Et VPN-login giver ikke lokale administratorrettigheder

Tre ting blandes sammen, når nogen spørger, om arbejdets VPN giver virksomheden administratorrettigheder på en personlig pc: rækkevidde, softwareinstallation og enhedsstyring. En VPN-forbindelse leverer det første, klientpakken bringer det andet, og kun en særskilt tilmelding giver det tredje. Mekanismen bag hver af dem er forskellig, og kun én af dem involverer en Windows-legitimationsoplysning.

Intet ved en tunnel gør en domænekonto til en lokal konto.

En netværksvej, ikke en legitimationsoplysning

En tunnel gør virksomhedens ressourcer tilgængelige og kan give en vej mod selve klienten, afhængigt af routing, klientisolering og værtsfiltre. Den opretter ikke en lokal Windows-konto, forhøjer ikke en eksisterende og tilføjer ikke nogen til en lokal gruppe. En tjeneste, der lytter på maskinen, beholder sin egen adgangspolitik, uanset hvilket netværk anmodningen kom fra. Derfor kræver eksponerede delinger og fjernstyringsendepunkter stadig bevidst beskyttelse.

Tunnelens omfang er et særskilt spørgsmål: en fuld tunnel bærer mere applikationstrafik end en delt, og ingen af omfangene giver adgang til filer på disken.

Klienten er en pakke, ikke et rør

Virksomhedsklienter er modulære. En udrulning kan omfatte tunnelen plus komponenter til tilstand, filtrering eller sikkerhed, hver med sin egen konfiguration og sin egen indsamlingsadfærd. At udlede det installerede sæt af produktnavnet eller et tilsluttet ikon er gætværk. De komponenter kan følge deres egen modulpolitik i stedet for en sessions levetid, så afbrydelse af tunnelen er ikke en universel stopknap.

En oversigt over installerede komponenter besvarer et andet spørgsmål end det, det tilsluttede ikon besvarer.

Scripts kører som dig, ikke som root

Klientscripting findes og er værd at forstå: dokumenterede tilslutnings- og afbrydelseskroge kan køre under en session, og de forbliver deaktiveret, medmindre profilen og udrulningen aktiverer dem. På Windows kører de inden for brugerens eksisterende sikkerhedsbegrænsninger, så de kan kun kalde det, som brugeren har ret til. At aktivere en krog er en reel ekstra mulighed; at beskrive den som en automatisk administratortildeling er ikke korrekt.

Forskellen betyder noget i begge retninger. Det er mere end et passivt rør og mindre end en domæneadministratorkonto.

Levering og opdateringer er den egentlige tillidsgrænse

Den, der kontrollerer pakken og opdateringskanalen, har mere myndighed end et websted, du har givet en adgangskode, fordi de kan ændre, hvad der kører på maskinen. Det er en legitim grund til at gennemgå, hvordan klienten leveres og opdateres, før du installerer den. Det er stadig ikke den samme handling som at tilslutte sig et domæne eller tilmelde sig styring, som forbliver særskilte forhold med deres egen synlige status.

Hvis organisationen kræver en administreret enhed, brug dens godkendte arbejdsenhedsordning i stedet for at antage, at en personlig klient kan levere den status. Hvis maskinen allerede er tilmeldt, fortryder afbrydelse af tunnelen ikke tilmeldingen.

Bed om en oversigt over, hvad der er installeret, og hvem der styrer dens opdateringer. Det spørgsmål har et svar; beroligelsen har ikke.