Prijava na VPN ne daje lokalna administratorska prava

Tri se stvari pomiješaju kad neko pita daje li radni VPN kompaniji administratorska prava na ličnom računaru: dostupnost, instalacija softvera i upravljanje uređajem. VPN veza daje prvo, klijentski paket donosi drugo, a samo zaseban upis pruža treće. Mehanizam iza svakog je različit i samo jedan uključuje Windows akreditive.

Ništa u tunelu ne pretvara domenski račun u lokalni.

Mrežni put, a ne akreditiv

Tunel čini resurse kompanije dostupnim i može pružiti put prema samom klijentu, uz uslov rutiranja, izolacije klijenta i filtera hosta. On ne stvara lokalni Windows račun, ne podiže ovlasti postojećeg i nikoga ne dodaje u lokalnu grupu. Servis koji sluša na mašini zadržava vlastita pravila prijema bez obzira s koje mreže je zahtjev stigao. Zato izloženi dijeljeni resursi i krajnje točke daljinskog upravljanja i dalje traže namjernu zaštitu.

Obim tunela je zasebno pitanje: puni tunel prenosi više aplikacijskog saobraćaja od podijeljenog i nijedan obim ne daje pristup datotekama na disku.

Klijent je paket, a ne cijev

Poslovni klijenti su modularni. Uvođenje može uključivati tunel plus komponente za stanje, filtriranje ili sigurnost, svaka sa svojom konfiguracijom i svojim ponašanjem prikupljanja. Zaključivanje o instaliranom skupu iz naziva proizvoda ili ikone veze je nagađanje. Te komponente mogu slijediti vlastita pravila modula umjesto trajanja sesije, pa isključivanje tunela nije univerzalno dugme za zaustavljanje.

Inventar instaliranih komponenti odgovara na drugo pitanje od onoga na koje odgovara ikona veze.

Skripte se izvršavaju kao vi, ne kao root

Klijentske skripte postoje i vrijedi ih razumjeti: dokumentirane kuke za povezivanje i isključivanje mogu se izvršavati tokom sesije i ostaju isključene osim ako ih profil i uvođenje omoguće. Na Windowsu rade unutar korisnikovih postojećih sigurnosnih ograničenja, pa mogu pozvati samo ono na što taj korisnik ima pravo. Omogućavanje kuke stvarna je dodatna sposobnost; opisivati je kao automatsko davanje administratorskih prava nije točno.

Razlika je važna u oba smjera. To je više od pasivne cijevi i manje od domenskog administratorskog računa.

Isporuka i ažuriranja prava su granica povjerenja

Ko kontroliše paket i kanal ažuriranja ima veće ovlasti od web stranice kojoj ste dali lozinku, jer može promijeniti šta se izvršava na mašini. To je legitiman razlog da pregledate kako se klijent isporučuje i ažurira prije instalacije. To ipak nije ista radnja kao pridruživanje domeni ili upis u upravljanje, koji ostaju odvojeni odnosi sa vlastitim vidljivim statusom.

Ako organizacija zahtijeva upravljani uređaj, koristite njen odobreni aranžman za radni uređaj umjesto pretpostavke da lični klijent može dati taj status. Ako je mašina već upisana, isključivanje tunela ne poništava upis.

Tražite inventar onoga što je instalirano i ko kontroliše njegova ažuriranja. To pitanje ima odgovor; umirivanje nema.