সীমাবদ্ধতার ভেতরেই চলে, তাই কেবল সেই ব্যবহারকারীর অধিকারী বিষয়ই ডাকতে পারে। হুক সক্রিয় করা প্রকৃত অতিরিক্ত সামর্থ্য; এটিকে স্বয়ংক্রিয় অ্যাডমিন অনুদান বলা সঠিক নয়।
পার্থক্যটি দুই দিকেই গুরুত্বপূর্ণ। এটি নিষ্ক্রিয় পাইপের চেয়ে বেশি, এবং ডোমেইন অ্যাডমিন অ্যাকাউন্টের চেয়ে কম।
ডেলিভারি ও আপডেটই আসল বিশ্বাসের সীমা
যে প্যাকেজ ও আপডেট চ্যানেল নিয়ন্ত্রণ করে, তার ক্ষমতা আপনার দেওয়া পাসওয়ার্ডযুক্ত ওয়েবসাইটের চেয়ে বেশি, কারণ সে মেশিনে কী চলে তা বদলাতে পারে। ইনস্টল করার আগে ক্লায়েন্ট কীভাবে ডেলিভারি ও আপডেট হয় তা পর্যালোচনা করার এটি ন্যায্য কারণ। তবু এটি ডোমেইনে যোগ দেওয়া বা ব্যবস্থাপনায় এনরোল করার মতো একই কাজ নয়, যেগুলো নিজস্ব দৃশ্যমান অবস্থাসহ আলাদা সম্পর্ক।
সংস্থার ব্যবস্থাপিত ডিভাইস প্রয়োজন হলে ব্যক্তিগত ক্লায়েন্ট এই অবস্থা দিতে পারে ধরে নেওয়ার বদলে তার অনুমোদিত কাজের-ডিভাইস ব্যবস্থা ব্যবহার করুন। মেশিন ইতিমধ্যে এনরোল করা থাকলে টানেল বিচ্ছিন্ন করলে এনরোলমেন্ট বাতিল হয় না।
কী ইনস্টল আছে এবং কে তার আপডেট নিয়ন্ত্রণ করে তার একটি ইনভেন্টরি চান। এই প্রশ্নের উত্তর আছে; সান্ত্বনার নেই।