Přihlášení přes VPN nepřiděluje práva místního správce

Tři věci se pletou, když se někdo ptá, zda pracovní VPN dává firmě práva správce na osobním počítači: dostupnost, instalace softwaru a správa zařízení. První zajišťuje připojení VPN, druhé přináší klientský balíček a třetí poskytuje jen samostatná registrace. Mechanismus každého z nich je jiný a jen jeden zahrnuje přihlašovací údaj Windows.

Nic na tunelu nepřevádí doménový účet na místní.

Síťová cesta, ne přihlašovací údaj

Tunel zpřístupňuje firemní zdroje a může poskytnout cestu k samotnému klientovi, s výhradou směrování, izolace klienta a filtrů hostitele. Nevytváří místní účet Windows, nezvyšuje oprávnění existujícího účtu a nikoho nepřidává do místní skupiny. Služba naslouchající na počítači si zachovává vlastní pravidla přístupu bez ohledu na to, ze které sítě požadavek dorazil. Proto vystavené sdílené složky a koncové body vzdálené správy stále vyžadují záměrnou ochranu.

Rozsah tunelu je samostatná otázka: plný tunel přenáší více provozu aplikací než rozdělený a ani jeden rozsah neposkytuje přístup k souborům na disku.

Klient je balíček, ne trubka

Podnikoví klienti jsou modulární. Nasazení může zahrnovat tunel plus komponenty stavu, filtrování nebo zabezpečení, každý s vlastní konfigurací a vlastním chováním sběru. Odvozovat nainstalovanou sadu z názvu produktu nebo z ikony připojení je hádání. Tyto komponenty mohou sledovat vlastní zásady modulu místo životnosti relace, takže odpojení tunelu není univerzální tlačítko zastavení.

Inventář nainstalovaných komponent odpovídá na jinou otázku než ikona připojení.

Skripty běží pod vámi, ne pod rootem

Klientské skriptování existuje a stojí za pochopení: dokumentované háčky připojení a odpojení se mohou spouštět během relace a zůstávají vypnuté, dokud je profil a nasazení nepovolí. Ve Windows běží v rámci stávajících bezpečnostních omezení uživatele, takže mohou volat jen to, na co má tento uživatel právo. Povolení háčku je skutečná dodatečná možnost; popisovat ho jako automatické udělení práv správce není přesné.

Rozdíl je důležitý oběma směry. Je to víc než pasivní trubka a méně než doménový účet správce.

Doručení a aktualizace jsou skutečnou hranicí důvěry

Kdo ovládá balíček a aktualizační kanál, má větší pravomoc než web, kterému jste dali heslo, protože může změnit, co na počítači běží. To je legitimní důvod projít, jak se klient doručuje a aktualizuje, než ho nainstalujete. Pořád to není stejná operace jako připojení k doméně nebo registrace do správy, které zůstávají samostatnými vztahy s vlastním viditelným stavem.

Pokud organizace vyžaduje spravované zařízení, použijte její schválené uspořádání pracovního zařízení, místo abyste předpokládali, že osobní klient tento stav poskytne. Pokud je počítač už zaregistrovaný, odpojení tunelu registraci nezruší.

Požádejte o inventář toho, co je nainstalováno a kdo ovládá jeho aktualizace. Na tuto otázku existuje odpověď; na uklidnění ne.