Un inici de sessió VPN no atorga drets d’administrador local

Tres coses es confonen quan algú pregunta si la VPN de la feina dona a l’empresa drets d’administrador en un ordinador personal: abast, instal·lació de programari i gestió del dispositiu. La connexió VPN proporciona la primera, el paquet de client aporta la segona, i només una inscripció separada proporciona la tercera. El mecanisme de cadascuna és diferent, i només una implica una credencial de Windows.

Res d’un túnel converteix un compte de domini en un de local.

Un camí de xarxa, no una credencial

Un túnel fa accessibles els recursos de l’empresa i pot oferir un camí cap al mateix client, subjecte a l’encaminament, l’aïllament del client i els filtres d’amfitrió. No crea un compte local de Windows, no eleva un d’existent ni afegeix ningú a un grup local. Un servei que escolta a la màquina manté la seva pròpia política d’admissió independentment de quina xarxa hagi arribat la sol·licitud. Per això els recursos compartits exposats i els punts de gestió remota encara necessiten una protecció deliberada.

L’abast del túnel és una qüestió separada: un túnel complet transporta més trànsit d’aplicacions que un de dividit, i cap dels dos àmbits dona accés als fitxers del disc.

El client és un paquet, no una canonada

Els clients empresarials són modulars. Un desplegament pot incloure el túnel més components de postura, filtratge o seguretat, cadascun amb la seva configuració i el seu comportament de recollida. Inferir el conjunt instal·lat a partir del nom del producte o d’una icona connectada és endevinar. Aquests components poden seguir la seva pròpia política de mòdul en lloc de la vida d’una sessió, així que desconnectar el túnel no és un botó d’aturada universal.

Un inventari dels components instal·lats respon una pregunta diferent de la que respon la icona connectada.

Els scripts s’executen com a tu, no com a root

L’scripting de client existeix i val la pena entendre’l: els ganxos documentats de connexió i desconnexió poden executar-se durant una sessió, i romanen desactivats tret que el perfil i el desplegament els habilitin. A Windows s’executen dins de les restriccions de seguretat existents de l’usuari, així que només poden cridar allò a què aquest usuari té dret. Habilitar un ganxo és una capacitat addicional real; descriure-ho com una concessió automàtica d’administrador no és exacte.

La distinció importa en totes dues direccions. És més que una canonada passiva, i és menys que un compte d’administrador de domini.

El lliurament i les actualitzacions són la veritable frontera de confiança

Qui controla el paquet i el canal d’actualització té més autoritat que un lloc web al qual vas donar una contrasenya, perquè pot canviar què s’executa a la màquina. És una raó legítima per revisar com es lliura i s’actualitza el client abans d’instal·lar-lo. Encara no és la mateixa operació que unir-se a un domini o inscriure’s en la gestió, que continuen sent relacions separades amb el seu propi estat visible.

Si l’organització requereix un dispositiu gestionat, utilitza el seu acord aprovat de dispositiu de treball en lloc de suposar que un client personal pot aportar aquest estat. Si la màquina ja està inscrita, desconnectar el túnel no desfà la inscripció.

Demana un inventari del que està instal·lat i de qui controla les seves actualitzacions. Aquesta pregunta té resposta; la tranquil·lització no.